Facturas falsas por correo: cómo evitar pagar a un estafador

Cuando pensamos en un ataque informático imaginamos a alguien reventando contraseñas desde un sótano. En la práctica, el fraude que más dinero mueve en pymes españolas es mucho más aburrido: un correo bien escrito que dice "hemos cambiado de banco, aquí tienes el nuevo IBAN". Y alguien paga.

No hace falta que te hayan entrado en el sistema. Basta con que el delincuente sepa que trabajas con tal proveedor y que la persona que hace las transferencias esté con prisa un viernes por la tarde.

Las tres variantes que vemos una y otra vez

El cambio de cuenta bancaria. Llega un correo de un proveedor habitual, con su logo, su firma y su tono de siempre, avisando de que a partir de ahora hay que pagar a otro IBAN. A veces el correo viene de un dominio casi idéntico (una letra cambiada, un .net en lugar de .es). A veces viene del buzón real del proveedor, porque a él sí le han robado la contraseña del correo.

El jefe con urgencia. Un mensaje que parece de la gerencia pidiendo una transferencia rápida y discreta para cerrar una operación. Suele apoyarse en dos palancas: autoridad y prisa. Y casi siempre insiste en que no se comente con nadie.

La factura adjunta que no esperabas. Un PDF o un enlace a "tu factura pendiente". El objetivo aquí no es el cobro, sino que abras el archivo o metas tus credenciales en una página que imita la de tu banco o tu correo.

Señales que deberían hacerte parar

• El dominio del remitente no es exactamente el de siempre. Conviene mirarlo entero, no solo el nombre que muestra el programa de correo.
• Se pide cambiar datos de pago por correo. Ningún proveedor serio hace eso solo por email.
• Hay urgencia artificial: hoy, antes del cierre, o se pierde el pedido.
• El hilo de conversación es raro: responden a un correo tuyo pero con el histórico recortado, o el asunto tiene un "Re:" que no encaja.
• Te piden confidencialidad. El fraude necesita que no preguntes a un compañero.

La norma que corta el problema de raíz

Toda la formación del mundo falla algún día. Lo que no falla es un procedimiento escrito y sencillo:

Cualquier cambio de datos bancarios se verifica por teléfono, llamando al número que ya tenías en tu ficha del proveedor. Nunca al número que aparece en el correo sospechoso. Nunca contestando a ese correo.

Añade dos reglas más y habrás cubierto casi todo:

1. Doble validación para pagos por encima de un importe que definas tú. Dos personas, dos confirmaciones.
2. Nadie autoriza transferencias solo por correo o WhatsApp. Ni el gerente. Especialmente el gerente.

Cuesta cero euros y es más eficaz que muchos productos de seguridad.

La parte técnica que sí importa

Además del procedimiento, hay medidas que reducen la superficie de ataque:

• Doble factor en el correo de toda la empresa. Si te roban la contraseña, no entran. Y evita que tu buzón sea el que suplanten a tus clientes.
• Registros SPF, DKIM y DMARC bien configurados en tu dominio. Suena a jerga, pero es simplemente decirle al mundo qué servidores pueden enviar correo en tu nombre. Sin ellos, cualquiera puede falsificar tu dirección con facilidad.
• Filtrado antispam y antimalware decente, y aviso visible cuando un correo llega de fuera de la organización.
• Copias de seguridad probadas, porque muchos de estos correos acaban en un cifrado de archivos y no en una transferencia.

Si quieres que revisemos cómo está configurado tu correo y te ayudemos a dejar por escrito el procedimiento de pagos, hablamos.