De todos los engaños por correo, este es el que más dinero cuesta a las pymes, y no necesita ningún virus: solo convencer a la persona que paga. Tiene dos variantes muy conocidas.
Las dos variantes
El fraude del CEO
Alguien se hace pasar por el gerente o un directivo y pide a administración una transferencia urgente y confidencial: una adquisición, un pago a un abogado, una oportunidad que no puede esperar. Suele llegar cuando el directivo está de viaje o en una reunión, para que no se le pueda llamar.
El falso cambio de cuenta del proveedor
Un proveedor habitual «informa» de que ha cambiado de banco y pide que las próximas facturas se paguen a un IBAN nuevo. Muchas veces el correo sale de la cuenta real del proveedor, que ha sido robada, y llega dentro de una conversación auténtica sobre facturas reales. Por eso es tan convincente.
Señales de alarma
- Urgencia y secreto: «no se lo comentes a nadie», «tiene que salir hoy».
- Cambios en los datos bancarios de un proveedor, aunque el correo parezca suyo.
- Una cuenta en otro país o a nombre de alguien distinto del proveedor.
- Peticiones que se saltan el procedimiento habitual «por esta vez».
- Pequeñas diferencias en la dirección de correo o en la firma.
El procedimiento que lo evita
La defensa no depende de la intuición, sino de unas reglas sencillas que todo el mundo conoce y que nadie se salta:
- Ningún cambio de cuenta bancaria sin llamada. Se confirma por teléfono, con un número que ya teníais registrado, nunca con el que viene en el correo.
- Doble aprobación para transferencias por encima de un importe y para cualquier pago fuera de lo habitual.
- Un listado de proveedores con sus cuentas verificadas, y un certificado de titularidad bancaria cuando cambien.
- Permiso explícito para frenar: la dirección deja claro que nadie será reprendido por retrasar un pago para comprobarlo.
- Verificación en dos pasos en el correo de las personas que gestionan pagos.
Si el pago ya ha salido
- Llama a tu banco de inmediato y pide que intenten retener o recuperar la transferencia. Las primeras horas son decisivas.
- Denuncia ante la Policía Nacional o la Guardia Civil con todos los correos y justificantes.
- Avisa al proveedor real por teléfono: es posible que su correo esté comprometido y que esté engañando a más clientes.
- Revisa si alguien ha accedido a vuestro propio correo y cambia las contraseñas.
En el curso de ciberseguridad para empleados trabajamos este fraude con ejemplos reales para que administración y compras reconozcan las señales y apliquen el procedimiento sin dudar.