El correo que cambia el IBAN: así vacían la cuenta de una pyme
Llega un correo del proveedor de siempre. Misma firma, mismo tono, la factura de siempre. Solo cambia una cosa: "hemos cambiado de banco, apunta este nuevo número de cuenta". Se paga. Semanas después el proveedor reclama esa factura y aparece el agujero. No ha habido virus, ni cifrado, ni alarma: solo una transferencia hecha por la persona correcta al sitio equivocado.
Qué está pasando
Es uno de los fraudes que más consultas genera en el servicio gratuito de ayuda de INCIBE, y tiene dos caras: el fraude del CEO (un supuesto directivo pide una transferencia urgente y confidencial) y la suplantación del proveedor (alguien se cuela en la conversación de facturas y cambia el número de cuenta).
Lo importante es que no improvisan. Los atacantes se preparan: rastrean quién manda y quién autoriza pagos, revisan perfiles profesionales y redes sociales, apuntan las fechas de vacaciones de la dirección y, muy a menudo, llevan semanas dentro de un buzón de correo leyendo cómo trabajáis antes de escribir una sola línea. Por eso el mensaje encaja tan bien: no tiene faltas, copia la firma exacta y llega en el momento en que esa factura tocaba.
Las señales que INCIBE señala se repiten siempre: urgencia, confidencialidad ("no comentes esto con nadie"), una dirección de correo con una letra cambiada y un cambio de cuenta bancaria de última hora. Puedes leer el detalle y casos reales en el blog de Empresas de INCIBE.
Por qué te afecta (pyme / asociación)
- El dinero sale en minutos y vuelve casi nunca. Cuando se detecta, la transferencia suele estar hecha y repartida en varias cuentas.
- En una pyme o una asociación, quien paga suele estar solo: no hay un segundo par de ojos ni un circuito de aprobación, así que basta con convencer a una persona.
- La suplantación funciona precisamente porque hay confianza: es el proveedor de toda la vida y la conversación es real. El atacante solo se ha metido en medio.
- Agosto y septiembre son terreno abonado: vacaciones, sustituciones y prisa por cerrar lo pendiente.
Qué hacer
- Regla de oro, por escrito: ningún cambio de IBAN se aplica por correo. Se verifica llamando al proveedor al teléfono que ya tenías, nunca al que viene en el mensaje.
- Doble validación para pagos a partir de un importe que decidáis: dos personas distintas, una propone y otra confirma.
- Un procedimiento de pagos de una página, conocido por todo el que factura o paga. Si el proceso es claro, la urgencia deja de ser un argumento.
- Da permiso explícito para parar. Quien recibe la orden urgente del "jefe" tiene que poder colgar y comprobar sin miedo a molestar. Esto se dice en voz alta en una reunión.
- Protege el correo, que es el escenario del crimen: doble factor, revisión de reglas de buzón raras (reenvíos automáticos a direcciones externas) y avisos de "correo externo" en los mensajes de fuera.
- Si ya ha pasado: llama al banco de inmediato para intentar retroceder la transferencia, guarda las pruebas (correos, cabeceras, capturas), denuncia y apóyate en la Línea 017 de INCIBE.
¿Quieres que revisemos vuestro correo y montemos un circuito de pagos a prueba de prisas? En ITCM Solutions te ayudamos a dejarlo cerrado. Hablemos.