Cambio de cuenta de un proveedor: el protocolo antifraude

Es la estafa que más dinero mueve contra pymes españolas y no necesita ningún malware: un correo de un proveedor con el que trabajas desde hace años avisa de que han cambiado de banco y adjunta la factura de siempre con un número de cuenta nuevo. Se paga. Semanas después, el proveedor reclama el pago.

El dinero, para entonces, ha pasado por tres cuentas y está fuera. La buena noticia es que esta estafa se para con un procedimiento de dos minutos, si existe y se aplica siempre.

Cómo funciona por dentro

Hay dos variantes y conviene distinguirlas, porque las señales son distintas:

Variante	Qué ocurre	Qué se ve
Dominio parecido	Registran un dominio casi idéntico al del proveedor y escriben desde ahí	Una letra cambiada en el remitente; el hilo anterior está «reenviado», no es el original
Buzón comprometido	Han entrado en el correo real del proveedor y responden desde dentro del hilo	Nada. El remitente es correcto y el historial también

La segunda es la peligrosa. Suele ir acompañada de una regla de reenvío que hace que el proveedor no vea las respuestas, así que ni él se entera de la conversación que está teniendo su propia dirección contigo.

El protocolo, en cuatro pasos

1. Ningún cambio de datos bancarios se acepta por correo. Nunca.

Esta es la regla y no admite excepciones por urgencia, por confianza ni por antigüedad. El correo puede anunciar el cambio; no puede autorizarlo.

2. Verificación por voz, con un número que ya tenías

Llama al proveedor al teléfono que figura en tu ficha de contactos, en un contrato anterior o en su web —nunca al que viene en el correo ni en la factura nueva—. Pregunta por la persona con la que tratas habitualmente y confirma el cambio con ella.

Si solo tienes el móvil que te pasaron por correo, no tienes verificación: tienes el mismo canal otra vez.

3. Confirmación cruzada de los dígitos

Que sea el proveedor quien te dicte el número de cuenta, y compáralo tú. No leas tú el número para que te digan «sí, es ese»: eso no verifica nada.

4. Primera transferencia de prueba

Si el cambio es real, manda un importe pequeño y espera confirmación de que ha llegado antes de pagar la factura completa. Cuesta un día y elimina el riesgo.

Registra la verificación. Anota quién llamó, a qué número, con quién habló y cuándo. Si algún día hay discusión sobre quién asume la pérdida, ese registro es tu diligencia demostrada.

Las señales que deberían disparar el protocolo

Cambio de cuenta, sobre todo si el banco nuevo es extranjero o el titular no coincide exactamente con el nombre del proveedor.
Prisa: «la factura vence hoy», «el pago anterior ha sido devuelto».
Petición de discreción, o de no llamar porque «estoy de viaje / en una reunión».
Formato de la factura ligeramente distinto, o numeración que rompe la secuencia habitual.
El correo llega fuera del horario habitual de esa empresa.
Responden muy rápido a cualquier duda, con lenguaje impecable pero genérico.

Las comprobaciones técnicas del remitente —dominio, enlaces, adjuntos— están detalladas en cómo reconocer un correo de phishing dirigido a tu empresa.

Si ya has pagado

Las primeras horas lo son todo:

Llama a tu banco inmediatamente y pide la retrocesión o el bloqueo de la operación. Pídelo también por escrito, por el canal oficial.
Avisa al proveedor real por teléfono. Su buzón puede estar comprometido: no se lo cuentes solo por correo.
Denuncia. Con la denuncia en la mano el banco puede gestionar la reclamación con la entidad de destino.
Conserva todo: los correos con sus cabeceras completas, la factura recibida y el justificante. Cómo hacerlo sin estropear las pruebas, en qué evidencias conservar.
Revisa si el comprometido eres tú. Si el atacante conocía importes y fechas exactas, alguien estaba leyendo correo: el tuyo o el del proveedor. Revisa reglas de reenvío, accesos recientes y cambia contraseñas con segundo factor.

Cómo blindar el proceso de pagos

Además del protocolo de verificación, estas tres medidas reducen mucho la exposición:

Doble firma para transferencias por encima de un importe. Que ninguna persona sola pueda mover dinero relevante.
Lista blanca de cuentas en la banca electrónica, con un plazo de espera para dar de alta una nueva.
Segundo factor en todos los correos corporativos, que es por donde empieza todo. Y contraseñas únicas por servicio: gestor de contraseñas para una pyme.

Y desde el otro lado: pon difícil que suplanten tu dominio para hacerle esto a tus clientes. Es exactamente para lo que sirven SPF, DKIM y DMARC, y lo tienes explicado en cómo empezar con DMARC.

Si el incidente afectó a datos personales de clientes o proveedores, revisa además si te corresponde notificar a la Agencia en 72 horas. Para denunciar, la Policía Nacional mantiene el canal de denuncias de delitos telemáticos.

Seguir leyendo en esta sección

Ver todo en Correo seguro → · Mapa completo del sitio