Cuando se habla de ciberseguridad, la mayoría piensa en virus y en hackers rompiendo sistemas. El fraude que más dinero le cuesta a los negocios es mucho más sencillo: alguien convence a un empleado de enviar un pago a donde no debe.
No hace falta tecnología sofisticada. Hace falta un correo creíble, un poco de prisa y un proceso de pagos sin verificación.
Cómo funciona
El patrón se repite con pocas variaciones.
- El suplidor que "cambió de banco". Llega un correo, aparentemente de un suplidor conocido, avisando que su cuenta bancaria cambió. La próxima factura se paga a la cuenta nueva, que es del estafador.
- El jefe con prisa. Un mensaje que parece venir del dueño o de un gerente pide una transferencia urgente o la compra de tarjetas de regalo, y pide discreción.
- La factura que nadie esperaba. Una factura bien diseñada por un servicio que la empresa sí usa, con instrucciones de pago distintas a las habituales.
- El mensaje del banco o de una agencia. Un correo o texto que aparenta venir de su banco, de un servicio de pagos o de una agencia de gobierno, con un enlace para "verificar" su cuenta.
En los casos más dañinos, el atacante primero logra entrar al correo de alguien, lee conversaciones reales durante días y luego interviene en el momento exacto, con el tono y los detalles correctos.
Por qué funciona
Porque el mensaje llega en un momento creíble, usa nombres reales y pide algo que la persona hace todos los días. Y porque casi siempre incluye urgencia: hoy, antes de las tres, es confidencial.
La urgencia es la señal más confiable de que algo anda mal.
La defensa que más protege no es tecnológica
Es una regla de proceso: ningún cambio de cuenta bancaria ni pago fuera de lo normal se ejecuta sin verificación por un segundo canal.
- Si un suplidor avisa por correo que cambió de cuenta, se le llama al número que ya estaba en sus registros, no al que viene en el correo.
- Los pagos sobre cierta cantidad requieren la aprobación de dos personas.
- Nadie, ni el dueño, queda exento del proceso. La regla tiene que ser más fuerte que la jerarquía, porque el fraude se apoya precisamente en la autoridad.
Esta regla no cuesta nada y detiene la gran mayoría de los intentos.
Lo que la tecnología sí aporta
- Autenticación multifactor en el correo de todos, para que una contraseña robada no baste para entrar.
- Filtros de correo que detectan suplantación de identidad y marcan los mensajes que vienen de fuera de la empresa.
- Alertas cuando alguien crea una regla de reenvío automático en un buzón, que es una de las primeras cosas que hace un atacante al entrar.
- Adiestramiento periódico y breve, con ejemplos parecidos a los que su gente realmente recibe.
Si ya ocurrió
El tiempo importa. Llame a su banco de inmediato para intentar detener o revertir la transferencia, cambie las contraseñas de las cuentas involucradas, y avise a su proveedor de IT para revisar si alguien tuvo acceso al correo. Conserve los mensajes; no los borre.
Y hable del incidente con su equipo sin buscar culpables. La persona que cayó es quien mejor puede enseñarle al resto cómo se veía el engaño.
← Volver al blog