Para empresas
Fraude con falsos proveedores: cómo proteger los pagos de tu empresa
Un correo idéntico al de un proveedor pide pagar en una cuenta nueva. Así funciona el fraude de cambio de cuenta y estos son los controles que lo detienen.
El fraude de cambio de cuenta —conocido en inglés como Business Email Compromise o BEC— no necesita hackear el banco: basta con engañar a quien hace los pagos. Llega un correo que parece del proveedor de siempre, con una factura real y un aviso: «hemos cambiado de banco, por favor pagar a esta nueva cuenta». El dinero se va a una cuenta controlada por delincuentes y, cuando el proveedor real cobra, la empresa ya pagó dos veces o perdió la mercancía.
Cómo lo hacen
- Suplantan el dominio. Crean un correo casi igual al del proveedor, con una letra cambiada o una terminación distinta.
- Usan cuentas reales comprometidas. A veces el correo sí es del proveedor, porque le robaron la clave; por eso el mensaje se ve auténtico.
- Aprovechan el momento. Escriben a fin de mes, cerca de cierres o en vacaciones, cuando hay prisa y menos controles.
- Piden reserva. «Es un cambio confidencial», «no llame, estamos en auditoría».
Los controles que funcionan
- Doble verificación de cualquier cambio de cuenta. Confirma por teléfono con un contacto que ya tengas registrado, nunca con el número que viene en el correo.
- Separación de funciones. Quien registra la nueva cuenta no es quien aprueba el pago.
- Periodo de espera. Ningún pago a una cuenta recién cambiada se hace el mismo día.
- Certificación bancaria. Exige el certificado de la nueva cuenta y compara el titular con la razón social y el NIT del proveedor en el RUES.
- Capacitación. Tesorería, compras y contabilidad deben conocer el fraude y saber que pueden frenar un pago sin represalias.
- Seguridad del correo. Activa la verificación en dos pasos en todas las cuentas y revisa reglas de reenvío extrañas.
Si ya pagaste
- Llama de inmediato a tu banco y pide que intente congelar o devolver la transferencia: las primeras horas son clave.
- Avisa al proveedor real y revisa si su correo fue comprometido.
- Conserva los correos con sus encabezados completos.
- Denuncia en el CAI Virtual o en la Fiscalía.
