Nunca trate un cambio de datos bancarios recibido por correo electrónico como confirmado solo porque aparezca en un hilo de correo existente.
Mi regla es dos minutos de fricción antes de que se mueva el dinero:
- detener el pago;
- conservar la instrucción antigua y el mensaje nuevo;
- encontrar una vía de contacto de confianza de forma independiente;
- confirmar el beneficiario, la cuenta y la factura con una persona autorizada; y
- registrar la decisión antes de que alguien libere la transferencia.
Si no puede completar esa secuencia, retenga el pago.
Esto no es una lista de verificación genérica de ciberseguridad. Es un control para el momento en que un proveedor, un agente o un compañero le pide que envíe dinero a una cuenta distinta de la que ya consta en el archivo.
1. Cómo se ve el desvío de pagos a proveedores
El fraude de factura o de mandato ocurre cuando alguien se hace pasar por un proveedor u otra organización de confianza y le convence de enviar dinero a una cuenta nueva o modificada. El mensaje puede llegar por correo electrónico, teléfono, mensaje de texto o una aplicación de mensajería. Puede seguir a un presupuesto o factura reales.
La guía Take Five para empresas de UK Finance describe a delincuentes que se hacen pasar por proveedores de servicios de confianza y facilitan datos bancarios nuevos o modificados. La guía recomienda confirmar los datos bancarios directamente con la empresa, cuestionar los cambios y contactar de inmediato con su banco si cree que ha sido víctima de un fraude.
El mensaje puede parecer convincente porque el remitente conoce el producto, el número de pedido, la fecha de entrega o los nombres de las personas de la empresa. La familiaridad no es confirmación. Un hilo de correo genuino puede estar comprometido, copiado o imitado.
El riesgo práctico es simple: usted cree que está pagando a un proveedor real, pero el beneficiario está controlado por otra persona.
2. El procedimiento de detención de dos minutos
Utilícelo siempre que un proveedor envíe datos bancarios nuevos, pida un pago urgente o cambie el beneficiario de una factura.
1. Detenga la transferencia
No haga clic en el enlace de pago, no edite el registro guardado del proveedor ni responda confirmando que acepta el cambio. Diga a la persona responsable del pago que la instrucción está en espera.
2. Conserve la evidencia
Guarde el correo electrónico, el archivo adjunto, la factura, las cabeceras del mensaje cuando estén disponibles y los datos bancarios anteriores. Anote cuándo llegó el cambio, quién lo envió y qué motivo se dio.
3. Utilice una vía de contacto independiente
Busque un número de teléfono o una dirección de correo electrónico en el sitio web del proveedor, en un registro verificado anteriormente, en un contrato firmado u otra fuente de confianza. No utilice los datos de contacto del mensaje sospechoso de cambio.
4. Haga una pregunta de confirmación específica
Confirme el nombre legal del beneficiario, el país del banco, los últimos dígitos de la cuenta, el número de factura, el importe y el motivo del cambio. Pregunte si la persona que confirma la solicitud está autorizada a cambiar los datos de pago.
5. Registre la decisión
Marque la solicitud como confirmada, abierta, en espera o detenida. No deje que una pregunta sin responder desaparezca en la bandeja de entrada.
Si el pago ya se ha enviado, contacte de inmediato con su banco. Utilice la vía de denuncia de fraude pertinente en su país. En el Reino Unido, Take Five dirige a las víctimas a denunciar el fraude a través de Report Fraud. No espere a que el proveedor confirme que algo ha ido mal.
3. Las señales de alerta importan más en combinación
Un único detalle inusual puede tener una explicación legítima. Varios juntos son un motivo para detenerse.
| Señal | Qué podría significar | Qué haría yo |
|---|---|---|
| Nuevo beneficiario | Un cambio bancario genuino, una empresa del grupo o un desvío de pago | Verificar a través de un contacto conocido antes de editar el registro del proveedor |
| Plazo urgente | Un plazo comercial o una táctica de presión | Ralentizar el proceso y exigir la aprobación normal |
| Dominio de correo diferente | Un sistema nuevo, una agencia o una suplantación | Comparar el dominio carácter por carácter y llamar de forma independiente |
| Nuevo país o divisa bancaria | Una tesorería de grupo o una ruta modificada | Preguntar por qué cambió el país y quién es titular de la cuenta |
| Cambios en el número o importe de la factura | Una factura corregida o una manipulación del documento | Comparar los archivos antiguo y nuevo y solicitar un registro claro del cambio |
| Solicitud de mantenerlo en secreto | Un asunto comercial sensible o ingeniería social | Escalar a otra persona y no pagar en solitario |
| Negativa a una llamada de confirmación | Un contacto difícil o un intento de controlar el canal | Retener el pago |
| El proveedor dice "simplemente responda a este correo" | Una confirmación conveniente o un hilo comprometido | Utilizar una vía separada y confirmar los datos usted mismo |
La combinación más preocupante es un beneficiario cambiado, urgencia y una solicitud para saltarse la llamada de confirmación normal. Yo detendría el pago aunque el producto, el precio y la firma del correo parezcan familiares.
4. El primer pago y el pago modificado son riesgos distintos
El primer pago a un proveedor nuevo necesita una comprobación de identidad y de beneficiario. Un cambio en los datos bancarios de un proveedor existente necesita esa comprobación de nuevo, porque la relación de confianza anterior puede utilizarse para que la nueva solicitud parezca rutinaria.
Para un primer pago, registre:
- el vendedor legal;
- la referencia del presupuesto y de la factura;
- el nombre del beneficiario y el país del banco;
- la persona que aprobó al proveedor; y
- la confirmación independiente del destino del pago.
Para un pago modificado, conserve además:
- el registro anterior del beneficiario;
- el mensaje exacto que solicita el cambio;
- el motivo indicado;
- el nuevo beneficiario y los datos de la cuenta;
- la persona que confirmó el cambio de forma independiente; y
- la segunda aprobación antes de editar el registro del proveedor.
No sobrescriba los datos bancarios antiguos como si nunca hubieran existido. El historial de cambios forma parte del control.
5. Cree un control de datos bancarios para un equipo pequeño
No necesita un gran departamento financiero para crear un proceso útil. Necesita un responsable designado y una segunda mirada para las excepciones.
| Campo de control | Qué registrar |
|---|---|
| Proveedor | Nombre legal e identificador del proveedor |
| Beneficiario existente | Nombre guardado, país y últimos dígitos de la cuenta |
| Solicitud de cambio | Fecha, remitente, factura y motivo |
| Contacto independiente | Número o correo obtenido fuera del mensaje de cambio |
| Confirmación | Persona, cargo, datos confirmados y fecha |
| Aprobador uno | Nombre y decisión |
| Aprobador dos | Nombre y decisión |
| Actualización del registro del proveedor | Quién lo cambió y cuándo |
| Liberación del pago | Factura, importe, fecha y comprobación final |
Para una empresa de una sola persona, la segunda comprobación puede ser una pausa deliberada y una llamada realizada desde una fuente independiente. Para un equipo pequeño, haga que la persona que solicitó el cambio sea distinta de la que lo aprueba siempre que sea posible.
El objetivo no es la burocracia. Es hacer difícil que un único mensaje convincente cambie la cuenta y libere el pago sin que nadie haga una segunda pregunta.
6. Un guion de respuesta que puede utilizar
No necesita acusar al proveedor de fraude. Puede exponer el control con claridad:
Gracias por la actualización. No cambiamos los datos bancarios de los proveedores a partir de una única solicitud por correo electrónico. El pago está en espera mientras confirmamos el beneficiario a través de nuestra vía de contacto establecida. Le rogamos que no envíe instrucciones sustitutivas hasta que hayamos completado esa comprobación.
Si la solicitud es legítima, un proveedor real debería entender por qué está usted comprobando. Si el remitente se enfada, insiste en el secretismo o aumenta la presión, registre eso como otra señal y mantenga el pago en espera.
7. Si la solicitud ya se ha pagado
Actúe con rapidez y mantenga la respuesta objetiva.
- Contacte de inmediato con su banco y explique que sospecha un desvío de pago o una suplantación.
- Conserve el correo electrónico, la factura, los datos de la cuenta, las notas de la llamada y la referencia del pago.
- Contacte con el proveedor genuino a través de una vía conocida para confirmar lo ocurrido.
- Denuncie el incidente a través de la autoridad pertinente. Los lectores del Reino Unido pueden utilizar Report Fraud. Los lectores de otros países deben utilizar su vía nacional de denuncia de fraude.
- Compruebe si el mismo remitente o beneficiario aparece en otros registros de proveedores.
- Revise quién puede editar los datos bancarios de los proveedores y quién puede aprobar los pagos.
No dé por hecho que el banco recuperará la transferencia. Pregunte al banco qué información necesita y siga su proceso. El objetivo inmediato es limitar más pérdidas y conservar la evidencia.
8. Cómo mantener útil el registro histórico
Los controles de pago a proveedores fallan cuando la evidencia está dispersa. Mantenga una carpeta o un registro por cada proveedor con:
- la identidad legal del proveedor;
- los datos bancarios aprobados y la fecha en que se verificaron;
- presupuestos y facturas;
- contactos y números de teléfono independientes;
- confirmaciones de pagos anteriores;
- cambios y aprobaciones; y
- la próxima fecha de revisión.
Cuando un proveedor cambie su dirección, entidad legal, contacto, producto o cuenta bancaria, reabra las comprobaciones pertinentes. Un cambio bancario no es el único evento que puede alterar el riesgo de pago.
9. Qué hacer a continuación
Utilice la guía de conciliación de identidad, IVA y datos bancarios del proveedor para comparar el vendedor legal y el beneficiario campo por campo. Conserve la lista de verificación junto con el registro de compra. Después, vuelva al proceso completo de verificación de proveedores para las comprobaciones de producto, capacidad y condiciones.
Esta es una orientación operativa general, no asesoramiento bancario, legal, de ciberseguridad o financiero. Las vías de denuncia y los procedimientos bancarios varían según el país. Utilice la orientación vigente de su banco y de la autoridad pertinente.
10. Preguntas frecuentes
¿Una cuenta bancaria modificada es automáticamente un fraude?
No. Los proveedores pueden cambiar de banco, de empresa del grupo o de proveedor de pagos. Aun así, el cambio debe tratarse como no confirmado hasta que lo verifique a través de una vía de confianza y registre quién lo autorizó.
¿Puedo confirmar el cambio respondiendo al mismo correo electrónico?
Eso no es suficiente. Un hilo de correo genuino puede haber sido comprometido o imitado. Utilice un número de teléfono obtenido de forma independiente u otra vía establecida.
¿Debería enviar un pequeño pago de prueba?
Un pequeño pago de prueba puede ser un control para un primer proveedor, pero no sustituye a la comprobación de identidad y a la confirmación independiente. Utilice el proceso que admite su banco y no asuma que un pago de prueba demuestra la autoridad más amplia del beneficiario.
¿Qué pasa si el proveedor dice que el cambio es urgente?
La urgencia es un motivo para ir más despacio, no un motivo para eliminar la comprobación. Diga al proveedor que el pago está en espera hasta que se confirme el beneficiario a través de su proceso normal.
¿Qué debo hacer si ya pagué a la cuenta equivocada?
Contacte de inmediato con su banco, conserve la evidencia y denuncie el incidente a través de la autoridad pertinente. Contacte con el proveedor genuino a través de una vía conocida y revise otros pagos que puedan verse afectados.