La factura del proveedor cambia de cuenta: el control debe llegar antes de pagar
Las guías de INCIBE describen la suplantación de proveedores y el compromiso del correo corporativo. Una apariencia familiar no acredita por sí sola unos datos bancarios nuevos.
Una solicitud de cambio de cuenta bancaria puede llegar dentro de una conversación que parece habitual. INCIBE explica en su guía de ciberamenazas empresariales que un atacante puede acceder al correo de un proveedor y utilizarlo para desviar pagos. La amenaza no depende únicamente de faltas de ortografía o de un remitente desconocido. Esta pieza desarrolla un procedimiento preventivo, sin anunciar una campaña nueva ni describir un incidente de nuestros lectores.
La decisión crítica se produce cuando se modifica el registro de pago, no cuando alguien observa que la factura tiene un aspecto profesional. Un documento puede conservar importes, conceptos y nombres conocidos mientras cambia el destinatario del dinero. Comparar esos datos con el registro previamente autorizado permite identificar la modificación que necesita comprobarse.
Como método de trabajo proponemos dejar el cambio pendiente y contactar por un canal que la empresa ya tenga verificado, en lugar de utilizar exclusivamente los datos incluidos en la nueva solicitud. La comprobación debe confirmar tanto la identidad de quien responde como su capacidad para solicitar esa modificación. El resultado debería quedar documentado junto a la fecha y a la aprobación interna correspondiente.
Separar la recepción de una factura, la modificación del proveedor y la autorización del pago ayuda a introducir una segunda comprobación. El procedimiento concreto dependerá del tamaño de la empresa, pero necesita funcionar también cuando hay urgencia o una persona está de vacaciones. Una excepción verbal difícil de reconstruir debilita el control precisamente cuando más falta hace.
Si se descubre un desvío después de transferir, conviene contactar cuanto antes con la entidad financiera y obtener apoyo para conservar evidencias y gestionar el incidente. Ningún procedimiento garantiza recuperar el dinero. La prevención útil consiste en tratar unos datos bancarios nuevos como una modificación que debe autenticarse, incluso cuando el resto del intercambio resulte convincente.