El dinero es el objetivo final de casi todo fraude, pero los ataques al circuito de pagos tienen algo particular: no necesitan comprometer ningún sistema. Basta con que una persona haga una transferencia creyendo que es correcta.
Por eso las defensas aquí no son técnicas, son de procedimiento.
Los fraudes en el lado de los pagos
Cambio de cuenta de un proveedor
El más rentable de todos. Un proveedor habitual comunica un cambio de banco y las siguientes facturas van a otra cuenta.
Lo peligroso: a veces el correo es auténtico, enviado desde el buzón comprometido del proveedor, dentro del hilo de siempre. Ninguna comprobación del remitente lo detecta.
Factura duplicada o inventada
Llega una factura de un servicio plausible (dominios, publicidad en directorios, mantenimiento) por un importe modesto. En un negocio con volumen, se paga sin comprobar si estaba contratado.
La orden urgente del jefe
El fraude del CEO, ahora reforzado con llamadas de voz clonada.
Los fraudes en el lado de los cobros
- Pago con tarjeta robada. Vendes, envías, y semanas después el titular real reclama el cargo. Tú pierdes el producto y el dinero.
- Justificante de transferencia falso. Te envían una captura de una transferencia «ya realizada» para que entregues la mercancía. El dinero nunca llega. Norma: se entrega cuando el dinero está en tu cuenta, no cuando te enseñan un justificante.
- Pedido grande de un cliente nuevo con prisa. Combinación clásica: mucho importe, urgencia y presión para saltarse los controles habituales.
- Devolución con producto cambiado o el clásico de «pagué de más, devuélveme la diferencia» tras un pago fraudulento.
Los controles que lo detienen
1. Verificación por segundo canal, sin excepciones
La regla que más dinero salva. Cualquier cambio de datos bancarios o transferencia inusual se confirma por teléfono, al número que ya tenías guardado.
Nunca al que aparece en el correo, nunca respondiendo al mensaje, nunca devolviendo una llamada entrante.
2. Que no dependa de una sola persona
Por encima de un importe que fijes, dos personas. En un negocio de una sola persona, el equivalente es una espera obligatoria: nada urgente se paga el mismo día.
Una hora de retraso no rompe ninguna operación legítima y desmonta casi todas las falsas.
3. Casar cada factura con un pedido
Si no hay pedido o contrato detrás, no se paga. Es el control que elimina de un plumazo las facturas inventadas.
4. Un listado de cuentas bancarias autorizadas
Ten registrada la cuenta de cada proveedor habitual. Cualquier pago a una cuenta que no esté en esa lista pasa por verificación telefónica, sin discusión.
5. Que preguntar esté bien visto
Si quien gestiona los pagos teme molestar al jefe o parecer desconfiado con un cliente importante, el control no se aplica. Esto lo tiene que decir la dirección en voz alta.
En el cobro, además
- Usa una pasarela de pago reconocida y no almacenes datos de tarjetas: reduces enormemente tu riesgo y tus obligaciones.
- Comprueba el ingreso en tu banco, nunca en un justificante que te envían.
- Desconfía de los pedidos que rompen tu patrón habitual: importe muy superior, dirección de envío distinta a la de facturación, prisa desmedida.
- Ten condiciones de venta claras sobre cuándo se entrega y qué pasa con las devoluciones.
Si ya ha ocurrido
- Llama al banco inmediatamente. Si la transferencia no se ha ejecutado o el dinero sigue en destino, hay margen.
- Denuncia con toda la documentación.
- Comprueba si tu correo está comprometido: cambia contraseñas y busca reglas de reenvío que no hayas creado.
- Avisa al proveedor real si lo suplantaron: puede no saber que su buzón está comprometido.
- Revisa si hay datos personales afectados y las obligaciones del RGPD.
Y hacia dentro: no señales públicamente a quien haya caído. Si el mensaje es que equivocarse se castiga, la próxima vez alguien tardará horas en avisar, y ahí sí se pierde el dinero.
Preguntas frecuentes
¿Me devuelve el banco el dinero?
Depende del caso. En operaciones no autorizadas la normativa protege al usuario, pero si la transferencia la ordenaste tú engañado, la posición es más complicada. Reclama igualmente y consulta las vías disponibles.
¿Lo cubre el seguro de ciberriesgo?
Muchas pólizas excluyen el fraude por transferencia engañada de la cobertura básica, porque técnicamente es un engaño y no una intrusión. Pregúntalo expresamente: ver seguro de ciberriesgo.
Soy autónomo y no tengo equipo, ¿cómo aplico esto?
Con dos reglas: verificación telefónica de cualquier cambio de cuenta, y espera obligatoria antes de pagar algo urgente no previsto. Son gratis y cubren la mayor parte del riesgo.
Deja un comentario