Detenga el fraude por desvío de pagos.

Cómo funciona

El fraude por correo electrónico empresarial es un engaño, no un hackeo. La herramienta del atacante es un correo convincente en el momento justo.

• El proveedor falso. Un correo que parece venir de un proveedor dice que sus datos bancarios cambiaron. La siguiente factura se le paga al delincuente.
• La instrucción urgente. Un correo que parece venir de la dirección o de tesorería pide un pago urgente y confidencial.
• El cambio de nómina. Un “empleado” pide cambiar la cuenta en la que recibe su sueldo.
• El buzón real. Muchas veces el atacante entró en una cuenta de correo auténtica, la suya o la del proveedor, y espera una factura real para interceptarla. El correo puede llegar desde la dirección correcta y citar una conversación real.

El IC3 del FBI describe el fraude por correo electrónico empresarial (business email compromise) como el uso de la ingeniería social o de la intrusión informática para lograr una transferencia de fondos no autorizada. Su consejo empieza por lo mismo que el nuestro: verificar los cambios por un segundo canal.

Señales de alerta

Ninguna de estas demuestra un fraude. Cualquiera de ellas es motivo para llamar.

• Un cambio de datos bancarios, sobre todo a una cuenta a otro nombre o en otro país.
• Urgencia, secreto o presión para no llamar: “Estoy en una reunión, solo hágalo.”
• Una dirección de remitente casi correcta, o una dirección de respuesta distinta de la del remitente.
• Una solicitud que se salta su proceso normal de aprobación.
• Una factura que parece correcta pero llega en un momento inusual o por un monto inusual.

El procedimiento de devolver la llamada

Una sola regla detiene la mayoría de estos fraudes: ningún cambio de datos bancarios solo porque lo pide un correo.

1. Deténgase.Toda solicitud de cambiar datos bancarios, o de hacer un pago urgente o inusual, se trata como sospechosa hasta comprobarla. Aunque venga del jefe.

2. Busque usted mismo el número.Use un número que ya tenía: el del contrato, el de una factura anterior que ya pagó o el del sitio web oficial de la organización. Nunca el número, el enlace o la dirección de respuesta que vienen en el mensaje.

3. Llame y pregunte.Hable con alguien que conozca o cuya identidad pueda comprobar. Lea en voz alta los datos nuevos y pídale que los confirme. No pregunte “¿usted me envió esto?” de una forma que invite a decir que sí.

4. Una segunda persona aprueba.Otra persona comprueba que se hizo la llamada y aprueba el cambio antes de registrarlo.

5. Déjelo por escrito.Anote quién llamó a quién, a qué número, cuándo y quién lo aprobó. Guárdelo con el registro del pago.

Aplíquelo a los cambios de proveedores, a los cambios de nómina y a cualquier primer pago a una cuenta nueva. Póngalo por escrito, y diga a sus proveedores que siempre llamará para confirmar, para que un proveedor auténtico lo espere.

Abrir el cartel para imprimir

Una charla de cinco minutos para el equipo

Léala en voz alta en una reunión de equipo, adapte los nombres y luego pegue el cartel.