Fraude por cambio de cuenta del proveedor: alertas antes de transferir

Si un proveedor te envía por correo nuevos datos bancarios, detente y verifica antes de pagar. Una solicitud para cambiar el destino del pago es una señal clásica del compromiso de correo empresarial (BEC), en el que un delincuente se hace pasar por un proveedor o un colega. Una transferencia es difícil de recuperar una vez enviada, así que la verificación tiene que hacerse antes de que salga el dinero.

Esta es una lista de control, no una garantía. Reduce tu riesgo, pero no lo elimina. Es una guía general, no asesoría legal. Si crees que te estafaron, contacta a tu banco de inmediato y denuncie el caso ante el Centro de Quejas de Delitos por Internet del FBI (IC3).

Cómo suelen funcionar las estafas

Datos bancarios cambiados. Recibes un correo que parece de un proveedor al que le pagas seguido, y dice que su cuenta bancaria cambió. El IC3 describe solicitudes fraudulentas de "un cambio de una cuenta bancaria a otra distinta bajo su control" y de un cambio en el tipo de pago, con frecuencia de cheque a transferencia (IC3 PSA).

Correos falsificados o parecidos. La dirección del remitente o los enlaces se ven bien a primera vista, pero tienen pequeños errores de ortografía respecto del dominio real. El IC3 aconseja estar atento a hipervínculos "que pueden contener errores de ortografía del nombre de dominio real" y revisar con cuidado las direcciones de los remitentes, sobre todo en el celular (IC3 PSA).

Llamadas falsas de soporte o del "banco". Alguien llama diciendo que es del área de cobranza de tu proveedor o de tu propio banco, cita una factura real y te presiona para que actúe ya. Los datos que maneja pueden venir de un correo hackeado.

Cuentas reales comprometidas. A veces el correo sí viene de la dirección real del proveedor, porque le tomaron el control de la bandeja. Que la dirección coincida no es prueba de nada.

Alertas antes de transferir

• Datos bancarios nuevos o cambiados, sobre todo cerca de la fecha de pago.
• Un país, un banco o un titular de cuenta distinto al del último pago.
• Urgencia: "paga hoy o se retiene el embarque", o un cambio de último momento en las instrucciones de transferencia.
• Un pedido de mantenerlo en silencio o de no llamar a nadie.
• Un cambio en el medio de pago, por ejemplo de cheque o ACH a transferencia.
• Un pago a un tercero que no es la empresa de la factura.
• Un pedido de enviar fondos a un exchange de criptomonedas. El IC3 lo menciona como señal de alerta.
• Cambios sutiles en el tono, la redacción o la firma de tu contacto de siempre.
• Enlaces que piden iniciar sesión para ver una factura o actualizar datos.

La lista de control

1. Nunca cambie datos de pago solo por un correo. Trate cualquier cambio como no verificado hasta confirmarlo por otra vía.
2. Devuelve la llamada a un número que ya tenías. Usa el teléfono de tu contrato, de facturas anteriores o del sitio web verificado del proveedor. No uses el número del correo que pide el cambio. El IC3 recomienda verificar los cambios por un canal secundario.
3. Pide que lo revise una segunda persona. Una verifica y otra aprueba.
4. Compara los datos nuevos con los anteriores: banco, país, nombre de la cuenta. Pregunta por qué cambiaron.
5. Revisa el remitente y los enlaces. Lee la dirección de correo completa y pasa el cursor sobre los enlaces antes de hacer clic.
6. Envía primero un pago de prueba pequeño cuando agregues una cuenta nueva, si tu proveedor está de acuerdo. Ayuda, pero no prueba que la cuenta sea de él.
7. Cruza la factura con una orden de compra que de verdad emitiste, por mercancía que esperas.
8. Deja constancia de quién confirmó qué, cuándo y en qué número.
9. Limita quién puede agregar o editar beneficiarios en tus herramientas bancarias.
10. Protege tu propio correo. Usa autenticación de varios factores, mantén el software actualizado y no ingreses credenciales desde un enlace de un correo.

Si ya envió el dinero

El IC3 aconseja contactar de inmediato a tu institución financiera y pedir la devolución de los fondos, y luego presentar una queja en ic3.gov lo antes posible, sin importar el monto. La rapidez cuenta, así que llama primero al banco.

Preguntas frecuentes

¿Basta con llamar al número que viene en el correo? No. Si el correo es falso, el número también puede serlo. Usa un número que ya tenías, de un contrato, de una factura anterior o de un sitio web confirmado por otra vía.

¿Y si el proveedor está en el exterior y es difícil de contactar? Prueba con otro canal de confianza: un contacto conocido en la empresa, su representante de ventas, un socio comercial o su agente de carga. Si no puedes verificar, no hagas el pago.

¿Puedo recuperar mi dinero después de una transferencia a una cuenta fraudulenta? A veces, si actúas rápido, pero no hay garantía. Contacta a tu banco de inmediato y denuncia ante el IC3.

Siguiente paso

Ninguna herramienta reemplaza el paso de devolver la llamada. Cuando estés listo para pagar a tus proveedores, mira las cuentas empresariales de Shield.