Facturas falsas: siete claves para proteger a tu empresa de la estafa del cambio de IBAN
La ciberseguridad se ha convertido en una prioridad para empresas de todos los tamaños. Entre las amenazas que más han crecido en los últimos años destaca la estafa de las facturas falsas, también conocido como ‘Business Email Compromise’ (BEC). En este tipo de ataques, los ciberdelincuentes consiguen que una empresa transfiera dinero a una cuenta fraudulenta tras modificar los datos bancarios de un proveedor. Conocer las señales de alerta y establecer protocolos de verificación puede marcar la diferencia entre detectar la estafa a tiempo o sufrir importantes pérdidas económicas.
El cierre de cada mes o trimestre suele concentrar una gran carga administrativa para muchas empresas. El volumen de facturas aumenta, las bandejas de entrada se llenan de correos y los equipos financieros trabajan con plazos ajustados.
En ese contexto, llega un mensaje de uno de los proveedores habituales. El correo parece auténtico, el logotipo es el correcto, el importe coincide y la factura parece idéntica a las anteriores. Sin embargo, incorpora un pequeño cambio: un nuevo número de cuenta bancaria al que debe realizarse el pago.
En muchos casos, ese único cambio es suficiente para que el dinero termine en manos de los ciberdelincuentes.
Lo más preocupante es que, en ocasiones, el correo electrónico es completamente legítimo. Los atacantes han conseguido acceder a la cuenta del proveedor, observan durante semanas las conversaciones comerciales y conocen cuándo debe emitirse cada factura. Solo sustituyen el documento original por otro con un IBAN bajo su control y envían el mensaje desde la dirección real del proveedor.
Siete señales para detectar una factura falsa
Aunque estos ataques son cada vez más sofisticados, existen algunos indicios que pueden ayudar a detectarlos.
- Solicitudes inesperadas de cambio de cuenta bancaria. Un cambio de IBAN debe verificarse siempre por un canal independiente antes de realizar cualquier pago. Los proveedores habituales no suelen modificar sus datos bancarios sin comunicarlo previamente por vías formales.
- Revisa cuidadosamente el remitente. En algunos casos el correo procede de la cuenta legítima del proveedor porque ha sido comprometida. En otros, los atacantes utilizan direcciones casi idénticas, cambiando únicamente una letra, un guión o el dominio. Conviene revisar con atención la dirección completa del remitente.
- Comprueba el origen del nuevo IBAN. Si el nuevo número de cuenta pertenece a un país diferente del habitual o no guarda relación con el proveedor, es recomendable extremar las comprobaciones antes de autorizar el pago.
- Desconfía de la urgencia. Mensajes como ‘último aviso’, ‘pago urgente’ o ‘evite retrasos’ buscan reducir el tiempo de análisis y favorecer decisiones precipitadas. La presión es uno de los recursos más utilizados por los ciberdelincuentes.
- Analiza el documento recibido. Si la factura presenta diferencias de calidad, zonas pixeladas, cambios de tipografía o alteraciones visibles alrededor del número de cuenta, podría haber sido manipulada digitalmente.
- Verifica importes y conceptos. La aparición de nuevos conceptos, gastos inesperados o pequeñas variaciones en el importe también puede indicar que la factura ha sido modificada.
- Revisa las fechas. Un cambio repentino en el calendario habitual de facturación o la exigencia de un pago inmediato cuando no era lo acordado constituyen otra señal de alerta.
La mejor defensa: un protocolo interno de verificación
La tecnología ayuda a detectar amenazas, pero una de las medidas más eficaces sigue siendo establecer procedimientos internos claros para validar cualquier modificación relacionada con los pagos.
Una buena práctica consiste en asumir que todo cambio de cuenta bancaria debe verificarse antes de autorizar una transferencia, independientemente del aspecto del correo recibido.
Para ello, las empresas pueden incorporar tres comprobaciones básicas:
- No confirmar el cambio respondiendo al mismo correo electrónico.
- Contactar telefónicamente con el proveedor utilizando exclusivamente los datos de contacto previamente registrados por la empresa.
- Confirmar verbalmente con el interlocutor habitual que el cambio de cuenta bancaria ha sido solicitado realmente.
Si esa verificación no puede realizarse, lo más prudente es aplazar el pago hasta disponer de una confirmación por otro canal independiente.
La ciberseguridad también depende de las personas
Los ataques de tipo BEC demuestran que los ciberdelincuentes no solo buscan vulnerabilidades tecnológicas, sino también aprovechar los momentos de mayor presión operativa de las organizaciones.
Por ello, además de contar con herramientas de protección, resulta fundamental formar a los equipos responsables de la gestión de pagos y establecer procedimientos que reduzcan el riesgo de error humano.
En materia de ciberseguridad, detenerse unos minutos para verificar un cambio inesperado en una factura puede evitar importantes pérdidas económicas y reforzar la protección de la empresa frente a uno de las estafas más sofisticadas del entorno digital.