Llega un martes cualquiera, del proveedor de siempre y en el hilo de siempre. Dice que han cambiado de banco y que las próximas facturas se paguen a una cuenta nueva. Trae adjunto un certificado de titularidad con buena pinta.
Si en tu empresa alguien ha recibido un correo así, no es mala suerte: es uno de los fraudes más corrientes que hay y de los que más dinero hacen perder a una pyme. No necesita ningún virus ni ningún ataque técnico. Solo necesita que alguien cambie un número en el programa de pagos.
¿Qué pinta tiene el correo?
La de un correo normal de un proveedor o de alguien de dentro, con una petición pequeña y urgente: cambiar la cuenta donde se paga, o hacer una transferencia que «no puede esperar». No hay faltas de ortografía ni enlaces raros, y por eso no salta ninguna alarma.
Hay dos variantes que conviene distinguir:
- Suplantación de proveedor. El correo parece de alguien a quien ya le pagáis y pide que las facturas pendientes, o las próximas, vayan a otra cuenta.
- Fraude del CEO. El correo parece de alguien de dirección y pide a administración una transferencia confidencial, urgente y fuera de lo habitual, casi siempre cuando esa persona está de viaje o «en una reunión».
Lo que tienen en común es lo importante: piden mover dinero o cambiar adónde va, con prisa y por correo. Ese es todo el ataque.
¿Por qué cuela si no tiene nada de sofisticado?
Porque llega en el momento justo y con el contexto real. Muchas veces quien lo envía ha entrado antes en el buzón del proveedor, o en uno vuestro, y ha leído las conversaciones: sabe qué facturas están pendientes, cómo firma cada uno y cuándo toca pagar.
Así que el correo no viene de la nada. Viene dentro del hilo de verdad, con los mensajes anteriores debajo, el importe correcto y la referencia de la factura buena. A veces la dirección del remitente es idéntica, porque sale del buzón robado; otras se parece mucho, con una letra cambiada o un dominio casi igual que nadie mira de cerca.
La persona que lo recibe no está siendo descuidada. Está haciendo su trabajo con la información que tiene delante, y esa información parece correcta en todo.
¿Qué hacemos si ya hemos pagado?
Llamar al banco en ese mismo momento y pedirle que intente retener o recuperar la transferencia. Cada hora cuenta: el dinero suele salir muy rápido de la cuenta de destino, y cuanto antes se avisa, más posibilidades hay de pararlo.
Después, por este orden:
- Denunciar ante la policía o la guardia civil, con los correos guardados tal cual llegaron. El banco os lo va a pedir.
- Avisar al proveedor de verdad por teléfono, a un número que ya tuvierais, nunca al que venga en el correo. Si su buzón está comprometido, es posible que otros clientes suyos estén recibiendo lo mismo.
- Revisar vuestro propio correo. Si el atacante sabía tanto, puede que haya leído un buzón vuestro. Hay que cambiar contraseñas, cerrar las sesiones abiertas y mirar si hay reglas de reenvío que nadie recuerda haber creado.
Lo que no conviene hacer es contestar al correo para «aclararlo»: al otro lado está quien lo mandó.
¿Qué lo corta de verdad?
Una regla sencilla, escrita y sin excepciones: ningún cambio de número de cuenta ni ningún pago fuera de lo normal se hace solo porque lo diga un correo. Se confirma antes por un canal distinto, con un teléfono que ya teníais y hablando con una persona que conocéis.
Parece poco, y es lo único que funciona siempre, porque el ataque entero depende de que todo pase por correo. En cuanto alguien levanta el teléfono, se acaba.
Para que la regla aguante, tiene que cumplir tres cosas:
- Está escrita y la conoce todo el que toca pagos, no solo quien la propuso.
- No tiene excepciones por urgencia. La urgencia es precisamente la herramienta del fraude: una petición que no puede esperar a una llamada es la primera que hay que comprobar.
- Nadie se molesta porque se cumpla. Si dirección se enfada cuando administración llama para confirmar, la regla dura dos semanas.
¿La parte técnica no ayuda?
Ayuda a que lleguen menos, pero no a que no llegue ninguno. Un buen filtrado del correo detecta muchos remitentes que se hacen pasar por otros y avisa cuando una dirección se parece sospechosamente a una conocida. Y el doble factor en los buzones pone mucho más difícil que alguien entre en el vuestro y lea las conversaciones.
Pero si el correo sale del buzón real del proveedor, ningún filtro va a ver nada raro, porque no hay nada raro que ver. Por eso la regla de la llamada va primero y la tecnología después: cada una cubre lo que la otra no puede.
Si quieres revisar cómo os llega el correo y qué protección tiene cada buzón, es justo el trabajo de Protección del puesto y del correo.