El correo que cambió la cuenta del banco: así se roban el pago de tu proveedor

¿Y si el correo que te pide cambiar la cuenta del banco no viene de tu proveedor, sino de alguien que se hace pasar por él?

No es una pregunta para asustarte, es una pregunta para protegerte, porque así empieza uno de los fraudes que más dinero les cuesta a los negocios hoy: el fraude por correo empresarial, conocido como Business Email Compromise. El delincuente no rompe la puerta de tu oficina ni hackea tu banco. Estudia a tu proveedor, copia su nombre, su logo y hasta el número de la factura, y te escribe un correo que parece totalmente normal. Solo cambia una cosa: la cuenta donde debes depositar el pago.

Y cuando el dinero sale, sale para la cuenta del delincuente. Tu proveedor real nunca lo recibe, y tú te quedas con la deuda, con la vergüenza y con la factura por pagar dos veces.

Los números del FBI lo ponen en perspectiva. En su informe anual de delitos en internet de 2024, el Centro de Quejas de Delitos en Internet (IC3) de Estados Unidos recibió 21,442 denuncias de este fraude, con pérdidas reportadas de 2,770 millones de dólares. Fue el segundo delito más costoso del año, solo detrás del fraude de inversión, dentro de un total récord de 16,600 millones de dólares en pérdidas por ciberdelitos. Y ojo, esas son solo las pérdidas reportadas. Muchos negocios no denuncian por pena o porque creen que ya no hay nada que hacer.

¿Por qué le importa esto a tu negocio, aunque sea pequeño? Porque el delincuente no busca al más grande, busca al más confiado. Sabe que en un negocio pequeño la misma persona recibe la factura, la aprueba y la paga, muchas veces a las carreras, entre una reunión y otra. Sabe que un correo con el nombre de tu proveedor de siempre, con el monto exacto y con un "por favor, actualiza nuestros datos bancarios antes del pago de esta semana" no levanta sospechas. Y sabe que la prisa es su mejor aliada: cuando te presionan con urgencia, dejas de verificar.

Las señales están ahí, si sabes mirarlas. Un cambio repentino de cuenta bancaria, un correo que llega justo cuando esperas esa factura, un tono de urgencia que no es el usual de tu proveedor, o una dirección de correo casi idéntica a la real, con una letra cambiada que a simple vista no se nota. Ninguna de estas señales por sí sola prueba el fraude, pero cualquiera de ellas es razón suficiente para hacer una pausa.

La buena noticia es que este fraude se frena con una regla sencilla, que no cuesta dinero, solo disciplina: ningún cambio de datos bancarios se hace por correo. Punto. Esto es lo que puedes aplicar hoy mismo en tu negocio:

1. Pausa el pago ante cualquier cambio de cuenta. Un proveedor de verdad entiende que verifiques, un delincuente cuenta con que no lo hagas.
2. Llama al número que ya tienes archivado. Usa el teléfono de tu expediente, de tu contrato o de una factura anterior, nunca el número que aparece en el correo que pide el cambio, porque ese número también lo puede controlar el delincuente.
3. Confirma con una persona autorizada y anota quién te confirmó, cuándo y qué confirmó. Esa nota es tu evidencia y tu control.
4. Exige una segunda aprobación para todo cambio de datos bancarios y para pagos altos. Que una persona prepare el pago y otra lo apruebe cambia el juego por completo.
5. Revisa el remitente completo, letra por letra, y desconfía de la urgencia. La urgencia no acelera el pago, acelera la verificación.
6. Si ya enviaste el dinero a la cuenta equivocada, actúa en la primera hora: llama a tu banco y pide que intenten recuperar los fondos, presenta tu denuncia en ic3.gov y avisa a tu proveedor real por un canal que ya conoces. Mientras más rápido actúes, más posibilidades hay de congelar el dinero.

El FBI recomienda exactamente esto: verificar los cambios de cuenta por un segundo canal, distinto al correo, y revisar con cuidado la dirección del remitente. No es tecnología complicada, es administración sana. Es el mismo principio que aplicas cuando no entregas mercancía sin verificar el pago: no mueves dinero sin verificar a quién se lo estás moviendo.

Más vale prevenir que lamentar, y en este caso prevenir es una llamada de dos minutos. Tu negocio no se construyó en un día, y no se puede perder por un correo. Empieza hoy: escribe la regla en una página, compártela con quien maneja tus pagos y pégala donde se aprueban las facturas. La próxima vez que llegue un correo pidiendo cambiar una cuenta, tu equipo ya sabrá qué hacer: pausar, llamar y verificar.

Si quieres que revisemos juntos los controles básicos de pagos de tu negocio, agenda una conversación conmigo aquí: https://calendar.app.google/krXr5P5jXsJdRB938

Fuentes:

- FBI, Internet Crime Complaint Center (IC3), Informe anual 2024 (Estados Unidos): 21,442 denuncias de fraude por correo empresarial (BEC), con pérdidas reportadas de $2,770,151,146; total de pérdidas por ciberdelitos en 2024: $16,600 millones. https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf

- FBI, Business Email Compromise: consejos de prevención (Estados Unidos): usar canales secundarios para verificar cambios de información de cuentas y verificar la dirección de correo del remitente. https://www.fbi.gov/investigate/cyber/alerts/2024/business-email-compromise-the-55-billion-dollar-scam

- FBI, Internet Crime Complaint Center (IC3), página de Business Email Compromise (Estados Unidos): qué hacer ante un incidente, contactar al banco de inmediato y presentar una denuncia en ic3.gov. https://www.ic3.gov/CrimeInfo/BEC