El fraude del cambio de cuenta del proveedor: cómo detectarlo antes de pagar

Imagine que un martes llega un correo del proveedor de la caldera: «Por cambio de entidad, a partir de esta factura ingrese en la cuenta que figura abajo». Mismo logotipo, misma firma, hasta la misma forma de saludar. El jueves la factura se paga: 11.800 euros de la comunidad. Dos semanas después llama el verdadero proveedor para preguntar por qué no ha cobrado.

Es el fraude del cambio de cuenta bancaria, una variante del llamado business email compromise, de la misma familia que el fraude del CEO. Se defiende con una regla muy simple: nunca se cambia un IBAN por correo sin verificarlo por otra vía. El resto del artículo es cómo convertir esa regla en un hábito del despacho.

Cómo funciona

Hay dos versiones, y la segunda es la más peligrosa:

• Suplantación. El estafador crea una dirección parecida a la del proveedor (una letra cambiada) y escribe desde ahí con una factura o un aviso de cambio de cuenta.
• Cuenta comprometida. El estafador ha entrado en el correo del proveedor, o en el suyo, y lee las conversaciones reales. Contesta dentro de un hilo auténtico, con el importe y el concepto correctos. Nada en el mensaje parece raro, porque en parte es auténtico.

También existe la versión inversa: alguien que se hace pasar por el presidente y le pide una transferencia urgente «porque no puede hablar ahora».

Las señales de alerta

• Un cambio de cuenta anunciado por correo o por un mensaje, sin llamada previa.
• Una cuenta de otro país o de una entidad que nada tiene que ver con la anterior, o a nombre de una persona distinta al titular habitual.
• Prisa: «pague hoy para evitar recargos».
• Petición de confidencialidad: «no lo comente con el resto del equipo».
• Una dirección de respuesta distinta de la que aparece como remitente.
• Un tono o una redacción que no es el habitual de esa persona.

Un protocolo que cabe en una página

No hace falta un departamento de seguridad. Basta con acordar cuatro pasos y cumplirlos siempre:

1. Llamada de comprobación. Antes de modificar un IBAN, llame a un teléfono que ya tuviera guardado, nunca al que figura en el correo que pide el cambio.
2. Doble control. Una persona registra el cambio de cuenta y otra distinta autoriza el primer pago a ese IBAN.
3. Ficha de proveedores. Los datos bancarios viven en una única ficha, con fecha del cambio y de quién lo verificó. Si algo no encaja, se ve.
4. Primer pago con calma. El primer pago a una cuenta nueva no es urgente nunca. Si el proveedor protesta por esperar un día, mejor.

Para las órdenes aparentemente del presidente, la regla es la misma: una petición de pago fuera de lo habitual se confirma por teléfono con la persona.

Si ya se ha pagado

El tiempo juega en su contra, así que actúe en este orden:

1. Llame de inmediato a su banco y pídales que intenten recuperar la transferencia. Cuanto antes se avise, más posibilidades hay; no se puede garantizar nada.
2. Presente una denuncia ante la Policía Nacional o la Guardia Civil. Le servirá ante su entidad y ante el seguro.
3. Avise al presidente y a la comunidad afectada. Es su dinero y tienen derecho a saberlo.
4. Revise cómo entró el atacante: ¿se ha comprometido el correo de alguien del despacho? Cambie contraseñas y active el doble factor de autenticación.

Quién asume la pérdida depende del caso concreto: del contrato con la comunidad, de cómo se produjo el fraude y de los seguros contratados. Consúltelo con su asesor jurídico y con su aseguradora de responsabilidad civil antes de dar nada por sentado.

Y la protección de datos, ¿qué pinta aquí?

Más de lo que parece. Si el fraude se apoyó en un correo del despacho que el atacante había leído, hubo acceso no autorizado a datos personales (nombres, facturas, a veces datos bancarios). Eso puede constituir una violación de la seguridad de los datos personales, que el RGPD define en su art. 4.12, y hay que valorarla y documentarla aunque al final no haya que notificarla. Tiene el procedimiento en Brecha de seguridad: las 72 horas.

Además, el RGPD obliga a aplicar medidas de seguridad adecuadas al riesgo (art. 32). Un procedimiento escrito de verificación de pagos, junto con formación del equipo, es precisamente ese tipo de medida. Muchos fraudes empiezan con un correo de phishing que da acceso al buzón.

Cómo contárselo a la comunidad

Conviene que los presidentes sepan que el despacho verifica los cambios de cuenta, y por qué. Una frase en la comunicación habitual basta: «Por seguridad, ningún cambio de datos bancarios de proveedores se acepta por correo sin confirmación telefónica». Así, si un día un presidente recibe un mensaje parecido, sabrá que debe reenviárselo al despacho en lugar de contestar. También ayuda pedir a los proveedores habituales que incluyan su IBAN en el contrato y que cualquier cambio se comunique con una carta firmada o una llamada, no con un correo suelto.

En resumen

• El fraude del cambio de cuenta busca que usted pague a un IBAN que no es el del proveedor.
• Puede venir de una dirección falsa o de una cuenta real comprometida, y en ese caso el mensaje parece auténtico.
• La defensa es la llamada de comprobación a un teléfono conocido y el doble control del primer pago.
• Si ya pagó, avise al banco al momento y denuncie.
• Si hubo acceso al correo, valore si hay una brecha y déjela documentada.

Si quiere que el despacho tenga este protocolo por escrito y alineado con sus obligaciones de seguridad, el siguiente paso es revisarlo junto con el resto de procedimientos de las comunidades que administra.