El correo del proveedor era legítimo: ¿Cómo detectar un pago manipulado?
Un ciberdelincuente puede acceder al correo de un proveedor, observar una conversación comercial y modificar los datos bancarios justo antes del pago. Para una empresa, la mejor defensa combina validación por un segundo canal, doble aprobación y protección de las cuentas corporativas.
La factura llegó desde la dirección habitual. El nombre del ejecutivo era correcto, el monto coincidía con la orden de compra y el correo aparecía dentro de una conversación iniciada semanas atrás.
Solo había un cambio: el proveedor solicitaba transferir el pago a una nueva cuenta bancaria.
Tesorería actualizó los datos y completó la operación. Horas después, el proveedor informó que el dinero nunca llegó.
Este tipo de fraude se conoce como Business Email Compromise o BEC. El FBI lo describe como un esquema en que delincuentes utilizan cuentas comprometidas, direcciones falsificadas o comunicaciones aparentemente legítimas para inducir pagos o cambios en instrucciones financieras. Entre sus ejemplos figura precisamente la modificación de datos de pago asociados a un proveedor conocido.
En nuestro país, la ANCI (Agencia Nacional de Ciberseguridad) identifica entre sus ejemplos la recepción de una factura aparentemente enviada por un proveedor habitual con instrucciones bancarias modificadas como un riesgo latente de ciberseguridad.
Cómo se infiltran en una operación real
Los fraudes BEC pueden comenzar mucho antes de la transferencia. El atacante busca acceso al correo de un proveedor, ejecutivo o trabajador mediante phishing, malware, credenciales comprometidas u otras técnicas.
Una vez dentro, puede observar conversaciones y esperar el momento adecuado para intervenir.
Los atacantes utilizan malware o cuentas comprometidas para conocer sistemas de facturación, proveedores y conversaciones relacionadas con pagos antes de enviar instrucciones fraudulentas.
En una empresa grande, ese período de observación puede entregar información especialmente valiosa: montos habituales, calendarios de pago, nombres de responsables, cadenas de aprobación y proveedores estratégicos.
El atacante puede entonces:
- Identificar facturas próximas a vencer
- Revisar quién autoriza transferencias
- Conocer montos y fechas habituales
- Crear reglas de correo para ocultar respuestas
- Modificar instrucciones bancarias
- Imitar el tono de un proveedor o ejecutivo
- Esperar una operación de alto monto para intervenir
El mensaje fraudulento puede provenir de una dirección casi idéntica a la legítima. También puede salir desde la cuenta real del proveedor si esta fue comprometida.
Ahí está una de las dificultades del BEC: un correo perfectamente escrito y enviado desde una cuenta conocida no demuestra que la instrucción financiera sea legítima.
Señales de que un pago podría estar siendo manipulado
Una conversación conocida merece una nueva validación cuando aparece un cambio financiero.
| Señal de alerta | Qué debería hacer la empresa |
|---|---|
| Cambio de cuenta bancaria | Confirmar por teléfono con un contacto previamente registrado |
| Solicitud de pago urgente | Revisar la orden de compra, factura y vencimiento original |
| Cuenta a nombre de otra persona o empresa | Suspender el pago hasta aclarar la relación |
| Nuevo país o banco de destino | Solicitar confirmación formal y doble aprobación |
| Petición de mantener la operación en reserva | Escalar la solicitud a administración o finanzas |
| Cambio inesperado en el tono del mensaje | Contactar al proveedor mediante otro canal |
| Respuesta que evita una llamada | Detener temporalmente el proceso |
| Datos bancarios enviados en un archivo nuevo | Compararlos con la ficha histórica del proveedor |
El segundo canal debe ser realmente independiente
Confirmar una solicitud mediante un segundo correo dentro de la misma conversación no constituye una validación suficiente si la cuenta ya fue comprometida.
La comprobación debería realizarse mediante un canal establecido con anterioridad.
Una empresa puede llamar al contacto registrado en su ERP o sistema de proveedores, recurrir al responsable comercial habitual o utilizar un portal seguro de proveedores.
El número telefónico no debería obtenerse desde el mismo mensaje que solicita el cambio. Un atacante puede alterar también esa información.
En una empresa grande, esta regla puede incorporarse al proceso de alta y modificación de proveedores desde el comienzo de la relación comercial.
La protección del correo forma parte del control financiero
Los procesos administrativos reducen el riesgo de que una solicitud falsa termine en un pago.
Los controles de ciberseguridad buscan detectar y contener el compromiso que permite fabricar esa solicitud.
En una gran empresa, proteger el correo requiere más que activar MFA.
La organización necesita visibilidad sobre identidades, dispositivos, sesiones y comportamiento. Un atacante que accede a una cuenta legítima puede crear reglas de reenvío, revisar conversaciones, utilizar sesiones ya autenticadas y moverse entre aplicaciones conectadas.
Dentro de un universo de soluciones de ciberseguridad empresarial, Entel Digital incluye capacidades como Identity and Access Management (IAM), Privileged Access Management (PAM), Endpoint Detection and Response (EDR), Next Generation SIEM, MDR, Threat Hunting y respuesta a incidentes.
Estas tecnologías cumplen funciones distintas. IAM y PAM ayudan a controlar identidades y privilegios. EDR entrega visibilidad sobre actividad en endpoints. Un SIEM permite correlacionar eventos, mientras servicios MDR y Threat Hunting buscan identificar comportamientos que ameritan investigación y respuesta.
El valor está en relacionar esas señales. Una cuenta financiera que inicia sesión desde un contexto inusual y luego modifica reglas del buzón o accede a información poco habitual puede requerir una investigación aunque la contraseña utilizada sea válida.
Qué hacer si la transferencia ya fue realizada
El tiempo importa cuando la empresa descubre que una transferencia pudo haber sido desviada.
El primer paso es contactar inmediatamente a la entidad financiera para informar la operación y evaluar las acciones disponibles para intentar detener o recuperar los fondos.
En Chile, la Comisión para el Mercado Financiero indica que, frente a operaciones electrónicas fraudulentas, se debe dar aviso a la entidad financiera tan pronto como se detecte el hecho.
En paralelo, el equipo de seguridad debería determinar si existe una cuenta corporativa comprometida, revocar sesiones cuando corresponda, preservar evidencia y revisar otras operaciones relacionadas.
También conviene conservar correos, encabezados, facturas, comprobantes, registros de autenticación y antecedentes utilizados durante la modificación.
El objetivo ya no es solamente recuperar el dinero. También hay que determinar qué cuenta fue comprometida, cuánto tiempo tuvo acceso el atacante y si intentó intervenir otras conversaciones.
En grandes empresas, la defensa más consistente combina controles de ciberseguridad con procesos financieros diseñados para asumir que una identidad legítima también puede ser comprometida.
Una modificación bancaria debería activar siempre una nueva validación, independientemente de lo convincente que parezca el correo. En ese momento, la pregunta relevante deja de ser "¿este mensaje parece real?" y pasa a ser "¿hemos confirmado esta instrucción fuera del canal que podría estar comprometido?".