Factura con IBAN cambiado y falsa orden de la dirección: cómo la ciberseguridad gestionada frena el fraude por correo

• No es software, es comportamiento Estos ataques explotan la prisa, la jerarquía y la confianza.
• La factura alterada va en cabeza Es el fraude más rentable en Portugal y no deja rastro técnico.
• Procedimiento por encima de tecnología Solo una regla impide un pago legítimo a la cuenta equivocada.
• La regla maestra Los cambios de datos bancarios se confirman por teléfono, en un número ya conocido.

1. Intrusión — el atacante compromete el buzón de un proveedor o de la propia empresa.
2. Observación — durante semanas aprende en silencio quién factura a quién, importes, tono y plazos.
3. Interceptación — cuando llega una factura real, la reenvía con el IBAN cambiado. Importe, referencia, historial y firma son auténticos.
4. Pretexto — a menudo una nota casual: «hemos cambiado de banco, les rogamos que actualicen los datos».
5. Descubrimiento tardío — semanas después, el proveedor real pregunta por el pago pendiente.

Quien pagó hizo su trabajo correctamente. Por eso la defensa es una regla sin excepciones, ni siquiera para proveedores de siempre: cualquier cambio de IBAN se confirma por teléfono, en el número que ya tenían, nunca en el que viene en el correo.

A contabilidad o tesorería llega un mensaje de un administrador: urgente, confidencial, la persona está de viaje y no puede atender. Pide una transferencia inmediata.

El mensaje ataca tres puntos a la vez: urgencia, para que no haya tiempo de pensar; autoridad, para que no haya preguntas; confidencialidad, para que no haya verificación con los compañeros. Hoy usa el nombre correcto, la firma correcta y, a veces, asuntos internos reales sacados de correos anteriores.

La defensa es organizativa: por encima de un importe definido, ninguna transferencia sale sin confirmación por un segundo canal. Y la dirección tiene que decirle al equipo, de forma explícita, que nunca le molestará que le pidan confirmación.

Los dos esquemas empiezan casi siempre igual: alguien escribió su contraseña en una página que parecía legítima. Las páginas falsas son copias fieles; solo la dirección web las delata, y nadie la comprueba con prisa.

• Autenticación en dos pasos para todos La medida aislada con mejor relación esfuerzo/protección; una contraseña robada deja de bastar.
• Gestor de contraseñas Evita la reutilización y no rellena credenciales en una dirección falsa, con lo que detecta el fraude antes que la persona.
• Alertas de reenvío automático Una regla que envía correo hacia fuera es el primer paso de quien compromete una cuenta y pasa meses inadvertido.

• IBAN cambiado Confirmación telefónica en un número conocido previamente.
• Doble aprobación Por encima de un límite, quien solicita no es quien aprueba.
• La urgencia no exime de verificar La urgencia es la herramienta del atacante.
• Derecho a parar Cualquier persona puede suspender un pago sin justificar su desconfianza; si la cultura castiga a quien pregunta, nadie pregunta.

Añada formación breve y periódica con casos reales: quince minutos por trimestre funcionan mejor que dos horas al año que nadie recuerda.

1. Banco — solicite de inmediato la cancelación o la recuperación de la transferencia; las primeras horas cuentan.
2. Cuentas — cambie las contraseñas y cierre todas las sesiones activas.
3. Buzón — busque reglas de reenvío creadas por el atacante.
4. Autoridades — presente denuncia.
5. Contraparte — avise al proveedor o cliente; probablemente es él quien está comprometido y otras empresas reciben las mismas facturas.
6. Causa — solo después, averigüe por dónde entraron. Sin eso, se repite.

DataRoad - IT Services and Consulting implanta autenticación robusta, filtrado de correo y firewalls gestionados como parte de sus servicios IT gestionados. Solicite una evaluación sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950* o escriba a sales@dataroad.pt.

*Llamada a la red fija nacional portuguesa.