Fraude del IBAN y del falso CEO: las reglas que frenan el engaño

• El objetivo son las personas Prisa, jerarquía y confianza, no vulnerabilidades técnicas.
• Uno de los fraudes dominantes La factura con IBAN alterado no deja rastro técnico.
• La tecnología no basta Un pago autorizado por error solo se evita con una regla.
• La regla Los datos bancarios nuevos se validan por teléfono, en un contacto que ya existía.

1. Entrada: el delincuente accede al correo de un proveedor, o al de su propia empresa.
2. Espera: semanas leyendo sin tocar nada: quién paga a quién, qué importes, qué lenguaje, qué fechas.
3. Cambio: toma una factura auténtica y la reenvía con otro IBAN. Importe, referencia, conversación previa y firma son correctos.
4. Excusa: suele llegar un aviso desenfadado: "hemos cambiado de banco, por favor actualicen".
5. Descubrimiento: solo cuando el proveedor real reclama el pago, semanas después.

Quien pagó no se equivocó: siguió el proceso. Por eso la defensa tiene que ser una regla absoluta, también con proveedores de toda la vida. Cualquier cambio de IBAN se valida con una llamada al número que la empresa ya tenía registrado, y nunca al que aparece en el correo.

Alguien de tesorería o contabilidad recibe un mensaje de un consejero. Es urgente y confidencial, está de viaje y no contesta al teléfono. Necesita una transferencia ya.

El texto pulsa tres botones a la vez. Prisa, para cortar la reflexión. Poder, para inhibir las preguntas. Secreto, para impedir que se confirme con un compañero. Hoy estos mensajes aciertan con el nombre, la firma e incluso temas internos reales, copiados de correos antiguos.

La respuesta es organizativa, no tecnológica. A partir de un importe fijado, ninguna transferencia sale sin validación por otro canal. Y la dirección tiene que declarar al equipo, por escrito si es posible, que nunca se tomará a mal una petición de confirmación.

Casi siempre por una contraseña escrita en una página de inicio de sesión falsa. Estas páginas imitan a la perfección la original; la única pista es la dirección, y quien tiene prisa no la lee. Tres controles reducen este riesgo de forma drástica:

• Autenticación de dos factores para todos La mejor relación entre esfuerzo y protección; la contraseña robada, por sí sola, ya no abre la cuenta.
• Gestor de contraseñas Elimina la reutilización y se niega a rellenar credenciales en un dominio falso, avisando antes de que la persona se dé cuenta.
• Alerta de reenvío Lo primero que hace un intruso es crear una regla que copia el correo al exterior; sin alerta, se queda ahí meses.

• Validar el IBAN con una llamada Siempre a un contacto registrado previamente.
• Cuatro ojos Por encima del límite, quien pide el pago no es quien lo aprueba.
• La urgencia es una señal de alarma Nunca un motivo para saltarse la verificación.
• Permiso para frenar Cualquier empleado puede suspender un pago sin justificar la duda. Donde preguntar se castiga, nadie pregunta.

Complételo con formación breve y frecuente, con ejemplos reales. Un cuarto de hora por trimestre fija más que una sesión anual de dos horas.

Cada hora cuenta. Siga este orden:

1. Llame al banco: pida la cancelación o la recuperación de la transferencia, cuanto antes mejor.
2. Cierre las cuentas: contraseñas nuevas y todas las sesiones abiertas cerradas.
3. Revise el correo: busque reglas de reenvío que usted no creó.
4. Presente denuncia: ante las autoridades.
5. Avise a la otra parte: el proveedor o cliente probablemente está comprometido, y otras empresas reciben las mismas facturas falsas.
6. Averigüe el origen: solo al final, pero sin falta. Si no sabe cómo entraron, volverán.

DataRoad - IT Services and Consulting configura autenticación fuerte, filtrado de correo y ciberseguridad gestionada con firewalls dentro de los servicios IT gestionados. Solicite una evaluación sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. +351 211 459 950 * · sales@dataroad.pt

*Llamada a la red fija portuguesa.