Un proveedor cambió su cuenta bancaria: qué verificar antes de pagar
Recibió una nueva cuenta bancaria de un proveedor. Verifique el cambio por un contacto conocido y conozca los primeros pasos si ya pagó.
La factura es conocida. El importe coincide. Incluso el mensaje parece continuar una conversación pendiente. Solo cambia un detalle: esta vez debe pagar a otra cuenta.
Ese cambio merece una comprobación fuera del correo, aunque el resto resulte convincente. No utilice el teléfono que viene en la nueva instrucción: llame a un contacto que ya tenía registrado. Así evita que el mismo mensaje sospechoso controle también la supuesta verificación.
La estafa busca aprovechar un trámite normal
No siempre aparece un archivo infectado o un enlace extraño. A veces basta una instrucción falsa para desviar un pago. El FBI describe este engaño dentro del fraude por correo empresarial, que puede utilizar identidades imitadas o cuentas comprometidas.
Una firma correcta, una conversación anterior o el conocimiento de una factura no prueban que la nueva cuenta esté autorizada. Tampoco demuestran por sí solos que alguien haya entrado en su correo. La comprobación del pago y la investigación técnica son trabajos distintos.
Antes de transferir, separe tres decisiones
Primero confirme que el cambio lo solicita una persona autorizada del proveedor. Después valide los datos bancarios por el procedimiento acordado entre ambas empresas. Por último, obtenga la aprobación interna que corresponda al pago.
Por ejemplo, si una persona registra los cambios de proveedor y otra autoriza transferencias, no sustituya esa revisión por un “ya lo confirmé” dentro del hilo. Deje constancia de quién comprobó el cambio, por qué canal y quién lo aprobó. Es una propuesta de control operativo; cada empresa debe adaptarla a su organización.
Si no localiza al contacto habitual, detenga el cambio y escálelo. La urgencia del remitente no convierte una cuenta nueva en una cuenta verificada. Una llamada entrante tampoco basta: puede hacerse pasar por el proveedor. Es preferible que usted inicie la comunicación al número conocido.
Qué revisar en el mensaje
Abra los detalles del remitente y compare la dirección completa, no solo su nombre. Revise si al responder cambia el destinatario y si el dominio tiene letras distintas. Estas señales pueden detectar una imitación, pero su ausencia no descarta el fraude.
No convierta “pasó el antispam” en una autorización de pago. Un mensaje enviado desde una cuenta legítima comprometida puede conservar autenticación válida. INCIBE recomienda verificar por otro canal las solicitudes empresariales inusuales.
Conserve el original para que el responsable técnico pueda examinarlo. No reenvíe documentos financieros a herramientas públicas para “ver si son seguros”.
Si la transferencia ya salió
Comuníquese inmediatamente con su banco por sus canales oficiales y explique la sospecha. Pregunte qué acciones pueden intentar sobre la operación; no asuma que será recuperable. Informe al responsable de pagos y conserve comprobantes, mensajes y horarios para la investigación y denuncia por los canales que correspondan.
También debe verificarse si alguna cuenta quedó comprometida, pero no espere a terminar ese análisis para avisar al banco. Si el supuesto proveedor insiste por correo, no continúe la negociación por ese mismo hilo.
Una protección que termina en una decisión bien tomada
La seguridad del correo y el control de pagos se complementan. La primera reduce riesgos y aporta evidencia; el segundo impide que una instrucción sin confirmar se convierta automáticamente en dinero transferido.
