Pagar a una cuenta equivocada porque un correo parecía de tu proveedor no significa que tu equipo sea incompetente. Significa que el atacante conocía suficientemente bien la operación para hacerse pasar por ella.
Puede saber números de factura, fechas, importes, contactos y hasta la forma en que tu proveedor escribe. Por eso el mensaje no parece sospechoso: parece rutina.
Si ya pagaste, actúa con rapidez, pero no tomes decisiones impulsivas.
Primero: contacta al banco y al proveedor real
Comunícate con tu banco para reportar la operación y evaluar las opciones de recuperación o devolución.
Conserva los folios de la reclamación y los datos de la transferencia. No edites los comprobantes ni intentes corregirlos.
Después, contacta al proveedor por un canal que ya conocías. No respondas al correo que anunció el cambio de cuenta ni uses el teléfono incluido en ese mensaje.
Pregunta de forma concreta:
Pregunta al proveedor si cambió realmente sus cuentas bancarias, quién autorizó ese cambio y si recibió el pago, usando un teléfono o canal que ya conocías. No respondas al mismo correo que introdujo la instrucción dudosa. Si el proveedor dice que no cambió nada, pide que conserve accesos, reglas y mensajes de su buzón para revisar cuándo detectó el incidente.
También necesitas saber qué correo utilizó tu empresa para confirmar el pago. Ese detalle ayuda a identificar si la conversación continuó en un dominio falso, en una cuenta comprometida o en un hilo legítimo interceptado. El objetivo no es conseguir una confesión rápida, sino construir una secuencia que pueda comprobarse con registros de ambas partes.
En un caso real de falso proveedor, la diferencia entre el correo legítimo y el fraudulento era una letra menos en el dominio. Los equipos revisados no mostraban el malware que todos esperaban encontrar. La brecha estaba en la lectura de una dirección que parecía familiar y en una instrucción de pago que nadie había confirmado por un canal independiente.
La ausencia de malware no convertía el fraude en menos real, pero impedía contarlo como una intrusión técnica sofisticada. Los mensajes, el dominio y el beneficiario permitían reconstruir el engaño con mayor precisión que una búsqueda indiscriminada de virus. Esa distinción también ayudaba a revisar controles sin culpar automáticamente a quien había ejecutado la transferencia.
Si ya pagaste, reporta la operación con sus identificadores y conserva el correo completo; no envíes otra transferencia para comprobar la cuenta. Compras debe verificar el cambio con un contacto conocido y Jurídico debe recibir la secuencia original. El análisis pericial puede aclarar si hubo compromiso, imitación o ambos, sin prometer que el dinero regresará ni ocultar que una buena apariencia también puede engañar.
Mientras se revisa, reporta la operación al banco y evita nuevos pagos. La responsabilidad no se deduce automáticamente de quién tenía mejor seguridad: se analiza con la instrucción, los controles aplicados y la evidencia disponible. Un segundo pago hecho para demostrar buena fe puede convertir una discrepancia investigable en dos pérdidas.
No envíes aún toda la información del incidente. Primero verifica que estás hablando con la persona correcta.
Preserva los correos originales
No reenvíes el mensaje sospechoso. Guarda el archivo original y sus encabezados completos.
Reúne:
- El correo que solicitó el cambio.
- Los correos anteriores de la misma conversación.
- Las notificaciones de pago.
- Las facturas.
- Los comprobantes de transferencia.
- Los mensajes del proveedor real.
- Los registros de acceso a tus cuentas.
- Cualquier cambio reciente en contactos o reglas de buzón.
Una conversación completa permite comparar qué cambió y cuándo. Una captura aislada puede ocultar el detalle que explica el fraude.
Compara el remitente, no solamente el nombre
El atacante puede mostrar como nombre visible la dirección verdadera del proveedor y utilizar otra cuenta para enviar.
Revisa:
- Dirección real de envío.
- Dominio completo, letra por letra.
- Campo de respuesta.
- Servidores de envío.
- Firmas y archivos adjuntos.
- Fechas de los mensajes.
- Errores de redacción copiados del original.
En un caso, dos correos llegaron el mismo día con el mismo primer párrafo y el mismo error de redacción. Uno procedía de la cuenta verdadera; el otro, de un dominio apócrifo. El error copiado ayudó a distinguir la imitación.
La semejanza no es casualidad cuando el impostor copió exactamente lo que recibió.
¿Cómo sabía los datos de las facturas?
Que el correo contenga importes, fechas y conceptos reales indica una exposición previa de información. No demuestra por sí solo de qué lado salió.
Puede haber ocurrido:
- Compromiso del correo del proveedor.
- Compromiso de tu propia empresa.
- Acceso a otra empresa de la cadena.
- Uso indebido de una cuenta compartida.
- Filtración de documentos.
- Acceso a una conversación anterior.
No acuses al proveedor ni a tu equipo sin revisar. Primero determina dónde estaba esa información y quién podía acceder a ella.
Revisa el dominio sin convertirlo en una conclusión apresurada
El dominio apócrifo puede tener una letra menos, un guion adicional o una extensión distinta. También puede compartir servidor con otros dominios registrados para imitar a otras empresas.
Eso ayuda a reconstruir infraestructura, pero no demuestra por sí solo quién la controla.
Los datos de registro pueden estar ocultos, ser falsos o corresponder a un intermediario. La evidencia debe describir qué se comprobó y qué queda sin resolver.
Qué hacer con tus cuentas
Desde un dispositivo limpio:
- Cambia contraseñas.
- Revoca sesiones.
- Revisa reglas de buzón.
- Revisa alias y delegados.
- Revisa accesos recientes.
- Activa segundo factor.
- Revisa si el atacante creó filtros para ocultar respuestas del proveedor.
Después, solicita al proveedor que revise lo propio. El atacante puede estar leyendo las dos conversaciones y respondiendo por ambas partes.
No conviertas a tus empleados en sospechosos por reflejo
Cuando el fraude utiliza información precisa, la primera reacción puede ser buscar a alguien dentro de la empresa.
Antes de señalar, revisa accesos, registros y vectores técnicos. Una persona puede haber recibido instrucciones aparentemente legítimas y haber seguido un proceso que todos consideraban normal.
La pregunta correcta no es solamente quién pagó, sino qué proceso permitió que un cambio bancario se aprobara sin verificación independiente.
El cambio de cuenta necesita una prueba independiente
Una suplantación de proveedor o pago desviado suele aprovechar datos de una operación verdadera. La empresa debe confirmar el cambio mediante un contacto ya conocido, no respondiendo al mismo correo. Para Finanzas importa detener nuevas salidas; para Jurídico importa conservar la instrucción exacta y su trayecto. El análisis pericial puede establecer diferencias técnicas y cronología, sin divulgar las reglas internas de validación que protegerían futuros pagos.
