Un correo de proveedor puede tener el logotipo correcto, la firma de siempre, la factura exacta y todavía ser falso.
Los fraudes de suplantación no siempre parecen un mensaje mal escrito lleno de errores. A veces copian un correo legítimo completo, incluido un error de redacción que lo hace más creíble.
La mejor defensa no es adivinar: es tener un procedimiento que obligue a verificar.
Lee la dirección real, no el nombre visible
El nombre del remitente puede decir “Proveedor de confianza” o mostrar su dirección verdadera como etiqueta. Eso no demuestra que el correo salió de esa cuenta.
Revisa:
Revisa la dirección completa de envío y el dominio letra por letra, no solo el nombre que aparece en la pantalla. Compara también el campo de respuesta: puede dirigir tu contestación a una cuenta diferente de la que simula ser el proveedor. Los enlaces se examinan sin abrirlos y los adjuntos no se ejecutan para comprobar si son legítimos.
La apariencia del mensaje es deliberadamente familiar porque el atacante necesita que dejes de revisar. Una firma correcta, un logo actualizado y una factura con importe esperado no sustituyen esa comprobación. Si el mensaje cambia cuenta bancaria, introduce un nuevo contacto o presiona para pagar hoy, detén el proceso y confirma por un canal independiente.
En un caso real, el impostor no se limitó a copiar un logotipo: reprodujo el texto del proveedor con una peculiaridad de redacción, incluso una coma y un error que también aparecían en el correo original. Esa fidelidad hacía que el mensaje resultara especialmente convincente. Al ampliar la revisión, varios dominios parecidos compartían datos de registro o control, lo que permitía ver una infraestructura relacionada y no un correo aislado.
La enseñanza no es buscar faltas de ortografía para descubrir todo fraude. Un mensaje impecable puede ser falso y uno con errores puede ser legítimo. Lo útil fue comparar el dominio, los encabezados y la relación entre mensajes antes de pagar, sin abrir adjuntos ni responder al impostor para pedirle una explicación.
Compras necesita una pausa sencilla: confirmar cualquier cambio bancario con datos obtenidos previamente, no con los que llegan en el mismo correo. El abogado y el especialista necesitan el mensaje original y la cronología de la negociación. Así se protege la operación sin convertir una sospecha en una acusación pública contra el proveedor legítimo.
El departamento de compras debe poder aplicar esta pausa sin sentir que está acusando a un proveedor legítimo. La verificación es una práctica de control, no una descortesía. Cuando el pago es urgente, esa urgencia debe elevar el nivel de comprobación, no eliminarlo.
Busca una letra faltante, un guion nuevo, una extensión diferente o caracteres parecidos. Si el dominio cambió, detén el pago y verifica.
No respondas al mensaje para preguntar si es verdadero. Eso le daría al impostor otra oportunidad de responder.
El cambio de cuenta bancaria siempre se confirma por otro canal
La regla debería ser sencilla:
Ningún cambio de datos bancarios se acepta únicamente por correo electrónico.
Verifica mediante un número o canal que ya conocías, no el que aparece en el mensaje sospechoso. Pregunta quién autorizó el cambio y confirma los datos con la persona correspondiente.
Cuando sea posible, utiliza doble validación:
- Una persona recibe la instrucción.
- Otra confirma al proveedor.
- Una tercera autoriza el pago si el importe lo justifica.
No es burocracia. Es evitar que un solo correo pueda mover todo el dinero de la empresa.
Señales que merecen una pausa
No todos son errores. Algunos son cambios pequeños en la rutina:
- Urgencia inusual.
- Nueva cuenta en otro país.
- Cambio de beneficiario sin explicación.
- Amenaza de suspender servicios.
- Presión para pagar el mismo día.
- Solicitud de mantener el cambio en secreto.
- Enlaces que no corresponden al dominio habitual.
- Archivos adjuntos inesperados.
- Respuestas que parecen copiadas de otra conversación.
La información exacta de una factura no elimina la sospecha. Puede significar que el atacante ya estaba leyendo correos anteriores.
Revisa la conversación completa
Un mensaje aislado puede parecer normal. La conversación completa puede revelar que hay dos remitentes distintos respondiendo como si fueran el mismo.
Compara:
- Dirección de los mensajes anteriores.
- Firmas.
- Errores copiados.
- Formato de las tablas.
- Fechas.
- Datos bancarios anteriores.
- Estilo de respuesta del proveedor real.
Si hay dos correos casi idénticos el mismo día, no elijas el que llegó más recientemente. Verifica cuál pertenece a la cuenta verdadera.
SPF, DKIM y DMARC ayudan, pero no responden todo
Los mecanismos de autenticación de correo pueden aportar información sobre origen y firma. Sin embargo, no siempre son fáciles de interpretar y pueden faltar, estar mal configurados o no resolver que una cuenta legítima fue comprometida.
Un correo que pasa ciertas validaciones no es automáticamente seguro. Un correo que falla tampoco es automáticamente fraudulento.
Sirven como parte del análisis, no como botón de “verdadero” o “falso”.
Qué hacer antes de pagar
Aplica esta lista:
- Detén la operación si cambió la cuenta bancaria.
- Revisa el dominio completo.
- No abras enlaces ni adjuntos sospechosos.
- Contacta al proveedor por un canal conocido.
- Confirma identidad y autorización.
- Compara con facturas y datos anteriores.
- Documenta la verificación.
- Autoriza con doble control cuando el importe lo requiera.
Si el proveedor real dice que nunca cambió de cuenta, conserva los correos y revisa ambos lados de la comunicación. El fraude puede estar activo en los dos extremos.
Qué hacer si ya pagaste
Contacta al banco inmediatamente y conserva los folios de reclamación. Después, verifica al proveedor real y preserva correos, comprobantes y registros.
No borres los mensajes, no reenvíes el correo sospechoso y no continúes negociando con el impostor.
También revisa si tu cuenta tiene reglas ocultas, accesos anómalos o sesiones comprometidas. El problema no siempre está en leer mejor el correo: puede estar en quién está leyendo tu bandeja.
El nombre visible no es la dirección real
En una suplantación de correo o falso proveedor, conviene revisar dominio completo, contexto del cambio y consistencia con operaciones anteriores. SPF, DKIM y DMARC aportan datos cuando están disponibles, pero no convierten en legítimo todo mensaje ni sustituyen una llamada independiente. Compras necesita una regla sencilla de verificación; Jurídico necesita conservar el original. No hace falta revelar filtros internos ni cada umbral antifraude para aplicar esa disciplina.
