El proveedor existe, la factura parece real y aun así es fraude: cómo verificar una operación antes de pagar
El proveedor existe. La compra sí se realizó. La factura corresponde al servicio. El monto es correcto y el correo parece venir del contacto habitual.
Todo coincide.
Excepto un pequeño detalle:
la cuenta bancaria fue cambiada.
La empresa realiza la transferencia y días después recibe una llamada del proveedor:
“Su factura sigue pendiente de pago.”
Este escenario forma parte de una modalidad conocida como Business Email Compromise (BEC), en la que los delincuentes pueden suplantar o comprometer comunicaciones empresariales para conseguir que una transferencia legítima termine en una cuenta controlada por ellos.
El FBI mantiene al BEC entre las amenazas de fraude empresarial más relevantes y advierte que los atacantes pueden aprovechar conversaciones reales sobre facturas y pagos para hacer sus solicitudes mucho más convincentes.
El fraude ya no siempre parece fraude
La imagen tradicional del correo fraudulento —mala ortografía, remitente desconocido y mensaje extraño— resulta insuficiente frente a ataques más sofisticados.
Un delincuente puede estudiar previamente a la empresa, identificar proveedores y ejecutivos o conseguir acceso a una cuenta de correo legítima.
Entonces espera.
Cuando aparece una operación real, interviene.
Esto explica por qué algunos fraudes pueden contener información sorprendentemente precisa: nombres, cargos, montos, facturas o conversaciones anteriores.
La información verdadera hace creíble la instrucción falsa.
El proveedor puede ser completamente legítimo
Aquí está una de las diferencias más importantes.
La pregunta tradicional era:
“¿Esta empresa realmente existe?”
Ahora también debemos preguntar:
“¿Esta instrucción realmente proviene de la empresa?”
Imagine que una compañía lleva cinco años comprando al mismo proveedor. Existe historial comercial, órdenes de compra, entregas y contactos conocidos.
Un día llega un correo:
“Por cuestiones administrativas hemos cambiado nuestra cuenta bancaria. Favor de utilizar la nueva CLABE para las próximas facturas.”
Eso no significa automáticamente que exista fraude.
Las empresas cambian cuentas bancarias.
El riesgo aparece cuando el cambio se acepta sin una comprobación independiente.
Una factura válida no valida automáticamente dónde debes pagar
En México, el SAT dispone de un servicio oficial para verificar CFDI utilizando información como el folio fiscal y los RFC del emisor y receptor.
Esa comprobación es importante.
Pero responde principalmente a una pregunta:
¿El comprobante fiscal se encuentra registrado y cumple la validación correspondiente?
No responde automáticamente:
¿La nueva CLABE que recibí por correo pertenece realmente al proveedor?
Son controles diferentes.
Por eso puede ocurrir una situación aparentemente contradictoria:
la factura es auténtica, pero las instrucciones de pago son fraudulentas.
El momento más peligroso es cuando algo cambia
Una operación recurrente genera patrones.
- Mismo proveedor.
- Mismos contactos.
- Misma cuenta.
- Mismo procedimiento.
Por eso, cualquier modificación debería elevar el nivel de revisión.
Especialmente:
cambio de cuenta bancaria, nuevo beneficiario, nuevo correo de cobranza, modificación del procedimiento habitual o solicitud extraordinariamente urgente.
El FBI recomienda verificar directamente cualquier cambio relacionado con números de cuenta o procedimientos de pago.
Una regla sencilla puede evitar problemas importantes:
todo cambio bancario debe verificarse por un segundo canal antes de autorizarse.
No llames al teléfono que aparece en el mismo correo
Supongamos que administración recibe una carta con una nueva cuenta bancaria.
El documento incluye un número para aclaraciones.
La persona responsable decide hacer lo correcto: llamar y confirmar.
El problema es que llama al teléfono incluido precisamente en el documento que está intentando validar.
Si el documento fue manipulado, ese número también puede ser falso.
La comprobación debería hacerse utilizando información obtenida previamente:
el teléfono registrado en el expediente del proveedor, un contacto conocido, el contrato o algún otro canal confiable e independiente.
El FBI recomienda verificar solicitudes de pagos y cambios utilizando datos conocidos previamente, en lugar de confiar exclusivamente en la información proporcionada en la comunicación potencialmente fraudulenta.
Revisar el dominio ayuda, pero tampoco es suficiente
Otro ataque consiste en registrar direcciones muy similares.
Por ejemplo:
proveedorindustrial.com
frente a:
proveedor-industriaI.com
A simple vista pueden parecer iguales.
Por eso conviene revisar cuidadosamente la dirección completa del remitente y no solamente el nombre que aparece en pantalla.
Pero existe un escenario todavía más complejo:
el correo auténtico puede haber sido comprometido.
Si el delincuente obtuvo acceso a una cuenta real, el mensaje puede llegar desde la dirección correcta y dentro de una conversación legítima.
Por eso la seguridad no puede depender únicamente de detectar correos falsos.
Necesita controles financieros.
La mejor defensa es que una sola persona no pueda hacer todo
Pensemos en un proceso vulnerable:
correo recibido → cambio de cuenta → transferencia.
Una sola persona puede ejecutar las tres acciones.
Ahora pensemos en otro:
solicitud → verificación independiente → modificación del proveedor → autorización → transferencia.
Existe más fricción.
Precisamente esa fricción protege el dinero.
Una empresa puede establecer que cualquier modificación bancaria necesite autorización adicional, independientemente del monto de la factura.
No significa burocratizar todos los pagos.
Significa aumentar el control únicamente cuando cambia una variable crítica.
El monto también debería cambiar el nivel de verificación
No todas las operaciones tienen el mismo riesgo.
Una política interna puede establecer distintos niveles.
Por ejemplo:
Proveedor habitual + cuenta habitual: procedimiento normal.
Proveedor nuevo: validación adicional.
Cambio de cuenta: confirmación independiente obligatoria.
Transferencia extraordinaria: segunda autorización.
Cambio bancario + urgencia: detener hasta comprobar.
Los límites monetarios dependerán del tamaño y operación de cada empresa.
Lo importante es aplicar un principio:
a mayor riesgo, mayor validación.
Cuidado con la combinación “urgencia + cambio”
“Necesitamos que se pague hoy.”
“La cuenta anterior dejó de funcionar.”
“Realicen la transferencia antes de las 2:00 p.m.”
“Si no recibimos el depósito, detendremos el embarque.”
Cualquiera de estas situaciones podría ser legítima.
Pero cuando aparece junto con un cambio bancario debería generar una revisión adicional.
Los delincuentes utilizan la presión precisamente porque disminuye el tiempo disponible para comprobar la solicitud.
El FBI incluye las solicitudes con urgencia inusual entre las señales que las organizaciones deberían examinar cuidadosamente.
Cinco preguntas antes de presionar “transferir”
Una empresa puede estructurar su proceso alrededor de cinco comprobaciones.
1. ¿La operación existe?
Orden de compra, contrato, recepción de mercancía o autorización del servicio.
2. ¿La factura corresponde?
Monto, conceptos, razón social, RFC y CFDI.
3. ¿El proveedor coincide?
La documentación debe corresponder con el proveedor previamente dado de alta.
4. ¿La cuenta bancaria es la autorizada?
Si cambió, debe existir una validación independiente.
5. ¿La operación tiene las autorizaciones internas necesarias?
Especialmente cuando el monto es extraordinario.
La seguridad aparece al cruzar las cinco respuestas.
El alta del proveedor también es un control antifraude
Muchas empresas pueden mejorar la prevención desde el momento en que registran a un proveedor.
El expediente puede conservar información previamente verificada:
razón social + RFC + contactos autorizados + teléfonos + información bancaria aprobada.
Así, cuando seis meses después llegue una solicitud para cambiar la CLABE, existe una referencia independiente.
Administración puede llamar al contacto que ya estaba registrado.
No al número que acaba de llegar en el PDF.
No al teléfono de la nueva carta.
Al que la empresa ya había validado.
La autenticación multifactor también importa
El problema no se limita al departamento de cuentas por pagar.
También hay que proteger el correo electrónico.
El FBI recomienda utilizar autenticación multifactor (MFA) en las cuentas empresariales y revisar cuidadosamente solicitudes de pagos, enlaces y cambios inesperados.
Una cuenta de correo comprometida puede proporcionar al atacante algo extremadamente valioso:
contexto.
Puede saber quién compra, quién vende, quién autoriza y cuándo vence una factura.
Por eso, ciberseguridad y tesorería ya no deberían tratar estos riesgos como problemas completamente separados.
La inteligencia artificial aumenta el reto
La IA generativa también reduce algunas señales tradicionales del fraude.
Un atacante ya no necesita escribir un correo lleno de errores.
Puede producir mensajes profesionales, traducirlos, imitar tonos corporativos o generar documentos visualmente convincentes.
El FBI ha advertido que delincuentes están utilizando inteligencia artificial generativa para facilitar diferentes esquemas de fraude y generar contenido más creíble.
Esto refuerza una idea:
la apariencia profesional de un mensaje ya no debe considerarse prueba de autenticidad.
La seguridad debe depender del proceso, no de qué tan convincente parece el correo.
¿Y si ya transferiste?
Aquí la velocidad importa.
Si una empresa sospecha que realizó una transferencia fraudulenta, debe contactar inmediatamente a su institución financiera mediante sus canales oficiales y activar sus protocolos internos.
El FBI recomienda actuar con rapidez y comunicarse inmediatamente con la institución financiera cuando se detecta un posible BEC; en Estados Unidos, también indica reportarlo al Internet Crime Complaint Center (IC3).
También conviene preservar evidencia:
correos, encabezados, archivos, comprobantes, números de cuenta, conversaciones y registros internos.
La recuperación del dinero nunca está garantizada y dependerá del caso.
Por eso, cada minuto puede importar.
Después del incidente, no busques solamente culpables
Cuando ocurre una transferencia equivocada, la primera reacción suele ser:
“¿Quién autorizó esto?”
La pregunta necesaria es:
“¿Qué permitió nuestro proceso?”
Si una persona podía recibir el cambio, modificar la cuenta y ejecutar el pago sin una verificación adicional, existe una vulnerabilidad estructural.
La prevención no debería depender de que cada colaborador detecte correctamente el 100% de los ataques.
Debería diseñarse para que un error individual no sea suficiente para perder el dinero.
Una llamada de dos minutos puede proteger una transferencia millonaria
La solución más sofisticada no siempre es la más efectiva.
Ante cualquier modificación bancaria:
detén → verifica → autoriza → paga.
Y la verificación puede ser tan sencilla como llamar al contacto habitual:
“Recibimos una solicitud para modificar sus datos bancarios. Antes de procesarla queremos confirmar que ustedes realizaron el cambio.”
Dos minutos pueden parecer innecesarios cuando todo parece correcto.
Precisamente ahí está el valor del control.
Conclusión
El fraude empresarial moderno tiene una característica especialmente peligrosa:
puede construirse alrededor de una operación verdadera.
El proveedor puede existir.
La mercancía puede haberse entregado.
La factura puede ser auténtica.
El monto puede coincidir.
Y aun así, el dinero puede terminar en la cuenta equivocada.
Por eso, antes de realizar un pago empresarial hay que separar tres verificaciones:
¿La operación es real?
¿La factura es válida?
¿Las instrucciones bancarias son auténticas?
Confirmar una no demuestra automáticamente las otras.
La mejor defensa combina ciberseguridad, validación fiscal y controles internos.
Pero existe una regla particularmente poderosa por su sencillez:
si cambió la cuenta bancaria, confirma el cambio utilizando un canal que ya conocías antes de recibir la solicitud.
Porque en los fraudes más convincentes todo puede ser verdadero…
excepto el dato que indica dónde enviar el dinero.
Fuentes consultadas
- FBI – Business Email Compromise
- SAT – Verificación oficial de CFDI
- FBI – Recomendaciones para empresas ante BEC
- FBI – Fraude y uso delictivo de inteligencia artificial generativa
Nota: Este artículo fue desarrollado con el apoyo de herramientas tecnológicas avanzadas y revisado por el Departamento de Comunicación de CANACINTRA León, destacando la colaboración entre innovación tecnológica y experiencia humana.
¿Te Interesa Conocer Más De la Comisión de Seguridad En CANACINTRA León?
La Fuerza de la Industria
