Fraudes silenciosos: cómo una llamada, un correo o un WhatsApp pueden comprometer millones de pesos en una empresa 
La transformación digital ha agilizado la comunicación entre empresas, clientes y proveedores. Sin embargo, también ha abierto nuevas oportunidades para la delincuencia. Hoy, muchos de los fraudes empresariales más costosos no comienzan con un ataque informático sofisticado, sino con un correo electrónico aparentemente legítimo, una llamada telefónica convincente o un mensaje de WhatsApp.
Estos incidentes, conocidos como ataques de ingeniería social, explotan el factor humano para obtener información confidencial, acceder a sistemas o inducir transferencias bancarias fraudulentas. En muchos casos, las pérdidas económicas podrían haberse evitado con procesos de verificación y capacitación del personal.
¿Qué es un fraude por ingeniería social?
La ingeniería social consiste en manipular psicológicamente a una persona para que revele información, autorice una operación o realice una acción que beneficie al atacante.
A diferencia de otros ciberataques, aquí el objetivo principal no es vulnerar un sistema, sino aprovechar la confianza, la urgencia o la falta de verificación de los colaboradores.
La Cybersecurity and Infrastructure Security Agency (CISA) identifica la ingeniería social como una de las principales técnicas utilizadas por los ciberdelincuentes para obtener acceso a organizaciones.
Los fraudes más frecuentes
- Correos electrónicos falsos (Phishing)
Los atacantes envían mensajes que aparentan provenir de bancos, proveedores, clientes o directivos de la empresa para solicitar credenciales, modificar cuentas bancarias o instalar archivos maliciosos.
- Suplantación de identidad de directivos (Business Email Compromise)
También conocido como BEC, este fraude consiste en hacerse pasar por un director, gerente o socio para solicitar una transferencia urgente o el pago de una factura.
De acuerdo con el Federal Bureau of Investigation (FBI), el BEC continúa siendo uno de los delitos cibernéticos con mayores pérdidas económicas reportadas por empresas en el mundo.
- Mensajes por WhatsApp o aplicaciones de mensajería
Es cada vez más común que delincuentes suplanten la identidad de un directivo utilizando una fotografía de perfil similar y un número telefónico distinto para solicitar depósitos, información confidencial o cambios de cuentas bancarias.
El uso creciente de aplicaciones de mensajería en entornos laborales ha convertido este canal en un objetivo frecuente para los estafadores.
- Llamadas telefónicas fraudulentas
Algunos delincuentes se presentan como personal bancario, autoridades, proveedores o integrantes del área de tecnologías de la información para obtener contraseñas, códigos de autenticación o información sensible.
¿Por qué estos fraudes funcionan?
Los ciberdelincuentes no dependen únicamente de la tecnología; aprovechan comportamientos humanos como:
- sentido de urgencia
- confianza en figuras de autoridad
- miedo a cometer un error
- deseo de resolver rápidamente un problema
Frases como “es una transferencia urgente”, “el director necesita el pago hoy” o “cambiamos nuestra cuenta bancaria” buscan reducir el tiempo de análisis y provocar una reacción inmediata.
El impacto para las empresas
Las consecuencias pueden ir mucho más allá de una pérdida económica inmediata.
Un fraude exitoso puede ocasionar:
- transferencias bancarias no autorizadas
- robo de información financiera
- filtración de datos de clientes
- interrupción de operaciones
- daño reputacional
- conflictos legales con proveedores o clientes
En organizaciones donde existen múltiples niveles de autorización, un solo error puede comprometer recursos por millones de pesos.
¿Cómo reducir el riesgo?
- Verificar siempre las solicitudes de pago
Ningún cambio de cuenta bancaria o instrucción de transferencia debe realizarse únicamente con base en un correo o mensaje.
La confirmación mediante un canal independiente, como una llamada al contacto previamente registrado, es una práctica recomendada.
- Establecer procesos de doble autorización
Las operaciones financieras relevantes deben requerir la validación de más de una persona, especialmente cuando implican nuevos beneficiarios o montos elevados.
- Capacitar continuamente al personal
La concientización es una de las medidas más efectivas para reducir el riesgo. Los colaboradores deben conocer las tácticas más comunes utilizadas por los atacantes y saber cómo actuar ante solicitudes inusuales.
- Implementar autenticación multifactor
La autenticación multifactor (MFA) añade una capa adicional de seguridad al requerir dos o más métodos de verificación para acceder a cuentas o sistemas. Su uso dificulta que credenciales robadas sean suficientes para comprometer la información de la empresa.
- Contar con protocolos claros de comunicación
Definir cómo se autorizan pagos, cambios de cuentas bancarias y solicitudes extraordinarias reduce la posibilidad de que decisiones críticas dependan únicamente de un mensaje recibido por correo o aplicaciones de mensajería.
La seguridad también es cultura organizacional
La tecnología es indispensable para proteger la información, pero ninguna herramienta sustituye una cultura de prevención.
Las empresas que realizan simulaciones de phishing, actualizan sus políticas internas y promueven la verificación antes de actuar reducen significativamente la probabilidad de convertirse en víctimas de este tipo de fraude.
La seguridad debe formar parte de los procesos diarios y no limitarse al área de tecnologías de la información.
Conclusión
Los fraudes empresariales han evolucionado. Hoy, una llamada telefónica, un correo electrónico o un mensaje de WhatsApp pueden ser suficientes para desencadenar pérdidas económicas importantes si no existen controles adecuados.
Para las empresas del sector industrial, fortalecer la cultura de ciberseguridad, establecer procedimientos de validación y capacitar permanentemente al personal es una inversión que protege tanto los recursos financieros como la confianza de clientes y socios comerciales.
En un entorno donde la información viaja en segundos, detenerse unos minutos para verificar una solicitud puede ser la diferencia entre una operación segura y un fraude de alto impacto.
Fuentes consultadas
- Cybersecurity and Infrastructure Security Agency (CISA) – Social Engineering
- Federal Bureau of Investigation (FBI) – Internet Crime Report
- National Institute of Standards and Technology (NIST) – Cybersecurity Framework
- International Organization for Standardization (ISO) – ISO/IEC 27001 Information Security Management
Nota: Este artículo fue desarrollado con el apoyo de herramientas tecnológicas avanzadas y revisado por el Departamento de Comunicación de CANACINTRA León, destacando la colaboración entre innovación tecnológica y experiencia humana.
¿Te Interesa Conocer Más De la Comisión de Seguridad En CANACINTRA León?
La Fuerza de la Industria
