Cómo detectar una factura falsa o un correo de suplantación

Cuando se habla de seguridad en una empresa pequeña, casi todo el mundo piensa en virus. Pero el dinero rara vez se pierde así. Se pierde cuando alguien de contabilidad paga una factura que parecía legítima, de un proveedor que existe, por un monto verosímil, a una cuenta que no era la correcta.

Este ataque no necesita romper nada. Necesita que una persona ocupada haga lo que hace todos los días.

Cómo funciona de verdad

El atacante consigue acceso al correo de alguien —tuyo, de tu proveedor o de un cliente— y se queda leyendo. No hace nada por semanas. Aprende cómo escriben, qué facturan, cada cuánto, con qué palabras.

Cuando llega una factura grande, interviene: responde en el hilo real, con el asunto real, adjuntando una factura casi idéntica donde solo cambió el número de cuenta. A veces ni siquiera necesita acceso: registra un dominio parecido al del proveedor y escribe desde ahí.

Las señales, en orden de importancia

1. Cambio de cuenta bancaria. Es la señal número uno y no admite matices. Un proveedor legítimo cambia de cuenta muy rara vez, y cuando lo hace no le molesta que lo confirmes por teléfono.
2. El dominio del remitente. Míralo completo, no el nombre que muestra el programa de correo. Letras duplicadas, una rn que parece una m, un .co donde iba .com.co.
3. Urgencia que no encaja. «Hoy antes de las 5», «el gerente lo pidió», «si no se pierde el descuento». La prisa existe para que no verifiques.
4. Bloqueo del canal alterno. «Estoy en reunión», «no me llames», «responde solo por aquí». Un proveedor real nunca te impide llamarlo.
5. Detalles que no cuadran. Un monto con centavos raros, un consecutivo fuera de secuencia, un formato ligeramente distinto al de siempre.

El procedimiento que lo corta

Esto no se resuelve con un programa. Se resuelve con una regla escrita que todo el mundo en la empresa conoce y que nadie puede saltarse, empezando por el dueño.

Regla	Qué significa en la práctica
Todo cambio de cuenta se confirma por voz	Llamada al número que ya tenías registrado, no al del correo ni al de la firma. Sin excepciones.
Dos personas para pagos sobre un monto	Define el monto según tu empresa. Quien aprueba no es quien recibe la factura.
La urgencia no salta el procedimiento	Escríbelo así, literal. Es la excusa que usan todos.
Cuentas de proveedores en un registro propio	Una lista tuya, no la del último correo. Si no coincide, se detiene el pago.
Si sospechas, no respondas ese hilo	Abre un correo nuevo escribiendo la dirección a mano, o llama.

Si ya pagaste

1. Llama al banco de inmediato. Las primeras horas son las únicas en las que a veces se alcanza a frenar la transferencia.
2. Avisa al proveedor real por teléfono. Si a él le comprometieron el correo, hay más víctimas en camino.
3. Cambia las contraseñas del correo involucrado y revisa si hay reglas de reenvío automático creadas sin tu conocimiento. Es lo primero que instala el atacante para seguir leyendo.
4. Denuncia. Aunque la recuperación sea difícil, el reporte es necesario para el seguro, para el banco y para el proceso.
5. Revisa quién más tuvo acceso a ese buzón y activa el segundo factor en todas las cuentas de la empresa.

Preguntas frecuentes

¿Un antivirus detecta esto?

No, y esa es la parte incómoda. No hay archivo malicioso ni enlace infectado: es un correo de texto con una factura en PDF. Los filtros ayudan con los intentos burdos, pero el ataque bien hecho pasa porque técnicamente no tiene nada malo.

¿Cómo sé si me comprometieron el correo?

Busca en la configuración las reglas de reenvío y los filtros que borran mensajes automáticamente: es la huella más común. Revisa también las sesiones activas y los dispositivos conectados. Cualquier cosa que no reconozcas, ciérrala y cambia la contraseña.

¿Sirve poner un aviso en la firma del correo?

Ayuda, y cuesta nada: una línea diciendo que tus datos bancarios nunca cambian por correo y que cualquier aviso de cambio debe confirmarse por teléfono. Protege a tus clientes de que los estafen en tu nombre, que es un daño reputacional que sí te llega a ti.

¿Esto le pasa solo a empresas grandes?

Al contrario. Las empresas pequeñas son blanco preferido porque casi nunca tienen doble aprobación de pagos y porque una sola persona suele recibir, aprobar y pagar. El monto es menor, pero el esfuerzo del atacante también.

La conclusión, sin rodeos

Ningún programa te va a salvar de esto. Una regla de media página sí. Escríbela hoy: todo cambio de cuenta se confirma por voz al número que ya tenías, y la urgencia no es motivo para saltarse el paso.