Factura falsa de un proveedor: cómo proteger la contabilidad del fraude por correo y del cambio de IBAN con DMARC y doble aprobación

El contable recibe un correo «de un proveedor habitual»: ha cambiado el IBAN, paga hoy la nueva factura. El mensaje parece el de siempre, el dinero llega a un estafador y casi nunca vuelve. Entonces la dirección pregunta dónde estaba el fallo. ¿En el correo, en las personas o en las reglas de pago? Esta guía explica cómo frenar una factura falsa en tres capas: el dominio de correo, el proceso de pago y el equipo. Al final hay una checklist de una página y un plan para las primeras horas si el dinero ya salió.

Cómo funciona una factura falsa y por qué el cambio de IBAN engaña tan a menudo

El fraude de compromiso de correo empresarial, o BEC, es un engaño en el que el atacante imita o toma un buzón de empresa para desviar un pago. En la versión más común observa una conversación real con el proveedor y después envía la siguiente factura con otro número de cuenta. La factura falsa funciona porque nada en ella parece raro: la cadena es real, el tono es conocido y el importe es el esperado. El fraude suele empezar con un proveedor real y una sola factura. Además, el pago pasa entre dos departamentos, y cada uno cree que el otro lo comprobó.

Capa 1: proteger el dominio de correo con SPF, DKIM y DMARC

Qué hace cada registro

• SPF enumera los servidores autorizados a enviar correo en nombre de tu dominio.
• DKIM firma cada mensaje para que el receptor vea que no se alteró.
• DMARC indica a los servidores qué hacer si SPF o DKIM fallan: vigilar, poner en cuarentena o rechazar.

La guía de Microsoft sobre el correo empresarial cita DMARC entre las medidas que reducen la suplantación de tu dominio. Empieza en modo de vigilancia, lee los informes durante unas semanas, corrige a los remitentes legítimos y solo después pasa a cuarentena y rechazo. Configurar DMARC bien protege a tus clientes de correos con tu nombre, pero no frena a un estafador que escribe desde un dominio parecido, así que las dos capas siguientes pesan lo mismo.

Protección de los buzones

Activa la verificación en dos pasos. Hazlo en todos los buzones, marca los mensajes externos y revisa las reglas de reenvío, porque los atacantes esconden ahí copias del correo. La guía del Servicio Secreto de EE. UU. da el mismo consejo y añade registrar los nombres de dominio parecidos. La autenticación del correo y las políticas de acceso entran en nuestros servicios DevOps y seguridad.

Capa 2: reglas de pago que frenan una factura falsa aunque el correo sea perfecto

1. Un cambio de cuenta bancaria solo se acepta tras una llamada al número del contrato, nunca al del correo.
2. Una cuenta nueva tiene un periodo de espera antes del primer pago.
3. Los pagos por encima de un importe fijado exigen doble aprobación de personas distintas.
4. Los datos del proveedor los cambia una persona designada, no quien recibió el correo.
5. Quien paga envía al proveedor una nota con el nombre del banco y las últimas cifras de la cuenta.

Solicitud	Comprobación obligatoria
Nuevo IBAN del proveedor	Llamada al número del contrato, segundo aprobador
Pago urgente «hoy»	Pausa y confirmación por un segundo canal
El directivo pide una transferencia por correo	Confirmación en persona o por teléfono antes de pagar

Estas reglas funcionan porque no dependen de que el correo parezca sospechoso. El equipo de finanzas puede seguirlas aunque el texto sea impecable. Paran las facturas falsas en la puerta, y un cambio de IBAN sin llamada deja de ser posible. Todo fraude de este tipo depende de un proveedor conocido y de una factura que nadie cuestiona. La doble aprobación rompe esa cadena.

Capa 3: una instrucción corta para contabilidad, asistentes y directivos

Escribe una página. Ponla junto a la pantalla de pagos. Debe decir quién puede cambiar los datos del proveedor, qué canal confirma un cambio, qué hacer con una petición urgente de un jefe y a quién avisar de un mensaje sospechoso. Dos veces al año haz un simulacro con un correo de prueba inofensivo y pide que lo comuniquen en una hora, en lugar de borrarlo, para que avisar sea un hábito y no una vergüenza. Los directivos y sus asistentes necesitan la misma instrucción. Una petición falsa en nombre del director es la versión clásica del fraude del CEO, y el cambio de cuenta bancaria suele dirigirse primero al asistente.

Correos escritos con IA y voces falsas: qué cambió y qué comprobaciones ya no sirven

La IA hace que los mensajes fraudulentos sean fluidos y personales, por lo que la regla de buscar faltas de ortografía ya no protege. Las facturas falsas con IA llegan sin faltas y con datos reales. Lo mismo vale para una voz conocida al teléfono, porque las voces se pueden imitar. Apóyate en el proceso: una llamada a un número conocido, un segundo aprobador y una solicitud escrita de cambio. Un mensaje perfecto que aun así pide saltarse el proceso es la señal de alarma.

Si el dinero ya salió: primeras horas, banco, policía y avisos

1. Llama al banco de inmediato, indica que es una transferencia fraudulenta y pide que la retiren o la bloqueen.
2. Acude a la policía por un canal distinto del buzón comprometido.
3. Cambia las contraseñas y conserva los correos originales como prueba.
4. Denuncia el caso ante la autoridad nacional de ciberdelincuencia de tu país.
5. Avisa a tu aseguradora y al proveedor cuyo nombre se usó.

La rapidez decide. Apunta en la checklist la línea antifraude del banco y el responsable de cada paso.

Checklist de una página para el departamento financiero

• SPF, DKIM y DMARC están configurados y se leen los informes.
• La verificación en dos pasos está activa en todos los buzones.
• El cambio de cuenta bancaria se confirma con una llamada a un número conocido.
• Los pagos grandes necesitan dos aprobadores.
• El equipo conoce la instrucción de una página y el plan si se pierde dinero.

Si las facturas llegan por correo en volumen, la guía de factura electrónica y automatización muestra cómo añadir comprobaciones automáticas, y la checklist de seguridad web cubre el resto del perímetro digital.

Contratar una revisión del dominio de correo antes del próximo fraude

Puedes contratar una revisión del dominio de correo como tarea breve y aparte. Miramos SPF, DKIM y DMARC, la protección en dos pasos y el proceso de pago, y te damos una lista corta de recomendaciones.