La Guardia Civil detecta intentos de estafa contra empresas y entidades públicas asturianas mediante correos que suplantan a proveedores habituales y desvían pagos a cuentas controladas por delincuentes

El mensaje llega en mitad de la jornada laboral. Parece proceder de un proveedor conocido, incluye una factura pendiente, utiliza nombres reales y se refiere a servicios que la empresa efectivamente ha contratado. Todo resulta normal. Todo, salvo un dato que puede pasar inadvertido: el número de cuenta bancaria ha cambiado.

Si el departamento de administración realiza la transferencia sin comprobarlo por otra vía, el dinero no llegará al proveedor. Acabará en una cuenta controlada por los estafadores y, cuando la empresa descubra el engaño, quizá ya sea demasiado tarde para recuperarlo.

La Guardia Civil de Asturias ha alertado de la detección de intentos de estafa dirigidos contra empresas y entidades públicas del Principado mediante la reclamación fraudulenta del pago de facturas. Los delincuentes se hacen pasar por proveedores habituales, reclaman cantidades supuestamente pendientes o comunican un cambio de cuenta bancaria para conseguir que la víctima transfiera el dinero a un destino distinto del legítimo.

La advertencia fue difundida este sábado, 1 de agosto, después de que se detectaran comunicaciones y documentos con apariencia auténtica. Por el momento, no se ha informado públicamente del número de empresas o administraciones afectadas ni de la cantidad económica que podría haberse perdido. La alerta se refiere a intentos detectados, por lo que no debe darse por hecho que todos hayan terminado en transferencias consumadas.

El fraude perfecto: casi todo es verdadero

La eficacia de esta modalidad de estafa reside en que el correo no siempre parece un mensaje fraudulento. Puede estar correctamente escrito, incorporar el logotipo del proveedor, mencionar trabajos reales, incluir una factura aparentemente válida y continuar una conversación que ya estaba en marcha.

Los delincuentes pueden actuar de dos maneras.

En algunos casos crean una dirección de correo electrónico casi idéntica a la del proveedor. Cambian una letra, añaden un guion, sustituyen una vocal o registran un dominio visualmente muy parecido. Un mensaje enviado desde una dirección falsa puede pasar así por legítimo si el empleado encargado de los pagos no examina con atención el remitente completo.

En otros casos, el ataque es todavía más peligroso: los delincuentes consiguen acceder al correo electrónico de la empresa o del proveedor. Desde dentro pueden observar conversaciones reales, conocer los importes pendientes, identificar quién autoriza los pagos y esperar hasta que llegue una factura elevada. Después interceptan el mensaje, modifican únicamente el IBAN y lo reenvían manteniendo el resto de los datos.

El Instituto Nacional de Ciberseguridad advierte de que los atacantes pueden permanecer durante semanas dentro de una cuenta de correo comprometida, estudiando las operaciones y esperando un momento especialmente favorable, como la llegada de una factura importante, la ausencia de un responsable o un periodo de vacaciones. También pueden configurar reglas ocultas para reenviar mensajes, esconder correos o interceptar facturas sin que el usuario lo advierta.

El cambio de cuenta es la trampa

La factura puede ser auténtica. El proveedor puede existir. El servicio puede haberse prestado. El importe puede coincidir exactamente con el acordado. La estafa se concentra en una sola modificación: la cuenta bancaria de destino.

Para justificarla, los delincuentes pueden alegar una auditoría, una incidencia técnica, una actualización administrativa, un cambio de banco o una reorganización de la empresa. También pueden asegurar que la cuenta anterior está bloqueada temporalmente y pedir que el siguiente pago se realice en el nuevo IBAN.

A continuación aparece el ingrediente que caracteriza a buena parte de los fraudes basados en ingeniería social: la urgencia.

«Necesitamos recibir el pago hoy».

«La factura está vencida».

«El pedido quedará paralizado».

«Es imprescindible cerrar la operación antes del mediodía».

La presión busca impedir que el trabajador piense, consulte con un compañero o telefonee al proveedor. Cuando un correo combina un cambio de cuenta bancaria con prisas, confidencialidad o una petición para saltarse el procedimiento habitual, la transferencia debe detenerse.

INCIBE señala que la urgencia reduce el tiempo disponible para verificar el mensaje y recomienda que cualquier solicitud económica o cambio de información bancaria se confirme obligatoriamente por un canal distinto del correo electrónico.

Las señales que deben encender todas las alarmas

Una factura conocida no debe pagarse automáticamente si incorpora una cuenta diferente. Tampoco basta con contestar al mismo mensaje preguntando si el cambio es correcto: si el buzón está comprometido, quien responda podría ser el propio estafador.

Estas son las principales señales de riesgo:

Un IBAN nuevo. Cualquier modificación de la cuenta de un proveedor debe considerarse una operación excepcional.

Una dirección casi idéntica. Una letra cambiada, un dominio ligeramente distinto o una cuenta gratuita pueden delatar la suplantación.

Una urgencia inesperada. Las peticiones para pagar inmediatamente buscan eliminar las comprobaciones internas.

Una solicitud de confidencialidad. Frases como «no informes todavía a nadie» o «es una operación reservada» pretenden aislar al trabajador.

Un nuevo teléfono de contacto. Nunca debe confirmarse el cambio utilizando el número incluido en el propio correo sospechoso.

Documentos o instrucciones inusuales. Un formato diferente, un nuevo procedimiento o un archivo inesperado justifican una revisión adicional.

La imposibilidad de hablar con el responsable. Mensajes como «estoy reunido y no puedo atender llamadas» son habituales en fraudes que pretenden evitar una comprobación verbal.

Una llamada de dos minutos puede salvar decenas de miles de euros

La medida más eficaz es también una de las más sencillas: llamar al proveedor utilizando un número que la empresa ya tuviera registrado previamente.

No se debe llamar al teléfono que aparece en la nueva factura, en la firma del mensaje ni en la comunicación que anuncia el cambio. El contacto debe obtenerse de la agenda corporativa, de un contrato anterior o de una factura ya verificada.

La Guardia Civil aconseja comprobar siempre que la cuenta bancaria coincide con la utilizada habitualmente. Si se comunica una modificación, debe confirmarse por un canal conocido y diferente al del mensaje recibido. También recomienda revisar cuidadosamente las direcciones de correo y desconfiar de enlaces, adjuntos o instrucciones de pago no solicitadas.

Las empresas pueden reducir radicalmente el riesgo mediante un protocolo básico:

1. Prohibir los cambios de IBAN por un simple correo

Ninguna cuenta bancaria de un proveedor debería modificarse sin una verificación adicional documentada.

2. Implantar la doble autorización

Las transferencias superiores a una cantidad determinada deberían necesitar la aprobación de dos personas diferentes.

3. Mantener un registro validado de proveedores

La empresa debe disponer de una relación interna de cuentas bancarias verificadas. Cualquier diferencia debe bloquear automáticamente el pago.

4. Confirmar por un canal independiente

Una llamada al teléfono conocido, una reunión o una plataforma corporativa autenticada pueden impedir la estafa.

5. Revisar la dirección completa del remitente

No basta con mirar el nombre que aparece en pantalla. Hay que comprobar letra por letra la dirección y el dominio.

6. Formar al personal que tramita pagos

Administración, contabilidad, compras y dirección son objetivos prioritarios. También lo son los empleados nuevos, los sustitutos y quienes trabajan durante vacaciones o con una elevada carga de tareas.

7. Aplicar controles técnicos

La autenticación multifactor, las alertas ante accesos desconocidos, la revisión de reglas ocultas del correo y los avisos sobre mensajes externos ayudan a detectar una intrusión.

INCIBE recomienda expresamente establecer procedimientos de doble control, confirmar las transferencias urgentes por canales alternativos y exigir verificaciones específicas para las nuevas cuentas o los cambios de IBAN de proveedores.

Qué hacer si la transferencia ya se ha realizado

En este fraude, cada minuto cuenta. Los delincuentes pueden mover el dinero entre varias cuentas, retirarlo o enviarlo al extranjero para dificultar su bloqueo.

La empresa debe actuar inmediatamente:

Contactar con el banco. Hay que comunicar que se trata de una transferencia fraudulenta y solicitar su paralización, retrocesión o el bloqueo de los fondos en la cuenta receptora.

No esperar a aclararlo internamente. La investigación dentro de la empresa puede realizarse después. La primera llamada debe ser a la entidad bancaria.

Presentar denuncia. Deben aportarse todos los correos, archivos, facturas, justificantes bancarios, números de cuenta, teléfonos y datos disponibles.

Conservar las pruebas originales. No hay que borrar los mensajes ni reenviarlos de forma que se pierdan sus cabeceras técnicas. Conviene guardar una copia completa del correo y de sus adjuntos.

Avisar al responsable informático. Deben revisarse accesos recientes, dispositivos conectados, reglas de reenvío, filtros ocultos y posibles cambios en la configuración del buzón.

Cambiar las credenciales. Si existe la sospecha de que el correo ha sido comprometido, deben renovarse las contraseñas y cerrarse las sesiones abiertas, activando además la autenticación multifactor.

Advertir a clientes y proveedores. Si la cuenta de la empresa ha sido utilizada para enviar facturas manipuladas, otras organizaciones podrían estar recibiendo mensajes fraudulentos.

Cuando el acceso al correo haya podido exponer datos personales, la organización también deberá analizar con su responsable de protección de datos si se ha producido una brecha que deba notificarse a la Agencia Española de Protección de Datos. INCIBE recuerda que, cuando proceda esa comunicación, el plazo general es de 72 horas desde que se tiene conocimiento del incidente.

Dónde pedir ayuda o denunciar

Las víctimas pueden acudir presencialmente a un puesto de la Guardia Civil o presentar la denuncia por los canales telemáticos habilitados cuando el tipo de hecho lo permita. Ante una emergencia o peligro inmediato, el teléfono de la Guardia Civil es el 062.

También está disponible el 017, la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE, dirigida tanto a ciudadanos como a empresas y profesionales.

La Guardia Civil recomienda que la denuncia incluya todas las evidencias disponibles. Una factura manipulada, el correo original y el justificante de la transferencia pueden resultar decisivos para reconstruir el recorrido del dinero e identificar las cuentas utilizadas.

La regla que toda empresa asturiana debería aplicar desde hoy

Un proveedor puede cambiar de banco. Una empresa puede modificar legítimamente su cuenta. Una administración puede recibir una factura corregida. Lo que no debe ocurrir es que una transferencia importante se autorice únicamente porque un correo electrónico parece convincente.

La norma es sencilla:

Nuevo IBAN, pago detenido.

Después, llamada al teléfono conocido, verificación con el proveedor y doble autorización interna.

Dos minutos de comprobación pueden evitar que el dinero de una empresa termine, con un solo clic, en manos de una organización criminal.