Cambio de CLABE por correo: cómo evitar el fraude

Un despacho contable en Guadalajara recibe un correo de su proveedor de papelería. Trae el logo de siempre y la firma de la persona con la que tratan desde hace años. Les avisa que "cambiaron de banco" y les pide pagar la factura del mes a una CLABE nueva. Pagan. Dos semanas después, el proveedor llama para cobrar. Ese correo nunca lo mandó él.

Este fraude no requiere que nadie sepa de computadoras. Basta con que alguien de tu equipo confíe en un correo que se ve normal. La buena noticia es que se frena con una regla sencilla y con algunos ajustes en tu correo.

Cómo llega el correo falso

El estafador necesita que el mensaje parezca venir de alguien con quien ya tienes una relación de pago. Lo logra de varias formas:

• Entró a la cuenta real del proveedor. El correo sale de su dirección auténtica, a veces como respuesta dentro de una conversación que ya tenían. Es el caso más difícil de detectar.
• Registró un dominio casi igual. Por ejemplo, papeleriadelbajio.com.mx contra papeleria-delbajio.com.mx, o una "rn" en lugar de una "m". En la pantalla del celular se ven idénticos.
• Usó solo el nombre visible. El remitente dice "Papelería del Bajío", pero la dirección real es una cuenta gratuita cualquiera.
• Entró a tu propia cuenta. Lee tus conversaciones con clientes y les escribe desde tu correo para que te paguen a otra cuenta.

En los dos primeros casos, revisar el remitente no basta. Por eso la defensa principal no está en el correo, sino en cómo confirmas el cambio.

Señales que deben hacerte frenar

Ninguna de estas prueba que sea fraude por sí sola. Pero si aparece una, no pagues todavía.

• El cambio de cuenta llega justo antes de una fecha de pago o junto con una factura.
• Hay prisa: "hoy cierra la cuenta anterior", "si no se deposita hoy se cancela el pedido".
• Te piden no llamar: "estoy en junta, mejor por aquí", "el teléfono de la oficina no sirve".
• El titular de la cuenta nueva no coincide con la razón social que viene en la factura.
• El banco es distinto y la explicación es vaga.
• El PDF de la factura se ve un poco diferente: otra tipografía, datos movidos, un número de cuenta escrito encima.

En el celular, toca el nombre del remitente para ver la dirección completa. Si al responder la dirección cambia a otra, el correo tiene configurado un "Responder a" distinto. Eso casi nunca es casualidad.

La regla que sí funciona: confirmar por otro medio

Ningún cambio de datos bancarios se acepta solo por correo. Punto. Antes de pagar a una cuenta nueva, alguien de tu equipo llama al proveedor a un número que ya tenían guardado, no al que viene en el correo sospechoso. Si el correo es falso, el teléfono de la firma también puede serlo.

Para que la regla se cumpla aunque tú no estés, déjala por escrito y apóyala con estos pasos:

1. Quién puede aprobar. Un cambio de CLABE lo autorizan dos personas: la que hace la llamada y la que da de alta la cuenta en la banca en línea.
2. Revisa el titular. Si tu banca muestra el nombre del titular al registrar la cuenta, compáralo con la razón social de la factura. Si no coinciden, detente.
3. Revisa la factura en el SAT. Con el servicio de verificación de CFDI del SAT confirmas que el comprobante existe y que lo emitió el RFC correcto. Un PDF alterado no pasa esa prueba.
4. Avisa a tus clientes. Diles que tú nunca cambias tu cuenta bancaria por correo. Así, si alguien suplanta a tu negocio, tus clientes sabrán que deben llamarte.

Una ferretería en Querétaro que paga a veinte proveedores no necesita software especial para esto. Necesita que la persona de cuentas por pagar sepa que tiene permiso de retrasar un pago para hacer una llamada.

Si ya hiciste el depósito

El tiempo cuenta. Haz esto en orden:

1. Llama a tu banco de inmediato. Explica que fue un fraude y pide que intenten detener o rastrear la transferencia. Pregunta qué documentos te piden para dar seguimiento.
2. Presenta la denuncia ante la autoridad. El banco probablemente te la pedirá.
3. Avisa a tu proveedor real. Si su cuenta de correo fue la que usaron, otros clientes suyos pueden estar recibiendo el mismo mensaje.
4. Revisa tu propio correo. Busca reglas de reenvío que no creaste, sesiones abiertas en equipos que no reconoces y filtros que mueven mensajes a carpetas raras. Si encuentras algo, sigue los pasos de qué hacer si alguien entró a tu cuenta de correo.

Guarda el correo original sin borrarlo. Lo vas a necesitar como evidencia, con todo y sus encabezados.

Cierra la puerta desde tu lado

No controlas el correo de tus proveedores, pero sí el tuyo. Y si alguien entra a tu cuenta, el fraude lo sufren tus clientes con tu nombre.

• Activa la verificación en dos pasos en todas las cuentas de correo, en especial las de quien cobra y quien paga. Aquí explicamos dónde activarla en tu negocio.
• Configura SPF, DKIM y DMARC en tu dominio. Hacen más difícil que alguien mande correos que parezcan salir de tu dirección. Lo explicamos sin tecnicismos en correos que llegan a spam: SPF, DKIM y DMARC.
• Registra las variaciones más obvias de tu dominio, para que nadie compre la versión con guion o con una letra cambiada. Ve cuáles vale la pena proteger.
• Usa correo con tu dominio, no cuentas gratuitas, para cobrar. Si tus clientes están acostumbrados a recibir facturas de una dirección genérica, no van a notar cuando les escriba otra parecida.

Este mismo engaño también llega disfrazado de aviso de tu registrador. Si te interesa ese caso, revisa cómo detectar correos falsos de renovación de dominio.

Si tu equipo todavía cobra desde cuentas gratuitas o nadie sabe quién tiene acceso a cada buzón, conviene ordenarlo antes de que alguien lo aproveche. En koode.mx puedes revisar las opciones de correo corporativo con tu dominio y ver cuál le queda a tu negocio.