Fraude del CEO, phishing y facturas falsas: cómo frenarlos en tu empresa

El fraude del CEO, el phishing y el cambio de cuenta en facturas tienen algo en común: no necesitan romper tus sistemas, les basta con convencer a una persona de tu empresa para que pague o entregue sus claves. Por eso la mejor defensa no es solo técnica, sino un procedimiento sencillo: ningún pago nuevo ni ningún cambio de cuenta bancaria se hace sin confirmarlo por un canal distinto al del mensaje, normalmente una llamada a un número que ya tenías. Y como el error humano nunca se elimina del todo, conviene saber si tu seguro de ciberriesgo cubre estos engaños, porque es uno de los puntos donde más difieren las pólizas.

Tres engaños, un mismo objetivo

El fraude del CEO

Alguien se hace pasar por el gerente, el dueño o un directivo y escribe a la persona que maneja los pagos. El mensaje suele tener tres ingredientes: urgencia («tiene que salir hoy»), confidencialidad («no lo comentes con nadie, es una operación delicada») y una excusa creíble, como una compra, una adquisición o un pago a un proveedor nuevo. A veces el correo parece salir de la dirección real del jefe; otras, de una muy parecida en la que cambia una letra. Cada vez es más frecuente que el engaño siga por teléfono o por mensajería, incluso con voces imitadas.

El phishing

Es el correo, SMS o mensaje que imita a un banco, a una empresa de paquetería, a la Administración o a un proveedor de programas en la nube para que pinches en un enlace e introduzcas tus claves. Con esas claves, el atacante puede entrar en tu correo o en tu banca. El phishing es a menudo el primer paso de los otros dos fraudes: primero te roban el acceso al correo y después lo usan para engañar a tus clientes o a tu equipo.

El cambio de cuenta en facturas

Es probablemente el más dañino para una pyme, porque parece rutina. Un proveedor habitual (o alguien que se hace pasar por él) te escribe para decir que ha cambiado de banco y que a partir de ahora pagues en una cuenta nueva. O te llega una factura idéntica a las de siempre, con el mismo logotipo y los mismos importes, pero con otro número de cuenta. Si el atacante está dentro del correo del proveedor, el mensaje llega incluso en la conversación de siempre.

Un caso práctico

Pongamos una distribuidora de alimentación de Tenerife con doce empleados. La responsable de administración recibe un correo del proveedor de envases de toda la vida, en el mismo hilo en el que llevan meses hablando de pedidos. Le dicen que han cambiado de entidad bancaria y adjuntan un certificado con el nuevo número de cuenta. Ella actualiza el dato y paga las dos facturas pendientes. Tres semanas después, el proveedor llama reclamando el pago. El correo del proveedor había sido comprometido con un phishing y el atacante llevaba días leyendo sus conversaciones.

¿Qué habría evitado el problema? Una llamada de dos minutos al teléfono que ya tenían del proveedor, no al que venía en el correo. ¿Qué pasa ahora? La empresa ha perdido el dinero, sigue debiendo las facturas y tiene que comprobar si su propio correo también está comprometido. Lo que quede cubierto dependerá de lo que diga su póliza sobre el fraude por ingeniería social.

Señales de alarma

Enséñale esta lista a cualquier persona de tu equipo que haga pagos o reciba facturas:

• Urgencia injustificada o presión para saltarse el procedimiento habitual.
• Petición de secreto: «no se lo digas a nadie», «no me llames, estoy reunido».
• Cambio de cuenta bancaria comunicado solo por correo o mensaje.
• Una cuenta nueva en otro país o a nombre de alguien distinto al proveedor.
• Pequeñas diferencias en la dirección de correo, en la firma o en el tono.
• Enlaces que piden introducir claves, aunque el mensaje parezca de tu banco.
• Mensajes fuera del horario habitual o justo antes de un puente o de vacaciones.

Cómo prevenirlo: medidas que funcionan en una pyme

Procedimientos

1. Verificación por un segundo canal. Todo cambio de cuenta bancaria y todo pago fuera de lo habitual se confirma por teléfono, llamando a un número que ya constaba antes del mensaje.
2. Doble firma. Configura la banca para que los pagos por encima de cierto importe necesiten la autorización de dos personas.
3. Nadie se salta el procedimiento, tampoco por orden de la dirección. Que el gerente lo diga en voz alta a todo el equipo: si algún día pide saltárselo, es que no es él.
4. Registro de cambios. Anota quién cambió un dato bancario, cuándo y cómo se verificó.

Medidas técnicas

• Verificación en dos pasos en el correo, la banca y los programas en la nube. Si te roban la contraseña, no basta para entrar.
• Configuración correcta del dominio de correo, para que sea más difícil enviar mensajes haciéndose pasar por tu empresa. Pídeselo a quien lleve tu informática.
• Avisos de correo externo, que marquen los mensajes que vienen de fuera de la empresa aunque el nombre parezca interno.
• Actualizaciones al día en equipos y móviles de uso profesional.

Formación

Una charla breve y periódica con ejemplos reales vale más que un manual que nadie lee. Explica los tres engaños, practica con correos de ejemplo y deja claro que avisar de una sospecha nunca es un error, aunque resulte ser una falsa alarma. El empleado que teme quedar mal es el que acaba pagando la factura falsa.

Si ya has pagado: qué hacer

1. Llama al banco inmediatamente y pide que intenten retener o devolver la transferencia. El tiempo es lo más importante.
2. Avisa a tu aseguradora o a tu corredor por el canal que indique la póliza, antes de hacer nada más.
3. Presenta denuncia ante la Policía o la Guardia Civil con los correos, las facturas y los justificantes de pago.
4. Cambia las contraseñas del correo desde un equipo limpio y comprueba si hay reglas de reenvío que no has creado tú.
5. Avisa al proveedor o al cliente afectado por teléfono, para que revise sus propios sistemas.

Tienes el paso a paso completo en las primeras 48 horas tras un ciberataque.

¿Qué papel tiene el seguro?

Entre las coberturas habituales de un seguro de ciberseguridad está el fraude informático y la suplantación de identidad. Pero aquí la letra pequeña importa más que en ninguna otra parte de la póliza, y conviene hacer estas preguntas:

• ¿Cubre la ingeniería social? Es decir, las transferencias que un empleado hace voluntariamente porque ha sido engañado. No es lo mismo que un robo por acceso no autorizado a tu banca, y no todas las pólizas lo tratan igual.
• ¿Con qué límite? Es frecuente que este tipo de fraude tenga un sublímite propio, distinto del límite general.
• ¿Qué condiciones exige? Algunas pólizas piden haber seguido un procedimiento de verificación para cubrir el pago. Si lo tienes por escrito y lo cumples, mejor.
• ¿Qué franquicia se aplica? Es la parte del importe que queda a tu cargo en cada caso.
• ¿Y si engañan a mis clientes en mi nombre? Si un atacante usa tu correo para que un cliente pague en una cuenta falsa, pueden reclamarte. Ahí entra la responsabilidad frente a terceros, otra de las coberturas habituales.

Recuerda también que el seguro complementa, no sustituye, las medidas de prevención. Tenerlas en marcha reduce el riesgo y suele ayudar a conseguir mejores condiciones. Tienes el resto de garantías explicadas en qué cubre un seguro de ciberriesgo.

Checklist para esta semana

• Escribe en una hoja el procedimiento para cambios de cuenta bancaria y compártelo con quien paga.
• Activa la doble autorización en la banca online.
• Activa la verificación en dos pasos en todos los correos de la empresa.
• Revisa si tu póliza cubre la ingeniería social y con qué límite.
• Si tu equipo teletrabaja o usa dispositivos personales, comprueba que se lo has comunicado a tu mediador, como explicamos en ciberseguridad y teletrabajo.

Cómo te ayudamos en Retuerto y Asociados

Revisamos tu póliza actual, o las propuestas de varias compañías, y te decimos por escrito si cubren el fraude por suplantación, con qué sublímite y con qué condiciones. Si el riesgo de tu empresa va más allá del fraude, lo encajamos en un programa de seguros completo desde nuestra consultoría para empresas. Consulta la ficha del seguro de ciberseguridad para empresas o escríbenos desde presupuesto gratis.