Factura falsa por correo:
cinco señales

Hay dos caminos habituales y conviene conocer los dos. En el primero, alguien ha entrado en el buzón de correo de tu proveedor, normalmente con una contraseña robada, y desde ahí lee las conversaciones reales: sabe qué le compras, cuándo le pagas y cómo son sus facturas. Con eso le basta coger una factura auténtica, cambiar el número de cuenta y enviarla desde la propia dirección del proveedor, a veces respondiendo dentro del mismo hilo de correos que ya teníais. En el segundo, el buzón comprometido es el tuyo, o el de alguien de tu oficina, y el atacante intercepta la factura buena antes de que la veas. En ambos casos el documento es real salvo por un dato, y por eso fijarse en el logo, el formato o la firma no sirve de nada. Lo que delata el fraude no está en el PDF, está en la petición de cambiar la cuenta.

No necesariamente, y este es el punto que más confunde. Una dirección correcta solo demuestra que el mensaje ha salido de ese buzón, no que lo haya escrito la persona que tú conoces. Si la cuenta de correo del proveedor ha sido comprometida, el mensaje falso saldrá exactamente de su dirección real, con su firma, su tono y hasta la cadena de correos anteriores debajo. Lo contrario también pasa: otras veces la dirección se parece mucho pero no es la misma, con una letra cambiada, un guion de más o una terminación distinta, y a simple vista en el móvil cuesta verlo. Por eso la dirección es una señal útil cuando no cuadra, pero no es una garantía cuando sí cuadra. Para un cambio de datos bancarios, la única confirmación que vale es una llamada a un número que ya tenías de antes, hecha por ti, sin usar ningún teléfono que aparezca en ese correo.

Es una cabecera del correo que indica a qué dirección irá tu respuesta cuando pulses «Responder». Normalmente coincide con el remitente y nadie se fija, pero se puede configurar para que sea otra distinta. En este fraude se usa para que el mensaje parezca venir del proveedor y, sin embargo, cuando contestas preguntando si el cambio de banco es correcto, tu duda le llega al atacante, que naturalmente te dirá que sí. Para verlo, en la mayoría de programas de correo basta con pulsar «Responder» y fijarse en qué dirección aparece en el campo del destinatario antes de escribir nada, o abrir los detalles del mensaje. Si la dirección de respuesta no es la del proveedor, ya no hace falta investigar más: es fraude. Y aunque coincida, no contestes a ese correo para verificar el cambio. Una verificación hecha por el mismo canal que trajo la petición no verifica nada; llama por teléfono.

El IBAN tiene una estructura que se puede leer sin ser experto. Las dos primeras letras son el país donde está abierta la cuenta: ES es España, y un proveedor español de toda la vida que de repente pide cobrar en una cuenta con otras letras al principio merece una llamada antes de pagar. En las cuentas españolas, después de las dos letras y los dos dígitos de control, vienen cuatro dígitos que identifican el banco; si el correo dice que se han pasado a un banco concreto y ese código corresponde a otro, tampoco cuadra. Además, cada vez más bancos muestran al preparar la transferencia un aviso de si el nombre del beneficiario coincide con el titular de la cuenta. Si ese aviso dice que no coincide, para. Ninguna de estas comprobaciones sustituye a la llamada: un atacante cuidadoso puede usar una cuenta española. Sirven para detectar los casos burdos, no para dar por bueno el resto.

Llama a tu banco en ese mismo momento, no mañana ni después de comprobarlo todo. Explica que has hecho una transferencia a una cuenta fraudulenta y pide que intenten pararla o solicitar su devolución al banco de destino. Cuanto menos tiempo haya pasado, más opciones hay de que el dinero siga en esa cuenta; con las transferencias inmediatas el margen es muy corto, y no hay garantía de recuperarlo, pero sin esa llamada rápida las posibilidades bajan mucho. Después, presenta denuncia en la Policía Nacional o la Guardia Civil, o en los Mossos d'Esquadra si estás en Cataluña, con el correo, la factura y el justificante de la transferencia: el banco suele pedirla para seguir adelante. Avisa también al proveedor por teléfono, porque su correo probablemente esté comprometido y él tiene su propio problema. Y si necesitas orientación sobre los pasos, el 017 de INCIBE atiende consultas de ciberseguridad de forma gratuita y confidencial.

No, al contrario: guárdalo tal cual. Ese mensaje es la prueba principal para la denuncia y para lo que te pida el banco, y lo que importa de él no es solo el texto visible, sino las cabeceras técnicas, que muestran desde qué servidores se envió realmente y a qué dirección iban las respuestas. Si lo borras, o lo reenvías y eliminas el original, parte de esa información se pierde. Lo recomendable es dejarlo en la bandeja, sin responder ni abrir más adjuntos, y si quieres apartarlo, moverlo a una carpeta aparte. Tampoco sirve de nada contestar al atacante para reprocharle nada ni para intentar que devuelva el dinero: solo confirma que tu dirección está activa y que alguien lee. Guarda también el PDF de la factura, el justificante de la transferencia y cualquier otro correo del mismo hilo. Con todo eso junto, quien revise el caso puede reconstruir qué pasó y desde dónde.

Es posible, y hay que descartarlo. Si el atacante ha leído tu correo, conoce tus proveedores, tus clientes y tus plazos de pago, y puede repetir el engaño hacia fuera, mandando a tus clientes facturas tuyas con otra cuenta. Las señales típicas son reglas de correo que nadie ha creado, por ejemplo una que reenvía mensajes a una dirección externa o que mueve a una carpeta escondida todo lo que contiene la palabra «factura», inicios de sesión desde lugares raros o mensajes enviados que nadie recuerda haber escrito. Lo primero es cambiar la contraseña de esa cuenta desde un equipo limpio y activar la verificación en dos pasos si no estaba activa; lo segundo, revisar esas reglas y las sesiones abiertas. Si tu empresa depende del correo para facturar, que alguien con acceso de administrador lo revise a fondo. Es una de las revisiones que hacemos dentro del soporte informático para empresas.

Con un proceso corto y escrito, que no dependa de que alguien «tenga buen ojo». Primero: ningún cambio de cuenta bancaria de un proveedor se da por bueno por correo; se llama al contacto de siempre, al número que ya estaba en la ficha del proveedor, y se anota quién lo confirmó y cuándo. Segundo: el alta o el cambio de un IBAN lo aprueban dos personas, una que lo introduce y otra que lo revisa, de forma que un solo correo bien hecho no basta para mover dinero. Tercero: cualquier urgencia con un pago a una cuenta nueva es motivo para ir más despacio, no más rápido. Y cuarto: el correo de la empresa con verificación en dos pasos en todas las cuentas, que es lo que evita que el engaño salga de vuestro propio buzón. No es tecnología cara, es costumbre. Cuesta un par de minutos por cambio y corta el fraude en el punto exacto donde funciona.