Factura falsa por correo:
cinco sinais

Hai dous camiños habituais e convén coñecer os dous. No primeiro, alguén entrou na caixa de correo do teu provedor, normalmente cun contrasinal roubado, e desde aí le as conversas reais: sabe que lle mercas, cando lle pagas e como son as súas facturas. Con iso abóndalle con coller unha factura auténtica, cambiar o número de conta e enviala desde o propio enderezo do provedor, ás veces respondendo dentro do mesmo fío de correos que xa tiñades. No segundo, a caixa comprometida é a túa, ou a de alguén da túa oficina, e o atacante intercepta a factura boa antes de que a vexas. En ambos os casos o documento é real salvo por un dato, e por iso fixarse no logo, no formato ou na sinatura non serve de nada. O que delata a fraude non está no PDF, está na petición de cambiar a conta.

Non necesariamente, e este é o punto que máis confunde. Un enderezo correcto só demostra que a mensaxe saíu desa caixa de correo, non que a escribise a persoa que ti coñeces. Se a conta de correo do provedor foi comprometida, a mensaxe falsa sairá exactamente do seu enderezo real, coa súa sinatura, o seu ton e ata a cadea de correos anteriores debaixo. O contrario tamén pasa: outras veces o enderezo parécese moito pero non é o mesmo, cunha letra cambiada, un guión de máis ou unha terminación distinta, e a simple vista no móbil custa velo. Por iso o enderezo é un sinal útil cando non cadra, pero non é unha garantía cando si cadra. Para un cambio de datos bancarios, a única confirmación que vale é unha chamada a un número que xa tiñas de antes, feita por ti, sen usar ningún teléfono que apareza nese correo.

É unha cabeceira do correo que indica a que enderezo irá a túa resposta cando premas «Responder». Normalmente coincide co remitente e ninguén se fixa, pero pódese configurar para que sexa outro distinto. Nesta fraude úsase para que a mensaxe pareza vir do provedor e, porén, cando contestas preguntando se o cambio de banco é correcto, a túa dúbida chégalle ao atacante, que naturalmente che dirá que si. Para velo, na maioría dos programas de correo abonda con premer «Responder» e fixarse en que enderezo aparece no campo do destinatario antes de escribir nada, ou abrir os detalles da mensaxe. Se o enderezo de resposta non é o do provedor, xa non fai falta investigar máis: é fraude. E aínda que coincida, non contestes a ese correo para verificar o cambio. Unha verificación feita pola mesma canle que trouxo a petición non verifica nada; chama por teléfono.

O IBAN ten unha estrutura que se pode ler sen ser experto. As dúas primeiras letras son o país onde está aberta a conta: ES é España, e un provedor español de toda a vida que de súpeto pide cobrar nunha conta con outras letras ao principio merece unha chamada antes de pagar. Nas contas españolas, despois das dúas letras e dos dous díxitos de control, veñen catro díxitos que identifican o banco; se o correo di que se pasaron a un banco concreto e ese código corresponde a outro, tampouco cadra. Ademais, cada vez máis bancos amosan ao preparar a transferencia un aviso de se o nome do beneficiario coincide co titular da conta. Se ese aviso di que non coincide, para. Ningunha destas comprobacións substitúe a chamada: un atacante coidadoso pode usar unha conta española. Serven para detectar os casos burdos, non para dar por bo o resto.

Chama ao teu banco nese mesmo momento, non mañá nin despois de comprobalo todo. Explica que fixeches unha transferencia a unha conta fraudulenta e pide que intenten paralo ou solicitar a devolución ao banco de destino. Canto menos tempo pasase, máis opcións hai de que o diñeiro siga nesa conta; coas transferencias inmediatas a marxe é moi curta, e non hai garantía de recuperalo, pero sen esa chamada rápida as posibilidades baixan moito. Despois, presenta denuncia na Policía Nacional ou na Garda Civil, ou nos Mossos d'Esquadra se estás en Cataluña, co correo, a factura e o xustificante da transferencia: o banco adoita pedila para seguir adiante. Avisa tamén ao provedor por teléfono, porque o seu correo probablemente estea comprometido e el ten o seu propio problema. E se necesitas orientación sobre os pasos, o 017 do INCIBE atende consultas de ciberseguridade de forma gratuíta e confidencial.

Non, ao contrario: gárdao tal cal. Esa mensaxe é a proba principal para a denuncia e para o que che pida o banco, e o que importa dela non é só o texto visible, senón as cabeceiras técnicas, que amosan desde que servidores se enviou realmente e a que enderezo ían as respostas. Se a borras, ou a reenvías e eliminas o orixinal, parte desa información pérdese. O recomendable é deixala na bandexa, sen responder nin abrir máis anexos, e se queres apartala, movela a un cartafol á parte. Tampouco serve de nada contestarlle ao atacante para reprocharlle nada nin para intentar que devolva o diñeiro: só confirma que o teu enderezo está activo e que alguén le. Garda tamén o PDF da factura, o xustificante da transferencia e calquera outro correo do mesmo fío. Con todo iso xunto, quen revise o caso pode reconstruír que pasou e desde onde.

É posible, e hai que descartalo. Se o atacante leu o teu correo, coñece os teus provedores, os teus clientes e os teus prazos de pagamento, e pode repetir o engano cara a fóra, mandándolles aos teus clientes facturas túas con outra conta. Os sinais típicos son regras de correo que ninguén creou, por exemplo unha que reenvía mensaxes a un enderezo externo ou que move a un cartafol agochado todo o que contén a palabra «factura», inicios de sesión desde lugares raros ou mensaxes enviadas que ninguén lembra ter escrito. O primeiro é cambiar o contrasinal desa conta desde un equipo limpo e activar a verificación en dous pasos se non estaba activa; o segundo, revisar esas regras e as sesións abertas. Se a túa empresa depende do correo para facturar, que alguén con acceso de administrador o revise a fondo. É unha das revisións que facemos dentro do soporte informático para empresas.

Cun proceso curto e escrito, que non dependa de que alguén «teña bo ollo». Primeiro: ningún cambio de conta bancaria dun provedor se dá por bo por correo; chámase ao contacto de sempre, ao número que xa estaba na ficha do provedor, e anótase quen o confirmou e cando. Segundo: a alta ou o cambio dun IBAN aprobano dúas persoas, unha que o introduce e outra que o revisa, de forma que un só correo ben feito non abonda para mover diñeiro. Terceiro: calquera urxencia cun pagamento a unha conta nova é motivo para ir máis amodo, non máis rápido. E cuarto: o correo da empresa con verificación en dous pasos en todas as contas, que é o que evita que o engano saia da vosa propia caixa de correo. Non é tecnoloxía cara, é costume. Custa un par de minutos por cambio e corta a fraude no punto exacto onde funciona.