El fraude mediante el cambio de cuenta bancaria de pago de facturas enviadas por email está aumentando alarmantemente. En un plazo de 40 días, hemos recibido tres solicitudes de ayuda por este tipo de estafas. Los delincuentes modifican la cuenta de pago donde el cliente debe realizar una transferencia bancaria. El problema es serio. El proveedor nunca recibe el pago y el cliente ha abonado una cantidad que no cubre su deuda. Las cantidades defraudadas en este tipo de timos suelen ser considerables.. En los casos mencionados, las cantidades estafadas ascienden a 7.000 euros, la segunda ha sido de 8.500 y la última de unos 50.000 €.

EN QUE CONSISTE EL ENGAÑO

Por lo general, este engaño se produce cuando un proveedor remite un correo electrónico a su cliente. El email incluye una factura (PDF) y el número de cuenta corriente donde realizar el pago de las cantidades debidas.

En el trayecto de envío, el email va a ser alterado. El cliente no va a recibir el correo original, sino que recibirá una comunicación con apariencia real, donde el hacker ha alterado el número de la cuenta de pago legítima por la suya.

En los días posteriores, cuando el proveedor reclama el pago de la cantidad adeudada, es tarde. El dinero ya se ha evaporado de la cuenta y la transferencia no se puede deshacer sin consentimiento del titular que se ha beneficiado de la misma.

CÓMO SE PRODUCE EL FRAUDE DEL CAMBIO DE LA CUENTA DE PAGO

Este engaño puede tener varias modalidades. La más común es el acceso a las cuentas de correo electrónico, ya sea del proveedor que envía la factura o la del cliente que la recibe.

Hemos detectado tres métodos para ejecutar el fraude del cambio de cuenta bancaria:

1. Los hackers suplantan del correo original utilizando un dominio similar. Por ejemplo, si el email del proveedor es facturas@miempresa.com elegirán un nombre parecido: «facturas@miiempresa.com» o «factura@rniempresa.com». Si no prestamos atención, con una lectura rápida, es fácil no percatarse del cambio y caer en la trampa.
2. Mediante phishing. Con antelación, nos envían un email con apariencia real advirtiendo que hemos de cambiar la contraseña de nuestro correo porqué se ha visto comprometida la seguridad de la cuenta. Para el cambio, se nos solicitará por “seguridad” escribir la contraseña actual. Con esta treta se harán con el acceso a nuestro buzón de correo.
3. El tercer método para acceder a nuestro correo sería mediante la obtención de la contraseña por fuerza bruta. En estos casos, la clave de acceso a la cuenta de correo electrónico está configurada con una contraseña de baja seguridad. Mediante programas sencillos se hacen con la clave en cuestión de minutos.

En los dos últimos casos, una vez monitorizada la entrada y salida de emails, en el momento que los hackers detectan un correo que incluye una factura, retienen o desvían dicho email y lo sustituyen por otro, donde incluirán sus datos de pago en vez de los del proveedor.

Se ha dado el caso, en que el receptor, ante el cambio inesperado de cuenta corriente, solicita que se le remita un certificado de titularidad bancaria para su aprobación. Sin embargo, esto no es un obstáculo para los delincuentes, ya que pueden falsificar uno en cuestión de minutos sin mayores problemas.

CÓMO PREVENIR QUE ALTEREN NUESTROS EMAILS

Para prevenir este tipo de fraude es conveniente tomar una serie de medidas que dificultarán enormemente la posibilidad de ser engañados mediante la modalidad del cambio de cuenta de pago en el envío de emails.

1. Configurar los buzones de correo electrónico con contraseñas robustas. Para ello, las contraseñas deben tener una longitud mínima de 12 dígitos. Deben incorporar mayúsculas, minúsculas, números y símbolos.
2. Si el servicio de correo que usa nuestra entidad permite la verificación en dos pasos (2FA) es conveniente tenerla activada.
3. Cambiar las contraseñas habitualmente.
4. Utilizar un antivirus de garantías en nuestros equipos.
5. Activar las actualizaciones de seguridad de nuestros equipos y de las aplicaciones de correo electrónico.
6. Usar el sentido común. Si tienes que enviar una factura con un monto importante. Inmediatamente, tras realizar el envío, contactar con el cliente telefónicamente y confirmar los datos de pago que aparecen en la comunicación.
7. Desconfiar de los correos que incluyan una cuenta bancaria de pago diferente a la habitual. En estos casos, contactar directamente con el proveedor por otro medio para confirmar antes de hacer el pago.
8. Si existiese un contrato de venta de servicios o ventas, incluir una cláusula donde se determina cual será la cuenta de pago donde de manera obligatoria se realizarán los pagos. En caso de modificación de la cuenta, se debe determinar un medio fehaciente de notificación del cambio de cuenta corriente.
9. Especificar en el contrato que las facturas que sean remitidas al cliente en PDF siempre incluirán una firma electrónica que dará autenticidad a la misma. Para ello, utilizaremos nuestro certificado digital de persona física o de representante que proporciona la FNMT.
10. Es aconsejable, incluir en «copia oculta» una segunda dirección de email en el envío, a la que tengamos acceso. Con este simple gesto, poseeremos un elemento adicional que nos puede permitir determinar en que punto se vulneró las comunicaciones. Tendremos una segunda referencia temporal de la entrega del email para comparar con la del email modificado.