Phishing y fraude de proveedor
El ataque no busca tu contraseña: busca que cambies una CLABE. Estas son las señales y la verificación mínima antes de firmar cualquier pago.
El fraude más caro en tesorería es el cambio de cuenta de proveedor por correo apócrifo. El mensaje llega con membrete creíble, suele incluir prisa y a veces amenaza con suspender el servicio. La defensa es una sola: confirmar el cambio por teléfono en un número ya conocido, nunca el del correo.
El phishing de credenciales también existe, pero rara vez basta por sí solo: sin el código del token no hay operación. Por eso el atacante moderno apunta al proceso, no solo al acceso.
Señales en el correo
- Dominio parecido al del proveedor, con una letra o guion de más
- Urgencia por cerrar el pago antes de un corte
- Cambio de datos bancarios sin motivo aparente
- Hilo viejo reenviado con "actualización de datos"
- Firma sin teléfono o con teléfono distinto al del contrato
- Errores de redacción en un proveedor que normalmente no los tiene
Phishing de credenciales
| Variante | Qué pide | Cómo se detecta |
|---|---|---|
| Pantalla de login falsa | Usuario, contraseña y código | Dominio distinto al oficial |
| "Validación de token" | Código generado por el usuario | Llega por WhatsApp o llamada no solicitada |
| "Actualización de datos" | Datos del contrato y del administrador | Formulario fuera de bbva.mx |
| "Operación en revisión" | Código para liberar un pago | El canal no tiene operación pendiente |
Regla simple: si la operación no aparece en el canal, el código que te piden no es del canal.
Protocolo de cambio de cuenta de proveedor
- Congela el pagoNo firmes hasta verificar, aunque venza el plazo.
- Llama al número del contratoHabla con el contacto de cobranza, no con quien firma el correo.
- Solicita comprobante de la cuentaCarátula o estado de cuenta con el nuevo número.
- Aplica monto tope al primer envíoPaga una parte y confirma recepción antes del total.
- Registra el cambioCon fecha, quién verificó y por qué medio.
Si ya pagaste a la cuenta equivocada
El SPEI es irreversible una vez liquidado, pero actúa rápido: levanta la aclaración el mismo día, avisa por escrito al banco receptor, contacta al titular de la cuenta destino si lo identificas y conserva toda la evidencia. La recuperación depende de la voluntad del titular y de la ruta que siga el caso.