Fraude BEC: suplantación de proveedor y cambio de cuenta bancaria

El fraude BEC (Business Email Compromise) es el ataque financiero más costoso para empresas en México y el mundo. El guion es simple: el delincuente se hace pasar por un proveedor conocido — o compromete su correo real — y envía instrucciones para cambiar la CLABE o pagar una factura a una cuenta nueva. Contabilidad procesa el pago porque el correo parece legítimo, la factura coincide y la urgencia es creíble. El dinero va directo a cuentas del delincuente.

Cómo opera el fraude de suplantación de proveedor

• Investigan la relación comercial: nombres, montos habituales, frecuencia de pagos.
• Registran un dominio similar (proveedor-mx.com en lugar de proveedor.com.mx).
• Comprometen el correo real del proveedor con phishing previo.
• Envían factura modificada con CLABE nueva justo antes de una fecha de pago esperada.
• Presionan: 'si no pagan hoy perdemos el descuento' o 'cuenta anterior bloqueada'.

Por qué las empresas caen

Los procesos de pago están diseñados para eficiencia, no para fraude. Si el correo viene del contacto habitual, la factura tiene formato correcto y el monto es plausible, contabilidad aprueba. Nadie llama al proveedor porque 'siempre pagamos así'. El BEC explota esa confianza operativa.

Un cambio de CLABE nunca debería procesarse solo porque llegó por correo — sin importar quién lo envió.

Controles que bloquean el BEC

1. Verificación fuera de banda: cualquier cambio de cuenta se confirma por teléfono al contacto ya registrado, no al del correo.
2. Lista blanca de CLABE: solo pagar a cuentas previamente validadas y registradas.
3. Doble aprobación: montos sobre cierto umbral requieren dos firmantes independientes.
4. Marcadores visuales en correo externo: alertas cuando el remitente no es del dominio esperado.
5. Capacitación periódica: contabilidad y compras deben conocer este guion específico.
6. Retraso intencional: esperar 24 horas en cambios de cuenta antes de ejecutar el pago.

Señales de alerta en correos de proveedores

Dominio ligeramente diferente, solicitud de cambio de CLABE sin aviso previo por otro canal, urgencia inusual, errores gramaticales en correos que antes eran impecables, facturas PDF con metadatos de software distinto al habitual, o instrucciones de pagar a persona física cuando siempre fue cuenta empresarial.

Qué hacer si ya pagaron a una cuenta fraudulenta

Contacta al banco en minutos — no horas. Presenta denuncia, notifica al proveedor real (puede ser víctima también), documenta el correo fraudulento y revisa si hubo compromiso de cuentas internas. Algunas pólizas de ciberseguro cubren pérdidas por BEC si cumplías controles básicos.

Implementación práctica para PyMEs

No necesitas un departamento de seguridad para empezar. Un documento de política de pagos, una llamada de confirmación obligatoria y capacitación anual de 30 minutos reducen el riesgo significativamente. Automatizar alertas cuando llegue un correo con palabras clave ('nueva cuenta', 'CLABE actualizada') añade otra capa.

Integración con procesos de compras y ERP

El BEC se previene mejor cuando los controles viven en el flujo de trabajo, no en la memoria del contador. Configura tu ERP o sistema de pagos para alertar cuando la CLABE de un proveedor no coincide con la registrada. Exige adjuntar confirmación firmada para cambios de datos bancarios.

Audita periódicamente permisos de correo: cuentas de compras y contabilidad son las más comprometidas. Activa autenticación multifactor en todos los correos corporativos y restringe reenvío automático a dominios externos.

• Registra CLABE de proveedores solo después de verificación telefónica documentada.
• Implementa alertas automáticas en ERP para cambios de datos bancarios.
• Revisa logs de acceso a correo si sospechas compromiso previo.
• Considera póliza de ciberseguro con cobertura específica para BEC.

En Devson Labs diseñamos controles anti-BEC, flujos de aprobación de pagos y capacitación para equipos financieros en empresas mexicanas. Agenda una conversación si procesas pagos a proveedores por SPEI y quieres dormir más tranquilo.