El fraude que más creció en cuentas por pagar: el cambio de datos bancarios del proveedor

El fraude en cuentas por pagar proveedores dejó de ser sólo un problema de facturas falsas: hoy la amenaza que más creció es el cambio fraudulento de datos bancarios del proveedor. El 79% de las organizaciones reportó un intento de fraude en pagos, y muchas de esas intrusiones se realizan modificando dónde se envía el dinero, no la factura en sí.

 

El nuevo patrón: del fraude de facturas al 'hijack' de datos bancarios

Hasta hace unos años, los equipos de Cuentas por Pagar estaban entrenados para detectar facturas duplicadas o proveedores ficticios. Ahora los atacantes apuntan a un cambio sutil pero crítico: reemplazar o actualizar la cuenta bancaria del proveedor. El pago se autoriza sobre una cuenta válida, pero controlada por el actor malicioso. La víctima sólo nota la transferencia cuando es tarde.

 

BEC, ingeniería social y deepfakes: cómo se logra el cambio

Los intentos combinan varias técnicas: compromiso de correo (BEC), suplantación de identidad del proveedor y, en casos avanzados, deepfakes o llamadas que imitan la voz del contacto legítimo. El proceso típico incluye:

• Un correo aparentemente legítimo solicitando actualización de cuenta.
• Documentos adjuntos con la nueva información bancaria que parecen oficiales.
• Validación débil por parte de quien aprueba el pago (por ejemplo, responder al mismo hilo de correo).

Con esos elementos, el atacante consigue que el pago salga fuera del control organizacional sin levantar sospechas inmediatas.

 

Controles mínimos y de bajo fricción que hacen la diferencia

Para reducir la exposición conviene implementar controles concretos y prácticos que no dependan únicamente del criterio humano:

• Segregación de funciones: separación clara entre quien solicita cambios y quien autoriza pagos.
• Validación de datos por canales independientes: llamada a número conocido del proveedor o verificación contra el registro interno, nunca por respuesta al mismo hilo de correo.
• Doble aprobación para cualquier modificación de cuenta bancaria, con evidencia documental y registro de quién aprobó cada paso.
• Listas blancas de cuentas bancarias aprobadas para proveedores críticos.

 

Cómo la trazabilidad y el control digital reducen la superficie de ataque

La clave para mitigar este riesgo es disminuir las intervenciones manuales y dejar un rastro incontestable de cada cambio. El control digital aporta:

• Trazabilidad completa: registro de quién solicitó y quién aprobó cada cambio, con sello de tiempo y evidencia adjunta.
• Validaciones automáticas que detectan discrepancias entre la cuenta nueva y la histórica del proveedor.
• Integración con ERP que evita copiar y pegar datos manualmente, reduciendo errores humanos y la posibilidad de manipulación.
• Alertas configurables ante cambios inusuales (cambio de país de la cuenta, nueva entidad bancaria, etc.).

Con controles y trazabilidad digitales se reduce la ventana de oportunidad del atacante y se facilita la investigación cuando hay un incidente. No es cuestión de eliminar la comunicación: es garantizar que cada cambio pase por un flujo auditable y validado.