Suplantación por correo: cuando una factura altera la cadena de pagos
En una promotora o constructora, el correo electrónico conecta a compras, administración, dirección de obra, proveedores, subcontratas y tesorería. Esa dependencia operativa convierte la bandeja de entrada en un punto sensible: una instrucción aparentemente legítima puede afectar a un pedido, una certificación, una factura o un pago relevante.
INCIBE describe el fraude por correo corporativo comprometido como una situación en la que un ciberdelincuente suplanta a un proveedor e intercepta correos de facturación. El objetivo puede ser lograr que la empresa destinataria modifique los datos bancarios de un proveedor, acepte una instrucción urgente o dirija un pago a una cuenta controlada por terceros.
El riesgo no se limita a recibir un mensaje malicioso aislado. Si una cuenta de correo queda comprometida, el atacante puede aprovechar conversaciones reales, nombres de interlocutores, referencias de obra y ciclos de facturación para construir solicitudes creíbles. También puede utilizar urgencias aparentes, cambios de interlocutor o peticiones de confidencialidad para reducir las comprobaciones habituales.
Para dirección, el impacto puede materializarse en pérdidas económicas, retrasos en pagos legítimos, conflictos con proveedores y tensión sobre la planificación financiera. Para operaciones, una incidencia puede bloquear aprobaciones, obligar a revisar órdenes y certificaciones, y generar incertidumbre sobre qué comunicaciones siguen siendo fiables. La recuperación exige tiempo de administración, tesorería, IT y responsables de negocio, además de preservar evidencias para investigar lo ocurrido.
La validación no debería descansar en que el correo parezca conocido, que el dominio sea similar al habitual o que el mensaje incluya datos correctos. La decisión de cambiar una cuenta bancaria o autorizar un pago extraordinario debe separarse del propio correo que solicita la acción. Un procedimiento eficaz establece una comprobación por un canal independiente y previamente conocido, con evidencias de quién verificó, qué información confirmó y quién aprobó finalmente la operación.
Riesgos para IT, operaciones y dirección: una incidencia con múltiples frentes
La suplantación por correo afecta a varias áreas al mismo tiempo. IT debe proteger las cuentas, detectar accesos anómalos y limitar la capacidad de un atacante para mantener el control del buzón. Operaciones y administración necesitan distinguir entre una solicitud legítima y una instrucción manipulada sin paralizar la actividad. Dirección debe asegurar que las decisiones de pago y los cambios en proveedores no dependan de una única persona o de una única señal recibida por correo.
La guía CCN-STIC 1629 contempla la suplantación de identidad, el phishing y el riesgo de correo electrónico empresarial entre las amenazas abordadas por herramientas de correo y colaboración. Desde una perspectiva práctica, esto obliga a revisar tanto la tecnología como la forma de trabajar con ella.
- Correo y colaboración: conviene revisar reglas de reenvío, accesos delegados y registros de inicio de sesión. Un reenvío no autorizado puede facilitar que terceros conozcan facturas, interlocutores o instrucciones internas.
- Accesos críticos: la autenticación multifactor debe aplicarse a correo, cuentas administrativas, ERP y herramientas de colaboración, con prioridad para quienes pueden aprobar pagos o modificar datos de proveedores.
- Flujo de pagos: quien solicita un cambio, quien lo valida y quien ejecuta el pago deben tener funciones diferenciadas. Esta separación reduce el riesgo de que una única identidad comprometida desencadene toda la operación.
- Capacidad de respuesta: los equipos deben contar con un canal sencillo para reportar mensajes sospechosos y con un proceso claro para escalar una posible suplantación antes de que se ejecute una transferencia.
La formación también debe responder a los procesos reales de la empresa. Administración, compras, tesorería, dirección de obra y responsables con capacidad de aprobación necesitan practicar escenarios de facturas, cambios de IBAN y mensajes que suplantan a interlocutores habituales. El objetivo no es asumir que cada comunicación es fraudulenta, sino crear una rutina proporcionada de comprobación cuando una solicitud altera datos sensibles o implica un desembolso.
Datos personales y continuidad: proteger la operación sin perder trazabilidad
Las promotoras y constructoras pueden tratar datos personales de clientes, contactos, empleados y proveedores. La información vinculada a ventas, obras, personal o gestión de terceros debe incorporarse al análisis de riesgos junto con los procesos de pago y comunicación. Una cuenta comprometida puede exponer no solo instrucciones financieras, sino también datos incluidos en conversaciones, documentos adjuntos o herramientas de colaboración.
El Reglamento General de Protección de Datos puede ser relevante cuando la empresa trate datos personales. Su artículo 32 exige medidas técnicas y organizativas apropiadas al riesgo, aunque la aplicabilidad concreta depende de los tratamientos realizados. La Ley Orgánica 3/2018 complementa en España este marco de protección de datos personales.
La AEPD indica que su guía de gestión del riesgo y evaluación de impacto es aplicable a cualquier tratamiento de datos personales y se orienta al riesgo para los derechos y libertades de las personas. También señala que el responsable del tratamiento debe aplicar medidas técnicas y organizativas apropiadas y poder demostrar su aplicación. Por ello, no basta con implantar controles: conviene documentar inventarios de tratamientos, responsabilidades, decisiones de seguridad y actuaciones ante incidentes.
Para mantener la continuidad, la empresa necesita saber qué hacer desde el primer aviso: contener el acceso afectado, revisar el alcance de la comunicación comprometida, identificar pagos o cambios pendientes y coordinar a IT, finanzas, operaciones y responsables de datos personales cuando corresponda. La trazabilidad de las verificaciones y de las decisiones permite reconstruir la incidencia, corregir fallos de proceso y reducir la probabilidad de que una urgencia aparente se convierta en una interrupción operativa mayor.
Controles preventivos integrados en compras, obra y tesorería
La prevención resulta más sólida cuando los controles se incorporan al flujo habitual de trabajo y no dependen de que una persona detecte por sí sola una anomalía. En particular, los cambios de datos bancarios, las solicitudes de pago fuera de calendario y las instrucciones que llegan con carácter urgente deben activar un circuito específico de validación.
Ese circuito puede basarse en el principio de que una comunicación recibida por correo no debe ser el único fundamento para modificar información financiera. La comprobación debe realizarse mediante un canal independiente, previamente conocido por la empresa, y con interlocutores identificados en los registros internos de proveedores. La llamada, la validación en un portal acordado o la confirmación a través de un contacto registrado pueden formar parte del procedimiento, según la organización y el proceso aplicable.
- Solicitud documentada: registrar el cambio solicitado, el proveedor afectado, el motivo indicado y la persona que inicia la revisión.
- Verificación independiente: confirmar los nuevos datos sin utilizar los datos de contacto incluidos en el mensaje recibido.
- Validación separada: asignar a una persona o función distinta la comprobación de la información y la autorización operativa.
- Ejecución controlada: limitar la capacidad de alta o modificación de proveedores y conservar evidencia de las aprobaciones.
- Revisión posterior: verificar que el cambio aplicado coincide con la autorización documentada y que no existen modificaciones adicionales no justificadas.
La separación de funciones adquiere especial importancia cuando una misma área concentra la recepción de facturas, la gestión de proveedores y la preparación de pagos. No se trata de introducir fricción indiscriminada, sino de establecer controles reforzados para operaciones que alteran cuentas bancarias, importes, destinatarios o condiciones de pago.
También conviene definir perfiles de acceso acordes con cada responsabilidad. Las cuentas con capacidad para aprobar pagos, modificar maestros de proveedores, administrar correo o gestionar herramientas de colaboración requieren una protección prioritaria. La autenticación multifactor en correo, ERP, cuentas administrativas y entornos de colaboración añade una barrera relevante frente al uso indebido de credenciales.
TechConsulting puede ayudar a traducir estos principios en matrices de autorización, flujos de validación y configuraciones adaptadas a la operativa de cada promotora o constructora, evitando que los controles queden desconectados de los procesos de obra, compras y tesorería.
Detección temprana: visibilidad sobre cuentas, mensajes y cambios sensibles
La detección debe orientarse a identificar señales que justifiquen una revisión antes de que una solicitud alcance la fase de pago. Para ello, IT y las áreas de negocio necesitan compartir un criterio común sobre qué comportamientos deben considerarse sospechosos y cómo reportarlos.
- Reenvíos y reglas del buzón: revisar reglas de reenvío, redirecciones y configuraciones que puedan facilitar el acceso de terceros a comunicaciones de facturación o a conversaciones internas.
- Accesos y delegaciones: supervisar los accesos delegados y los registros de inicio de sesión para investigar cambios que no respondan a una necesidad conocida.
- Modificaciones de proveedores: revisar las altas y cambios de datos bancarios, especialmente cuando coincidan con solicitudes urgentes, nuevos interlocutores o instrucciones recibidas por correo.
- Pagos extraordinarios: establecer revisiones adicionales para operaciones que se aparten de los circuitos y calendarios habituales.
- Canal de alerta: ofrecer a empleados y responsables de obra un mecanismo sencillo para informar de mensajes sospechosos sin tener que decidir previamente si existe fraude.
El valor de estas medidas depende de que las alertas lleguen a quien puede actuar. Un equipo de administración que recibe una petición dudosa debe saber si debe detener la operación, a qué responsable trasladarla y qué evidencias conservar. Del mismo modo, IT debe poder recibir información suficiente para revisar la cuenta afectada, sus reglas de correo, los accesos y las comunicaciones relacionadas.
La formación puede reforzar esta capacidad mediante simulaciones ajustadas al negocio: facturas asociadas a partidas de obra, peticiones de modificación de IBAN, mensajes atribuidos a responsables habituales o solicitudes de confidencialidad. El propósito es entrenar la comprobación de operaciones sensibles, no convertir el correo en un canal inutilizable ni asumir que toda comunicación es maliciosa.
Una revisión periódica de los permisos, las cuentas con privilegios y los circuitos de pago permite detectar si los cambios organizativos han dejado accesos o responsabilidades sin supervisión suficiente. Esta revisión es especialmente útil cuando intervienen múltiples sociedades, centros de trabajo, proyectos o equipos externos.
Respuesta coordinada y mejora continua tras una posible suplantación
Ante una posible suplantación, la velocidad debe ir acompañada de orden. La organización necesita un procedimiento que permita contener el acceso afectado, preservar la información necesaria y decidir con rapidez si existen pagos, cambios de proveedor o comunicaciones pendientes que deban bloquearse o revisarse.
El proceso puede asignar responsabilidades diferenciadas a IT, tesorería, compras, operaciones y a las personas responsables de los tratamientos de datos personales cuando proceda. IT puede ocuparse de revisar la cuenta y sus configuraciones; finanzas, de identificar operaciones en curso; y las áreas de negocio, de confirmar qué proveedores, obras o interlocutores pueden estar afectados. Esta coordinación reduce decisiones aisladas basadas en información incompleta.
La documentación de cada actuación resulta útil para reconstruir lo sucedido: cuándo se recibió el aviso, qué cuentas o procesos se revisaron, qué pagos se detuvieron, qué verificaciones se realizaron y qué decisión se adoptó. Cuando haya datos personales implicados, esta trazabilidad también facilita la gestión del riesgo sobre los derechos y libertades de las personas y la demostración de las medidas aplicadas.
Después de la contención, conviene realizar una revisión estructurada del incidente o del intento detectado. El análisis puede valorar si falló un control técnico, una autorización, una validación de proveedor, una asignación de permisos o un criterio de escalado. A partir de esa revisión, la empresa puede ajustar procedimientos, reforzar la formación de los equipos implicados y actualizar las medidas de seguridad conforme al riesgo identificado.
La mejora continua no exige rediseñar toda la operación tras cada alerta. Puede consistir en corregir una regla de acceso, aclarar una responsabilidad, actualizar un contacto validado o incorporar una comprobación adicional a un flujo sensible. Lo importante es que las lecciones obtenidas se transformen en cambios verificables y que los equipos conozcan cómo aplicarlos en la siguiente operación.
Consejo práctico
Esta semana, revise el procedimiento de cambio de cuentas bancarias de proveedores y establezca que ninguna modificación, pago extraordinario o instrucción urgente recibida por correo pueda ejecutarse sin una verificación por un canal independiente previamente registrado y una aprobación separada documentada.
Conclusión
La suplantación por correo puede convertir una comunicación aparentemente habitual en una alteración relevante de la cadena de pagos, la relación con proveedores y la continuidad de las operaciones. En promotoras y constructoras, donde intervienen compras, obra, administración, subcontratas y tesorería, la protección requiere combinar medidas técnicas con procesos de decisión claros.
La autenticación multifactor, la revisión de reglas de reenvío, accesos delegados y registros de inicio de sesión ayudan a reducir la exposición de las cuentas. Sin embargo, la protección también depende de separar responsabilidades, validar cambios sensibles mediante canales independientes y conservar evidencias de las comprobaciones realizadas. Estas rutinas permiten que las áreas de negocio actúen con mayor seguridad sin detener innecesariamente la actividad.
La gestión debe contemplar asimismo los datos personales tratados en ventas, obras, personal y proveedores, ajustando las medidas y la respuesta ante incidentes al riesgo identificado. Una respuesta coordinada entre IT, finanzas, operaciones y responsables de datos permite contener una posible incidencia, revisar su alcance y aplicar mejoras verificables.
Para adaptar estos controles a los procesos de su organización, conozca los servicios de TechConsulting en https://techconsulting.es.
Contenido elaborado por el equipo de TechConsulting, especialistas en ciberseguridad, protección de infraestructuras y continuidad de negocio.
Preguntas frecuentes
- ¿Cómo debe verificarse un cambio de IBAN solicitado por correo electrónico?
El cambio no debe confirmarse usando los datos de contacto incluidos en el mensaje recibido. La empresa debe contactar con el proveedor mediante un canal independiente y previamente registrado, documentar la solicitud y separar la verificación de la autorización final. También conviene conservar evidencias sobre quién comprobó la información y quién aprobó el cambio.
- ¿Qué señales deben activar una revisión antes de ejecutar un pago?
Conviene revisar con especial atención las solicitudes urgentes, los pagos fuera del calendario habitual, los cambios de interlocutor, las peticiones de confidencialidad y las modificaciones de datos bancarios. También requieren análisis los mensajes asociados a nuevos contactos o a cambios de proveedor recibidos exclusivamente por correo electrónico.
- ¿Qué controles técnicos ayudan a reducir el riesgo de suplantación por correo?
La autenticación multifactor debe priorizarse en correo, ERP, cuentas administrativas y herramientas de colaboración, especialmente para quienes aprueban pagos o modifican proveedores. Además, es recomendable supervisar reglas de reenvío, accesos delegados y registros de inicio de sesión, ya que configuraciones no autorizadas pueden exponer comunicaciones financieras.
- ¿Qué áreas deben intervenir ante una posible suplantación de proveedor?
La respuesta debe coordinar a IT, tesorería, compras, operaciones y, cuando corresponda, a las personas responsables de datos personales. IT revisa la cuenta y sus configuraciones; finanzas identifica pagos en curso; y las áreas de negocio confirman proveedores, obras e interlocutores afectados. Esta coordinación permite contener la incidencia y preservar evidencias.
- ¿Por qué es importante separar funciones en los cambios de proveedores y pagos?
Separar la solicitud, la comprobación y la ejecución limita el riesgo de que una sola identidad comprometida complete toda la operación. La empresa debe diferenciar quién valida los nuevos datos, quién autoriza el cambio y quién ejecuta el pago. Este control resulta especialmente relevante cuando una misma área gestiona facturas, proveedores y tesorería.