La negociación venía de semanas, todo por correo, todo normal. Cerca del cierre, llega el mensaje esperado: los datos bancarios para el pago, en el mismo hilo de conversación, con la misma firma, el mismo tono. La empresa paga. Días después, el proveedor cobra: nunca recibió. Los dos releen el intercambio de mensajes y descubren, tarde, que en algún punto la conversación cambió de manos: la cuenta indicada no era del proveedor, el dominio del remitente tenía una letra cambiada, o el mensaje partió de la casilla legítima, invadida. Es la estafa conocida como BEC, el compromiso del correo corporativo, y produce simultáneamente un perjuicio y un litigio: las dos empresas son víctimas, y una de ellas se quedará con la cuenta.
La pregunta que decide: ¿dónde estaba el criminal?
Jurídicamente, la disputa entre las dos empresas gira en torno a la diligencia: quién dejó la puerta abierta y quién dejó de verificar lo razonable. Técnicamente, esa discusión solo sale de la especulación con una respuesta: ¿en qué entorno operaba el defraudador? Si la casilla invadida fue la del proveedor, de donde partió la instrucción falsa, el peso se inclina hacia un lado; si el compromiso estaba en el comprador, que recibió el mensaje legítimo y tuvo la pantalla cambiada frente a sí, se inclina hacia el otro; si ningún entorno fue invadido y todo pasó por un dominio parecido registrado la víspera, el análisis se vuelve hacia quien debía haberlo notado. Cada escenario deja vestigios distintos, y es el examen el que los separa.
El trabajo recorre las dos puntas. En los encabezados de los mensajes, la ruta real de cada correo: servidores de paso, resultados de autenticación (SPF, DKIM, DMARC), divergencias entre el remitente exhibido y el remitente de hecho. En los registros de las casillas, las señales de invasión: accesos desde ubicaciones y aparatos extraños, y principalmente las reglas de reenvío y ocultamiento creadas por el invasor, el truco clásico de desviar silenciosamente las respuestas para que la víctima no perciba la conversación paralela. En el entorno de quien pagó, los artefactos de la estación confirman si el mensaje fraudulento de hecho llegó de afuera o si había un compromiso interno.
"En el BEC, las dos empresas juran inocencia, y las dos dicen la verdad que conocen. El dictamen existe para establecer la verdad que ninguna de las dos vio: en qué entorno trabajaba el criminal."
Las primeras horas valen el caso
Descubierto el desvío, tres relojes corren al mismo tiempo. El del dinero: el contacto inmediato con los bancos y el registro de la denuncia aumentan la probabilidad de bloqueo de los valores antes de la pulverización. El de la prueba: los registros de autenticación y los logs de los proveedores expiran, y las casillas siguen usándose, sobrescribiendo vestigios; la preservación forense de los mensajes, encabezados completos y registros de acceso debe ocurrir antes del "ordenamiento" bienintencionado del área de TI. Y el reloj del contrato: las pólizas de seguro cibernético y las cláusulas de comunicación tienen plazos propios, y el incumplimiento formal cuesta la cobertura. Las tres carreras dependen del mismo gesto inicial: tratar el episodio como escena de investigación, no como un bochorno que se resuelve por teléfono.
Vale registrar: el examen también protege a quien pagó bien. Cuando el dictamen demuestra que la instrucción partió de la casilla legítima del proveedor invadido, la empresa pagadora deja de ser negligente y se convierte en acreedora de la discusión.
Lo que el dictamen establece
- La anatomía del fraude: dominio falso, casilla invadida o desvío interno, con los vestigios de cada hipótesis probados;
- La línea de tiempo completa: del primer acceso indebido a la instrucción de pago fraudulenta;
- Los indicadores de diligencia y de falla de cada entorno: autenticación de correo configurada o ausente, alertas ignoradas, doble verificación practicada o no;
- La base técnica para la discusión de responsabilidad entre las empresas, para la aseguradora y para la persecución penal.
Las variaciones de la misma estafa
El desvío del pago a un proveedor es la forma clásica, pero la familia es grande. En el fraude del falso ejecutivo, el área financiera recibe el mensaje "del presidente" pidiendo una transferencia urgente y confidencial, casi siempre un viernes por la tarde, explotando jerarquía y prisa. En la variación de RR. HH., el "empleado" pide el cambio de la cuenta de depósito del salario días antes del pago. En la de la factura falsa, la factura legítima es interceptada y reemitida con el código de barras adulterado. El denominador común es el mismo: la estafa no ataca al sistema, ataca la rutina, el gesto repetido de pagar lo que parece correcto. Y la firma técnica también se repite: el examen de los encabezados, de los registros de acceso y de las reglas de casilla revela dónde fue interceptada la conversación y qué eslabón confió cuando debía verificar. Quien ya mapeó una variación reconoce las otras; quien nunca examinó ninguna paga la próxima factura falsa.
La prevención que cuesta una llamada
Ningún control tecnológico sustituye la regla de oro contra el BEC: un dato bancario nuevo o alterado se confirma por un segundo canal, una llamada al número ya conocido del proveedor, nunca al teléfono informado en el propio correo sospechoso. Junto a ella, autenticación multifactor en las casillas corporativas, políticas de autenticación de dominio bien configuradas, alertas para reglas de reenvío creadas y entrenamiento del área financiera para desconfiar de la prisa. La estafa explota exactamente la confianza construida en la conversación larga; la defensa es institucionalizar la desconfianza en el único momento que importa: la víspera del pago.
Cuando la prevención falla, queda la disputa, y será decidida por la calidad de la prueba que cada lado preservó. La empresa que congela los vestigios el primer día entra a la negociación, al proceso o al siniestro con hechos demostrados. La que "resuelve" la casilla invadida antes de preservar entra con una historia, y las historias, contra los dictámenes, suelen perder.
En el BEC, quien paga la cuenta es siempre quien tiene menos prueba. El examen existe para que no sea usted.
