Fraude por suplantación: procesos de verificación

Una solicitud fraudulenta trae consigo todo lo necesario para «confirmarla»: un número de teléfono en la firma, un enlace, un contacto alternativo porque «estoy en otro teléfono». Si la verificación usa cualquiera de esos datos, se llama al propio atacante, que confirma con gusto. La verificación fuera de banda funciona solo si el canal sale de una fuente que la empresa ya tenía antes de la solicitud: el maestro de proveedores, el directorio interno, la extensión de siempre.

Las señales que acompañan a estos casos se repiten: urgencia, secreto («no lo comentes»), un cambio de cuenta o un beneficiario nuevo, y un canal que no es el habitual. Sirven para disparar la verificación, no para sustituirla: una petición bien hecha puede no tener ninguna.

Que un caso tenga una verificación anotada no quiere decir que la verificación sirviera. La revisión útil cruza tres cosas por intento: qué se pidió, a quién se llamó y qué pasó después. Un intento detenido con una llamada al número correcto es un control que funcionó; un cambio aplicado después de una llamada es una señal de que la llamada fue a otro sitio.

Revisa la tabla de intentos y las notas de cierre.

Para corregir hay que nombrar el paso exacto que falló, no «la verificación» en general. Un equipo puede creer que cumplió porque llamó, cuando el procedimiento pedía llamar a un número concreto. Las notas de cierre de ese intento dicen de dónde salió el número al que se llamó.

El informe del trimestre a la dirección necesita una cifra: cuánto dinero salió hacia cuentas que no eran del beneficiario real. No todos los intentos que tuvieron éxito pasaron por tesorería, y no todos eran pagos a proveedores.

Uno de los cambios aplicados no pasó por ninguna verificación porque el área que lo atendió considera que el procedimiento no le aplica. Leer el alcance de un procedimiento es tan importante como leer sus pasos: lo que queda fuera no tiene control, aunque el riesgo sea idéntico.