Suplantaron el correo de la empresa para pagar facturas falsas

¿Tienes razón?

Para saber si la responsabilidad es de la empresa, del proveedor o de terceros, examine tres elementos. Primero: el origen del correo. Si el encabezado y los registros del servidor muestran que el mail salió desde una IP externa o desde una cuenta clonada, indica suplantación. Segundo: la conducta de los bancos y proveedores receptores. Si ellos aceptaron transferencias sin verificar cambios inusuales en cuentas o beneficiarios, pueden tener responsabilidad por falta de diligencia. Tercero: los controles internos de su empresa. Si la empresa tenía políticas de pago débiles (por ejemplo, cambiar instrucciones por correo sin confirmar por otro canal), eso complica la defensa.

En suma, su caso depende tanto de la técnica (logs, encabezados, registros de servidor, firmas digitales) como de la conducta de terceros. La presencia de autenticación fuerte (firma digital, SPF/DKIM/DMARC configurados) favorece a la víctima si demuestran que el atacante eludió esas medidas.

Cómo se soluciona

1. Conservación de evidencia: guarde los correos originales con sus encabezados completos (.eml si es posible). Exporte registros de servidor de correo, logs de acceso y mensajes del día en cuestión. Solicítele al administrador de TI que haga una copia forense de los servidores y no reinicie ni borre logs.

1. Corte y mitigación: cambie contraseñas, revise cuentas de administrador y active autenticación multifactor. Informe a su banco la posible transferencia fraudulenta y pida bloqueo de las cuentas receptoras si la operación está en curso.

1. Notificación a destinatarios y proveedores: comunique por escrito a los proveedores que las instrucciones eran fraudulentas y aporte copia de la denuncia penal. Si el proveedor ya efectuó pagos, exija la colaboración para revertir transferencias y entregue orden judicial si es necesaria.

1. Denuncia penal: presente la denuncia con toda la evidencia técnica ante la Fiscalía. Solicite que se pidan los registros a las plataformas de correo, a los ISPs y a los bancos para identificar las cuentas beneficiarias y las IP utilizadas.

1. Revisión contractual y reclamación civil: evalúe la posibilidad de reclamar por incumplimiento de deberes a proveedores o bancos que no cumplieron sus protocolos de verificación. Reúna contratos, políticas internas de pago y evidencia de comunicaciones para fundamentar la reclamación.

Lo que puede hacer sin abogado: recolectar y conservar evidencia, notificar al banco y a proveedores, presentar la denuncia. Necesitará abogado para medidas probatorias complejas, negociaciones con bancos o demandas civiles.

Qué puede pasar

1) Se arregla con carta y devolución: a veces el banco receptor o el proveedor devuelven los fondos tras la presentación de la denuncia y pruebas técnicas. Esto ocurre cuando la traza de la operación permite identificar transferencias recientes y el receptor coopera.

2) Acuerdo o recuperación parcial: puede lograrse que el receptor acepte devolver total o parcialmente los fondos mediante acuerdo. Esta vía evita un litigio largo y puede incluir medidas para mejorar controles.

3) Juicio penal y civil: la Fiscalía puede perseguir a los autores y, en paralelo, la empresa puede demandar al banco o proveedor por negligencia. Si la empresa pierde en la vía civil, tendrá que asumir la pérdida y eventualmente las costas. Si gana, la reparación dependerá del patrimonio del responsable.

¿Y si gana, cobra? Una sentencia no garantiza cobro si el responsable no tiene bienes o está en otra jurisdicción. Por eso muchas empresas prefieren acuerdos que devuelvan fondos rápidamente.

Errores que arruinan el caso

• Reiniciar o borrar logs del servidor antes de hacer copia forense: destruye la prueba técnica esencial.
• No conservar los correos originales con encabezados completos: las capturas de pantalla no bastan para peritar origen.
• No comunicar al banco al primer indicio: perder minutos puede dificultar la recuperación de fondos.
• Firmar recibos de entrega de mercancía o aceptar facturas sin cotejar órdenes internas: facilita el fraude.