Capítulo 33: El socio transparente — Suplantación de identidad de un empleado o empresario ante proveedores

En el mundo empresarial moderno, la confianza es la moneda más valiosa. Es el lubricante de los engranajes del comercio, tanto a nivel internacional como local. Cuando enviamos una orden de compra a un proveedor con el que llevamos trabajando mucho tiempo, o cuando recibimos una factura de un proveedor habitual, no nos detenemos cada vez a verificar la identidad del remitente. Confiamos en la dirección de correo electrónico conocida, en el estilo de escritura y en el historial compartido. Sin embargo, precisamente aquí, dentro del espacio de confort de la "actividad comercial habitual", acecha una de las amenazas más sofisticadas y destructivas de la era digital: el fraude BEC (Business Email Compromise), centrado en la suplantación de identidad dentro de la cadena de suministro.

Esto no es un virus más que bloquea el equipo y exige un rescate en Bitcoin. Se trata de un arte de ingeniería social que combina una recopilación de inteligencia precisa, la paciencia de un cazador y una capacidad de falsificación virtuosa. En este capítulo analizaremos el mecanismo mediante el cual los estafadores penetran en las relaciones más sensibles de la empresa, comprenderemos las complejas implicaciones legales de "quién tiene la culpa cuando el dinero desaparece en el camino" y trazaremos las líneas de defensa que todo empresario y director financiero debe conocer.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos únicamente.

La tormenta silenciosa de la empresa "Tecno-Logística"

Amir estaba orgulloso de la empresa que fundó. "Tecno-Logística" era estable y suministraba componentes electrónicos complejos a plantas de fabricación en Israel, apoyándose en una red de proveedores estrecha en Taiwán y Alemania. El corazón palpitante de la relación con los proveedores era Dana, la directora de compras, que trabajó con "Hans", el director de ventas de su principal proveedor alemán, durante años.

Todo comenzó un martes rutinario de octubre. Dana recibió un correo electrónico de Hans. "Querida Dana", decía el mensaje en su cortés inglés habitual, "estamos pasando por un proceso de auditoría anual y hemos cambiado los datos de nuestra cuenta bancaria para recibir pagos en divisas con el fin de mejorar la eficiencia. Adjunto la factura del último envío (número 8892-G) con los nuevos datos bancarios en Fráncfort. Por favor, confirma la recepción".

Dana no sospechó nada. La dirección de correo electrónico parecía idéntica a la de Hans. El logotipo de la empresa alemana aparecía en el encabezado de la factura, y los detalles del envío (cantidad de componentes, precio unitario y fecha de entrega) eran increíblemente precisos. Ella envió la autorización de pago a Amir, quien la firmó digitalmente, y el dinero (120.000 euros) fue enviado a la nueva cuenta.

Pasaron diez días. El teléfono en la oficina de Amir sonó. Era Hans desde Alemania. "Amir, amigo mío, ¿qué pasa con el pago del envío 8892? Ya estamos una semana después de la fecha de vencimiento y mi sistema está bloqueando nuevos envíos".

"¿Qué quieres decir?", preguntó Amir con una sensación de angustia. "Les pagamos hace diez días. Dana recibió un correo electrónico tuyo con los nuevos datos bancarios en Fráncfort".

El silencio se apoderó del otro lado de la línea. "Amir", dijo Hans con voz baja, "nunca envié tal correo electrónico. Y no hemos cambiado de cuenta bancaria en la última década. Además, nuestro banco está en Múnich, no en Fráncfort".

En ese momento, la tierra bajo los pies de Amir tembló. Comprendió que habían sido víctimas de una estafa. El ataque había comenzado meses antes. Los hackers hackearon el buzón de correo electrónico y esperaron. Leyeron en silencio toda la correspondencia, aprendieron el estilo de hablar, conocieron los nombres de los ejecutores y siguieron el cronograma de envíos. Esperaron el momento en que saliera una factura lo suficientemente grande como para justificar el "golpe", y lo suficientemente pequeña como para no despertar preguntas inusuales en el departamento de cumplimiento del Banco Leumi.

En situaciones como estas, buscar asesoramiento legal se hace con una sensación de urgencia. Se puede evaluar la responsabilidad del banco y las opciones legales para recuperar los fondos, pero es importante comprender que la realidad legal y bancaria es compleja y requiere un análisis profundo de las circunstancias.

Anatomía de un fraude: así es como hackean la relación

Para entender el aspecto legal, primero debemos entender la mecánica del fraude. A diferencia de las brechas puramente tecnológicas, aquí se trata de utilizar una identidad empresarial existente para realizar acciones aparentemente autorizadas. El atacante no roba dinero directamente de la cuenta mediante el hackeo de una contraseña, sino que convence al titular de la cuenta para que envíe el dinero por su propia voluntad a la dirección incorrecta.

Existen tres métodos principales mediante los cuales se lleva a cabo dicha suplantación de identidad ante los proveedores:

1. Toma de control total del buzón de correo electrónico (Account Takeover)

El atacante obtiene acceso completo al correo electrónico de un empleado de la empresa o del proveedor, generalmente a través de phishing. A partir de ese momento, monitorea la actividad y define reglas de reenvío (Forwarding rules) de modo que cada correo electrónico relevante se reenvíe a un buzón externo bajo su control. Cuando envía la solicitud de pago falsa, puede salir desde el servidor real, lo que crea una apariencia totalmente creíble para la parte receptora.

2. Falsificación de dirección (Look-alike Domains)

El atacante registra un dominio que es casi idéntico al dominio original, cambiando un carácter o una letra. El ojo humano, especialmente bajo presión laboral, tiende a no notar el ligero cambio. Crea un perfil de usuario con el nombre y la foto de la persona de contacto conocida y comienza la conversación.

3. "Hombre en medio" (Man-in-the-Middle) en versión humana

El estafador logra colarse en la cadena de correspondencia y envía correos electrónicos a ambas partes mientras se hace pasar por la otra. Maneja el diálogo entre ellos como un "filtro", intercepta facturas, cambia los datos bancarios y las envía al cliente que realiza el pago.

El escenario legal: ¿quién tiene la responsabilidad cuando el dinero desaparece?

Cuando ocurre un evento así, se requiere un análisis legal para decidir entre dos partes aparentemente inocentes: el proveedor que no recibió su dinero y el cliente que pagó la cantidad total, pero a la parte equivocada.

El análisis legal examina cuestiones de responsabilidad y negligencia. En el derecho contractual y de daños, se examina el concepto del "evitador de daños más barato". Es decir, ¿quién de las dos partes podría, con un esfuerzo razonable y medidas preventivas simples, haber evitado que ocurriera el caso?

Responsabilidad del cliente (el pagador)

Se puede evaluar si el cliente tenía la obligación de verificar los detalles y si había "señales de advertencia". Un cambio repentino en los datos bancarios, especialmente si la cuenta se encuentra en otro país, puede considerarse una señal de alarma. Si una empresa realiza una transferencia sin verificar el cambio a través de un canal de comunicación separado y verificado, su grado de negligencia puede evaluarse según las circunstancias.

Responsabilidad del proveedor (el suplantado)

Por otro lado, se puede examinar si la brecha ocurrió en los servidores del proveedor y si su nivel de seguridad era adecuado. Si resulta que el proveedor no tomó medidas de precaución básicas que permitieran la creación de la representación engañosa, podría surgir una responsabilidad por su parte.

La cuestión de la "representación aparente"

En algunos casos, se examina la doctrina de la "representación aparente": si una parte creó la impresión de que una persona determinada es su representante. Sin embargo, los tribunales tienden a ser muy cautelosos al aplicar esta doctrina a los delitos informáticos, ya que, en la mayoría de los casos, no existe una voluntad real por parte del empresario de autorizar al hacker.

Responsabilidad de los bancos

Al examinar la responsabilidad del Banco Hapoalim y otras instituciones financieras, se debe distinguir entre el banco remitente y el banco receptor. La Ley de Servicios de Pago regula algunos de estos aspectos, pero en las transferencias bancarias que el cliente aprobó por sí mismo, el banco remitente puede argumentar que actuó según una instrucción explícita. La responsabilidad puede surgir si se demuestra que el banco ignoró sus deberes profesionales o los procedimientos bancarios correctos al examinar la cuenta receptora.

El baile triangular: el atacante, la víctima y el socio comercial

En la representación legal en casos de este tipo, el desafío suele ser estratégico. Por lo general, ambas empresas están interesadas en continuar la cooperación comercial entre ellas, y los procedimientos legales prolongados pueden afectar la relación.

Por lo tanto, en muchos casos, el análisis legal conduce a la gestión de riesgos y a la distribución de daños. Un examen del grado de negligencia de ambas partes puede conducir a soluciones de compromiso y distribución de la responsabilidad entre ellas.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes.

En un escenario pedagógico basado en casos similares, una empresa pagó a un proveedor una cantidad significativa a una cuenta bancaria que pertenecía a los estafadores. Tras un examen, se descubrió que, aunque la brecha estaba en el proveedor, el correo electrónico falso contenía señales sospechosas que deberían haber llamado la atención del pagador. En casos así, como parte de la gestión de riesgos, las partes pueden llegar a un acuerdo que equilibre la responsabilidad de ambos factores y permita la continuidad de la actividad comercial.

Defensa multicapa: prevenir la próxima estafa

A lo largo de los años de trabajo profesional, resulta que la solución más eficaz combina procedimientos humanos junto con herramientas digitales.

Verificación fuera de banda (Out-of-Band Verification)

Esta es una regla de oro profesional. No se debe aprobar un cambio en los detalles de pago basándose únicamente en una confirmación por correo electrónico. En cualquier caso de cambio de datos de cuenta bancaria, se debe realizar una verificación telefónica con una parte conocida, utilizando números de teléfono verificados que no aparezcan en el propio correo electrónico sospechoso.

Protección tecnológica de los buzones de correo

El uso de la autenticación de dos factores (MFA) es un paso esencial para prevenir brechas. Además, se recomienda implementar protocolos de seguridad avanzados que ayuden a los servidores de correo a identificar mensajes falsos.

Educación de los empleados

Los empleados de los departamentos de finanzas y compras deben recibir capacitación para identificar patrones de fraude y desarrollar una sospecha saludable. Una cultura organizacional que fomente la doble verificación y la formulación de preguntas es una herramienta de defensa significativa.

Acuerdos contractuales

Se recomienda incluir en los contratos con proveedores cláusulas que definan de antemano los canales de comunicación autorizados para cambiar los datos de pago y la distribución de la responsabilidad en caso de un incidente cibernético.

Señales de advertencia (Red Flags)

• Urgencia inusual: presión de tiempo aplicada para evitar una inspección exhaustiva.
• Cambio en los datos bancarios: varias excusas como "auditoría de cuentas" o "problemas técnicos" que requieren el traslado a una nueva cuenta.
• Ligero cambio en la dirección de correo: sufijo diferente o letra faltante en la dirección del remitente.
• Lenguaje y estilo: cambio en el tono de la dirección o errores gramaticales inusuales.
• Solicitud de mantener la confidencialidad: instrucción de no involucrar a factores adicionales en la correspondencia.

¿Qué hacer inmediatamente al descubrir la estafa?

1. Detención inmediata: solicitud urgente al banco remitente para detener la transferencia (Recall).
2. Informar al banco receptor: intento de localizar al banco receptor e informar sobre la sospecha de fraude para congelar los fondos.
3. Denuncia policial: presentación de una denuncia oficial ante la unidad de cibercrimen para documentar el incidente.
4. Documentación y preservación de pruebas: guardar toda la correspondencia y la información técnica adjunta (Headers).
5. Inspección de sistemas: realizar una inspección de seguridad integral en los equipos de la empresa para asegurarse de que no haya acceso activo de un factor hostil.

Aspecto legal final

En casos de suplantación de identidad ante proveedores, el análisis legal a menudo se centra en el examen de la "culpabilidad contractual". Es posible que los tribunales esperen que las empresas demuestren un nivel de precaución acorde con los riesgos digitales conocidos.

Es importante comprender que se pueden examinar opciones para recuperar fondos, y la probabilidad depende de las circunstancias específicas de cada caso. Si se puede demostrar que una parte violó su deber de cuidado, se puede abrir una puerta legal para exigir una compensación o la distribución de los daños.

En este escenario pedagógico, el resultado puede ser complejo. Tras un examen legal de las pruebas, es posible que se demuestre que el banco receptor ignoró las advertencias, lo que podría conducir a un acuerdo de compromiso significativo. A lo largo de los años, el bufete ha encontrado diversos casos que enseñan que en el mundo digital, "confianza y verificación" son una estrategia necesaria para mantener la estabilidad de la empresa.