Capítulo 76: Confirmación doble y documentación: Las reglas que salvan dinero

A lo largo de mis muchos años de trabajo legal, he conocido casos de empresarios en sus momentos más difíciles. He visto a directores generales de empresas de alta tecnología enfrentarse a situaciones donde sumas considerables de dinero desaparecieron por presionar un solo botón, y a pequeños artesanos que sintieron que toda la obra de su vida estaba en riesgo debido a un correo electrónico que llegó en el momento equivocado. Si hay una lección que se repite como un hilo conductor en muchos casos, es que en el rápido mundo digital en el que vivimos, la "eficiencia" se ha convertido a veces en la enemiga de la seguridad financiera.

Muchos empleados son instruidos para ser rápidos, responder correos electrónicos en minutos, cerrar temas pendientes y pagar a los proveedores para que el trabajo no se detenga. Pero es precisamente en esta carrera, en la santificación del "rápido y ahora", donde a veces se encuentra la brecha que los estafadores buscan. No siempre buscan una brecha en el software antivirus; buscan el momento en que el departamento de contabilidad prefiera un atajo sobre un procedimiento establecido. Este capítulo trata sobre los frenos de ese tren: sobre la confirmación doble y la documentación; las reglas simples que son la línea divisoria entre el negocio y un grave daño económico.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

El caso de la empresa "Techno-Glob": Cuando el silencio es la mayor señal de advertencia

Era una mañana de martes rutinaria en las oficinas de "Techno-Glob", una empresa familiar dedicada a la importación de componentes electrónicos. Michal, la contable veterana de la empresa durante muchos años, era considerada el pilar de la organización. Conocía a muchos proveedores, fechas de vencimiento y detalles de cuentas bancarias. El director general, Rami, solía decir que Michal era la memoria organizacional de la empresa.

A las 10:30, mientras Michal trabajaba en sus tareas habituales, llegó a su bandeja de entrada un correo electrónico del proveedor principal de la empresa, la compañía "Evergreen Components". El correo parecía completamente normal: el logotipo conocido, la línea de asunto con el número del último pedido, e incluso el estilo de redacción educado de Chang, su contacto habitual.

"Estimada Michal", se leía en el correo, "siguiendo el último pedido suministrado esta semana, le informo que, debido a una auditoría contable anual, hemos cambiado la cuenta bancaria destinada a recibir pagos en dólares. Por favor, actualice en su sistema los nuevos detalles (documento oficial adjunto firmado) para el próximo pago de 380.000 dólares. Gracias por su cooperación, Chang".

Michal echó un vistazo al documento adjunto. Parecía oficial, con el sello del banco y una copia de la autorización de gestión de la cuenta. Accedió al sistema ERP de la empresa, actualizó los detalles del beneficiario y envió la transferencia para la aprobación de Rami. Rami vio la notificación en su teléfono. "¿Esto es para Evergreen?", se preguntó a sí mismo. "Sí, el importe coincide con el pedido que recibimos ayer". Aprobó la transferencia en la aplicación bancaria.

Pasaron diez días en silencio. En el undécimo día, el teléfono en la mesa de Michal sonó. Era el verdadero Chang. "Michal, ¿está todo bien? No hemos recibido el pago del gran pedido y necesitamos liberar el próximo envío".

El color se desvaneció del rostro de Michal. "Pero envié el dinero la semana pasada, a la nueva cuenta en Singapur, como pediste en el correo".

"¿Qué nueva cuenta en Singapur?", preguntó Chang con voz temblorosa. "Nunca envié tal correo. Llevamos años trabajando con el mismo banco".

En ese momento, se hizo evidente la magnitud del error. Una verificación rápida reveló que el correo que recibió Michal fue enviado desde una dirección casi idéntica a la original, excepto por una pequeña letra intercambiada: en lugar de chang@evergreen-comp.com, el correo llegó desde chang@evergreen-conp.com. La 'm' se convirtió en 'n'. Una brecha de un milímetro en la pantalla que le costó a la empresa una suma enorme.

En este escenario, el ambiente en la empresa fue difícil. Michal sintió un duro golpe a la confianza, y Rami entendió que la empresa estaba en peligro debido a que el flujo de caja se vio afectado. Ante la pregunta profesional "¿cómo pasó esto?", la respuesta suele ser simple: la tecnología fue utilizada para el mal, y el factor humano omitió el paso de verificar que la realidad de los datos digitales coincida con la realidad humana.

El muro infranqueable: ¿Qué es la confirmación doble (Out-of-Band Verification)?

En el mundo de la seguridad de la información, el término "confirmación doble" o "confirmación fuera de banda" (Out-of-Band - OOB) es considerado una herramienta crítica. La idea detrás de esto es simple: no se debe confiar en un solo canal de comunicación para realizar operaciones que tengan un riesgo financiero o operativo significativo.

Si se recibió una instrucción para cambiar detalles bancarios por correo electrónico, el correo es el primer canal de comunicación. Para verificar esta instrucción, se puede considerar el uso de otro canal de comunicación, uno que no haya sido afectado por la misma posible brecha que produjo el correo fraudulento. Este canal puede ser una llamada telefónica al número conocido del contacto, o una reunión presencial.

¿Por qué es esto crítico? Porque en el fraude tipo BEC (Business Email Compromise), los estafadores pueden obtener acceso al buzón de correo del proveedor o del empleado. En tal caso, un diálogo dentro del mismo canal (el correo electrónico) podría llevarse a cabo con el agente hostil. Solo un contacto fuera del espacio digital contaminado —al mundo físico de las llamadas de voz— puede ayudar a revelar la estafa.

Los tres pilares posibles de la confirmación doble:

1. Separación de canales: Si la información llegó por correo, se recomienda que la confirmación se realice por teléfono. Si la información llegó por WhatsApp, es recomendable que la confirmación sea mediante una llamada de voz o video.
2. Verificación de la identidad del que confirma: En la llamada telefónica, se recomienda no llamar al número que aparece en la firma del correo recibido en ese momento. Se puede utilizar el número que aparece en los contactos habituales, en el sitio web oficial de la empresa, o en el contrato original.
3. Documentación del procedimiento de verificación: Se recomienda documentar quién realizó la verificación, ante quién, a qué hora, y qué se dijo en la llamada. Esta documentación puede servir como prueba significativa en caso de una investigación futura.

El aspecto legal: El deber de cuidado y la responsabilidad de la empresa

En los casos legales que tratan este tema, la pregunta central puede ser quién actuó con negligencia permitiendo que ocurriera el daño. Aquí se examina la relación entre la empresa, el banco y el tercero.

En el Estado de Israel, la Ley de Servicios de Pago, 2019, regula parte de la responsabilidad en caso de operaciones de pago no autorizadas. Sin embargo, cuando se trata de una empresa que aprobó ella misma la transferencia (incluso si es sobre la base de una falsa representación), la situación legal requiere una revisión profunda. Un análisis legal general sugiere que los tribunales tienden a examinar el "deber de cuidado" del pagador.

Cuando una empresa recibe una notificación sobre un cambio de cuenta bancaria de un proveedor, puede surgir el deber de examinar la información. Si la empresa cambia los datos del beneficiario y transfiere una suma significativa sin realizar una acción de verificación, se le puede alegar una "negligencia contributiva".

Por otro lado, también se puede examinar el deber de cuidado impuesto al banco. Existe la posibilidad legal de argumentar que los bancos no son solo una "tubería" para transferir dinero. Si se trata de una operación muy inusual, podría surgir la expectativa de que el banco realice una verificación adicional. Sin embargo, las posibilidades de éxito de este argumento dependen de las circunstancias y los acuerdos con el banco, que a veces incluyen cláusulas de exención de responsabilidad cuando la operación se realizó según las instrucciones del cliente.

La documentación mencionada anteriormente es de gran importancia. En el análisis de las opciones legales, una empresa que demostró haber realizado un procedimiento de verificación razonable podría mejorar su posición al argumentar que no fue negligente y que la responsabilidad debería dividirse entre otros factores.

Construcción del protocolo de "confirmación doble" en la organización: La guía práctica

A lo largo de los años de trabajo profesional, surgió la necesidad de implementar un "procedimiento de cambio de beneficiarios" como parte de la cultura organizacional. Esta es una herramienta de gestión que define las acciones necesarias ante cualquier cambio de detalles de pago.

Etapa 1: Verificación inicial

En el momento en que llega un correo electrónico que solicita un cambio de detalles bancarios, una solicitud de pago inusual o la actualización de los detalles de contacto, se recomienda pausar la operación hasta completar una verificación completa.

Etapa 2: Establecimiento de contacto físico

Se puede instruir al contable para establecer contacto telefónico con el contacto conocido en el proveedor y realizar una verificación explícita de los nuevos detalles y el nombre exacto del beneficiario.

Etapa 3: Verificación cruzada

Durante la llamada, se pueden hacer preguntas que solo la otra parte debería conocer, para asegurarse de que no se trata de una suplantación en la línea telefónica.

Etapa 4: Supervisión y control

Se puede establecer que la actualización de los detalles de la cuenta en el sistema sea realizada por una persona y que la aprobación de la actualización sea realizada por otra parte, indicando el hecho de que se realizó una verificación telefónica documentada.

Etapa 5: Transferencia de prueba

En casos de transacciones por sumas altas, se puede considerar realizar una transferencia de una suma pequeña y recibir la confirmación del proveedor de que el dinero llegó a su destino, y solo después transferir el saldo restante.

Importancia de la documentación: El significado probatorio

Desde un punto de vista profesional, una acción que no ha sido documentada puede ser difícil de probar en el futuro. Una documentación ordenada puede servir como una herramienta de defensa ante las compañías de seguros o alegaciones de negligencia.

Componentes posibles para la documentación:

• Documentación de la solicitud original: Guardar el correo electrónico que solicita el cambio.
• Registro de llamadas: Documentación de la comunicación al número oficial del proveedor.
• Minuta interna: Resumen corto del contenido de la llamada de verificación y la identidad del confirmante por parte del proveedor.
• Confirmación doble en el sistema: Prueba del control interno sobre el cambio de beneficiario.

Esta documentación puede ayudar a demostrar que la empresa actuó como un "empresario razonable y sensato", reduciendo así la exposición legal.

Señales de advertencia (Red Flags) que requieren confirmación doble

Existen casos en los que el riesgo de fraude puede ser más alto. En estas situaciones se recomienda actuar con extrema precaución:

1. Cambio repentino en los detalles de la cuenta bancaria.
2. Presión de tiempo y solicitudes urgentes de manera inusual.
3. Solicitud de mantener la confidencialidad de la operación.
4. Cambios leves en la dirección de correo electrónico o en la dirección del sitio web desde el que se envió el mensaje.
5. Solicitud de transferencia de fondos a un país diferente del lugar donde reside el proveedor.

Opciones de acción en caso de sospecha de transferencia fraudulenta

Si surge la sospecha de que se enviaron fondos a una cuenta incorrecta, existen acciones que se pueden considerar con urgencia:

1. Contacto con el banco emisor: Evaluar la posibilidad de cancelar o detener la transferencia.
2. Contacto con el banco receptor: Denunciar la sospecha de fraude con el fin de intentar congelar los fondos.
3. Denuncia ante las autoridades: Presentar una denuncia y obtener la confirmación adecuada para continuar con los procedimientos.
4. Asesoramiento legal: Evaluar opciones para obtener órdenes legales de embargo o congelación de fondos.
5. Verificación de cobertura de seguro: Evaluar pólizas relevantes para fraudes cibernéticos o financieros.

Resumen: La seguridad reside en la responsabilidad humana

Los sistemas de defensa tecnológica son importantes, pero en muchos casos la defensa más significativa de una empresa es su cultura organizacional y sus procedimientos de trabajo.

En un escenario posible, el final de un caso de fraude puede ser complejo. No siempre es posible recuperar todos los fondos, pero a través de un análisis legal se pueden evaluar opciones para una recuperación parcial o acuerdos de conciliación en casos donde se haya demostrado la responsabilidad de otros factores. La lección importante es que herramientas simples como una confirmación telefónica y una documentación ordenada pueden evitar daños graves.

La posibilidad de protección de los fondos de la empresa depende de las circunstancias y del cumplimiento de los procedimientos de precaución. La confirmación doble y la documentación son herramientas significativas en la protección de la estabilidad financiera de la empresa.

Aspecto legal – puntos adicionales:

Es importante recordar que en una revisión legal, se puede examinar el grado de implementación de controles internos en la empresa. En un análisis general de las opciones legales, "cerrar los ojos" ante señales de advertencia podría afectar la capacidad de recibir una indemnización por parte de terceros. La responsabilidad de actuar con precaución razonable recae sobre la empresa. Por lo tanto, se puede evaluar el mantenimiento de la documentación de las acciones de verificación como una necesidad legal que fundamenta las demandas de la empresa en caso de daño.