Cambio de CLABE falso de proveedor: cómo frenar el fraude

Viernes a las 4:40 de la tarde. Llega a Cuentas por Pagar un correo del proveedor de logística o materia prima: su cuenta bancaria habitual está "en auditoría preventiva" y pide liquidar las facturas de la semana en una nueva cuenta CLABE mediante SPEI antes del cierre bancario. El logotipo, la firma y el número de factura coinciden, pero la cuenta destino pertenece a un estafador. Este ataque, conocido como compromiso de correo empresarial (BEC), causa las pérdidas más altas en tesorerías de México. Aquí te mostramos cómo detectarlo y qué regla interna lo frena en seco.

¿Cómo funciona el fraude de cambio de cuenta CLABE?

En los casos documentados en empresas mexicanas —incluyendo intentos por más de $640,000 pesos en una sola transferencia—, el atacante no improvisa: primero estudia cómo se comunican el proveedor y tu empresa:

1. Intercepción o dominio gemelo. El delincuente toma control del correo real de un vendedor del proveedor (porque reutilizó una contraseña filtrada) o registra un dominio casi idéntico cambiando una sola letra: por ejemplo, @proveedor-mx.com o @proveed0r.com.mx en lugar del oficial.
2. El contexto real. Espera a que exista una factura real por vencer o responde sobre un hilo de conversación verdadero para que el encargado de pagos no dude.
3. La carta membretada. Adjunta un PDF con el logotipo del proveedor, una firma escaneada y una "carátula bancaria actualizada" que indica una nueva CLABE de 18 dígitos.
4. La urgencia del viernes. Pide aplicar el SPEI ese mismo día argumentando bloqueo de embarques, corte de mes o auditoría bancaria, y suele agregar una frase clave: "estoy en junta, confírmame por este medio".

¿Cómo se ve el correo que llega a Tesorería?

De: Cobranza Corporativa <[email protected]>Asunto: URGENTE: Actualización de cuenta CLABE para pago de facturas vencidas

Buen día, equipo de Tesorería: Por mantenimiento y auditoría en nuestra cuenta habitual de BBVA, les solicitamos realizar la transferencia SPEI de la factura #F-4812 por $640,451.25 MXN a nuestra cuenta concentradora alterna que adjuntamos en carta membretada. Favor de enviarnos el comprobante CEP antes de las 17:30 hrs para liberar su pedido.

Descargar Carátula Bancaria (PDF)

• Un proveedor con el que trabajas desde hace meses pide cambiar su cuenta CLABE el mismo día en que toca pagar.
• La razón social o el banco receptor de la nueva CLABE no coincide con la empresa que emitió el CFDI.
• Al presionar "Responder", la dirección de destino (Reply-To) cambia ligeramente respecto al dominio habitual del proveedor.
• El remitente evita las llamadas telefónicas ("estoy en vuelo", "mi línea está en cambio de equipo", "confírmame solo por correo o WhatsApp").

El protocolo de 3 pasos que frena el fraude antes del SPEI

En cualquier área de administración, contabilidad o cuentas por pagar, aplica esta regla sin excepciones:

1. Confirmación por llamada a número de expediente (fuera de banda). Marca al teléfono que registraste cuando diste de alta al proveedor en tu catálogo —nunca al número que viene escrito en el correo nuevo ni en el PDF adjunto— y pregunta directamente al contacto conocido si solicitó un cambio de cuenta.
2. Validación cruzada del titular y del CFDI. Antes de autorizar el alta de una nueva CLABE en la banca empresarial, verifica que el titular de la cuenta coincida exactamente con la razón social y el RFC emisor de la factura (CFDI), y realiza primero un depósito de prueba de $1 peso para consultar el nombre real del beneficiario en el CEP de Banxico.
3. Doble firma y ventana de enfriamiento. Establece que ningún cambio en el catálogo maestro de cuentas bancarias de proveedores se active el mismo día en que se solicita, y que requiera la autorización mancomunada de dos personas en el portal del banco.

Si a tu buzón de contabilidad llegó un aviso de cambio de cuenta o un estado de cuenta dudoso, pégalo en dory.mx o reenvíalo a [email protected] para revisar si el dominio fue registrado recientemente o tiene cabeceras alteradas.

¿Qué hago si ya enviamos la transferencia a la cuenta falsa?

1. Llama de inmediato a la banca empresarial de tu banco. Reporta una transferencia SPEI producto de fraude por suplantación de proveedor, proporciona la clave de rastreo y solicita que emitan una alerta interbancaria al banco receptor para intentar la retención preventiva de los recursos.
2. Descarga el CEP en Banxico. Entra a banxico.org.mx/cep con los datos de la operación para obtener el Comprobante Electrónico de Pago con el nombre completo y RFC/CURP del titular de la cuenta destino; ese documento es indispensable para la denuncia penal.
3. Avisa al proveedor real. Si el correo salió desde la cuenta legítima de tu proveedor, es probable que su buzón siga intervenido y que los atacantes estén escribiendo a otros clientes de su cartera.
4. Revisa tus propias reglas de reenvío en Microsoft 365 o Google Workspace. Verifica que en las cuentas de tu equipo de finanzas no existan reglas ocultas que reenvíen o borren correos con las palabras "pago", "CLABE", "factura" o "SPEI".
5. Presenta la denuncia ante la Fiscalía y la Policía Cibernética. Con el CEP de Banxico, los encabezados originales del correo (.eml) y el estado de cuenta, levanta el acta formal para que la autoridad solicite el aseguramiento de la cuenta receptora.

Este engaño suele combinarse con otros dos ataques dirigidos a finanzas: el comprobante SPEI falso en archivo .zip y el fraude del CEO mediante llamada o correo del director.

Fuentes: Banco de México, Consulta de Comprobantes Electrónicos de Pago (CEP), Secretaría de Seguridad y Protección Ciudadana (SSPC) — Alertas de ciberseguridad empresarial.