Facturas de proveedor con el IBAN cambiado: el fraude del correo

Un compañero del grupo se sorprendía en agosto de 2023 de lo fácil que era suplantar un remitente. Gustavo, de la comunidad, explicó para qué se usa: se hacen pasar por un proveedor y te llega su factura con otro número de cuenta. Pagas creyendo que pagas al proveedor y el dinero va al estafador. Rekire contó el caso de un cliente al que le desviaron así 50.000 € de un pago a un proveedor de China.

Cómo funciona

El atacante consigue que te llegue un correo que parece del proveedor: desde su buzón robado, desde un dominio casi igual (una letra cambiada, otro final) o falsificando el remitente si tu servidor de correo no lo comprueba. El correo es normal: una factura, un aviso de «hemos cambiado de banco», a veces respondiendo a una conversación real. El PDF es el de siempre, con un detalle cambiado: el IBAN.

En el caso de Rekire, el banco dijo que la transferencia no se podía cancelar. Después de más de un mes, y casi de milagro, el dinero volvió a la cuenta. No cuentes con que vuelva.

Antes de pagar

• Un cambio de cuenta se confirma por teléfono, llamando al número que ya tenías del proveedor, nunca al que viene en el correo.
• Mira la dirección completa del remitente, no solo el nombre que se muestra.
• Desconfía de las prisas: «pago urgente», «nos han bloqueado la cuenta anterior».
• En pagos grandes, que dos personas revisen la transferencia antes de enviarla.
• Si ya has pagado, llama a tu banco en el momento: cuanto antes pidas la retrocesión, más posibilidades hay. Y denuncia.

Que tu servidor de correo no se trague suplantaciones

Un miembro del grupo insistía en que buena parte del problema está en el servidor que recibe: si no es estricto, deja pasar correos que no cumplen la política de envío del dominio. Contó también que había visto pasar suplantaciones incluso en grandes proveedores de correo. Revisa con tu proveedor de correo que rechaza o manda a spam lo que no supera las comprobaciones de SPF, DKIM y DMARC.

Que no te suplanten a ti ante tus clientes

La otra cara: tu tienda envía facturas y confirmaciones de pedido. Si tu dominio no está protegido, alguien puede mandar a tus clientes una «factura» o un «enlace de pago» que parezca tuyo. Para evitarlo, el dominio debe tener tres registros en las DNS:

• SPF: qué servidores pueden enviar correo con tu dominio. El contenido te lo da tu proveedor de correo.
• DKIM: la firma de tus correos. Se activa en el panel del proveedor de correo y se publica una clave en las DNS.
• DMARC: qué hacer con los correos que fallan las dos comprobaciones anteriores.

Un registro DMARC para empezar, que no bloquea nada todavía pero te envía informes de quién manda correo con tu dominio:

_dmarc.tudominio.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@tudominio.com"

Revisa los informes unas semanas para comprobar que tus envíos legítimos (la tienda, el correo de la oficina, la herramienta de boletines) pasan bien, y después endurece la política a p=quarantine (a spam) o p=reject (rechazo). Si empiezas directamente en cuarentena, puedes mandar a spam tus propias facturas.

Y en la tienda

Si un cliente te pregunta por un cambio de cuenta o por un pago que no reconoce, respóndele por un canal que ya conozca. Y no cambies nunca por correo los datos bancarios que figuran en tus textos legales o en tus facturas.

¿Dudas con la configuración del correo de tu tienda? En Rekire lo revisamos dentro de nuestros bonos de horas.

Esto salió en @PrestashopEsp, la mayor comunidad PrestaShop de España en Telegram. Ver la conversación