Una respuesta afirmativa no demuestra quién está al otro lado
Una empresa recibe por correo un cambio de IBAN, antes de modificarlo la persona responsable responde al mismo mensaje: ¿Puedes confirmarme que esta cuenta es correcta?… la contestación llega en pocos minutos y confirma la solicitud. El pago se hace, y días después el proveedor reclama la factura porque nunca recibió el dinero.
El error no fue dejar de preguntar, fue utilizar para la comprobación el mismo canal cuya autenticidad estaba en duda. Si el atacante controla la cuenta de correo, también controla la respuesta, si ha suplantado el número de mensajería, seguirá contestando desde ese número. El segundo mensaje crea una sensación de prudencia, pero no aporta una prueba independiente.
Verificar significa cambiar de canal y recuperar el control de la comunicación, hay que llamar a un número guardado con anterioridad, entrar en la aplicación oficial escribiendo su dirección, hablar en persona o iniciar una conversación nueva desde un contacto conocido. El teléfono, el enlace y los documentos incluidos en el mensaje sospechoso forman parte del mismo escenario y no deben utilizarse como fuente de validación.
Esta regla sirve para mucho más que las transferencias, también protege frente a supuestas urgencias familiares, peticiones de códigos, falsas incidencias bancarias, cambios de dirección de entrega y mensajes de directivos que reclaman confidencialidad y rapidez.
La verificación eficaz puede resultar incómoda durante dos minutos, una transferencia equivocada, una cuenta comprometida o una identidad suplantada pueden ocupar semanas. Esa diferencia convierte una llamada breve en una de las medidas de prevención más rentables que existen.
Recomendación:
Identifica tres solicitudes que nunca aceptarás por un único canal: cambios de cuenta, peticiones de dinero y entrega de claves o códigos. Decide ahora cómo verificarás cada una.
