El fraude del “cambio de cuenta CLABE”: así te lo hacen

Una distribuidora de material eléctrico en Tlalnepantla, 22 personas. Jueves por la tarde, la encargada de pagos recibe un correo de su proveedor de cable de toda la vida. Mismo nombre, misma firma, mismo tono de siempre: “Por auditoría interna cambiamos de banco. Te paso la nueva CLABE para la factura de esta semana”. Adjunta un PDF con membrete. Ella actualiza la cuenta en el sistema y el viernes paga 214 mil pesos.

El lunes el proveedor llama para preguntar por qué no ha llegado el pago. Nunca cambió de banco. Nunca mandó ese correo. Y el dinero ya no está.

Es un caso compuesto de varios que he visto. Cambio nombres y montos, pero la secuencia es la misma. Te la desarmo paso por paso, porque es el fraude que más dinero saca de un negocio chico en una sola operación.

No es un virus: es un correo que se ve normal

Este fraude se llama BEC (Business Email Compromise): compromiso de correo empresarial. No hay archivo malicioso, no hay alerta del antivirus, no hay nada roto. Hay alguien que entró a un correo real y lo usa para pedir algo que parece rutinario.

El FBI lleva la cuenta global: 21,442 denuncias de BEC en 2024, con pérdidas de 2,770 millones de dólares. Acumulado de 2013 a 2023, más de 55 mil millones de dólares en pérdidas expuestas. En México nadie lleva una cuenta así por separado, pero Kaspersky registró que el 28% de las PyMEs latinoamericanas reportó ataques BEC en 2025.

En mi experiencia, la versión mexicana tiene un sabor propio: la CLABE. Como todo pago entre empresas se hace por transferencia a una CLABE de 18 dígitos que nadie memoriza, cambiar un número no levanta sospechas. Nadie dice “esa cuenta no es la de siempre” porque nadie sabe cuál es la de siempre.

Cómo entra el atacante

Hay dos caminos y conviene que distingas cuál te tocó, porque la solución cambia.

Camino uno: entraron al correo de tu proveedor. Alguien de su equipo cayó en un phishing (un correo falso que pide la contraseña) o usaba la misma contraseña de otro servicio filtrado. El atacante lee la bandeja durante semanas, ve con quién se escriben, qué facturas están pendientes y cuándo pagan. Cuando llega una factura grande, manda el “cambio de cuenta” desde el correo real. Tú no puedes detectarlo mirando el remitente, porque el remitente es auténtico.

Camino dos: entraron al tuyo. Entonces el atacante no necesita escribirte: intercepta los correos de tu proveedor, los borra y te manda su versión con otra CLABE. O crea una regla en tu correo para que ciertos mensajes se vayan a una carpeta que nunca ves.

Hay una variante más barata que no requiere entrar a ningún lado: un dominio parecido. En lugar de proveedor.com.mx te escriben desde proveedor-mx.com. Con prisa, nadie lo nota.

Por qué funciona en un negocio chico

Funciona porque el proceso de pago depende de una persona que confía en su bandeja de entrada.

En un corporativo hay un área de tesorería, un catálogo de proveedores con cuentas validadas y una regla de doble firma. En un negocio de 20 personas, la que paga es la misma que factura, cobra y a veces atiende el teléfono. Si el correo se ve bien y el proveedor es conocido, paga. No es descuido: es que nadie le dijo que ese correo podía no ser del proveedor.

Y hay un segundo factor: la urgencia. El atacante siempre mete prisa. “Es para hoy”, “ya se venció”, “el director lo pidió”. La prisa apaga la verificación.

La regla que lo frena (y cuesta cero pesos)

Mi regla es una sola y es inflexible: ningún cambio de cuenta bancaria se acepta por el mismo canal por el que llegó.

Si llegó por correo, se confirma por teléfono al número que ya tenías guardado, no al que viene en el correo. Si llegó por WhatsApp, se confirma por llamada o en persona. Y aplica para todos: proveedores, clientes que piden reembolso, y sí, también para el dueño. Sobre todo para el dueño, porque suplantar al jefe es el camino más corto.

Esa regla se escribe, se le explica a quien paga y se le da permiso explícito de decir “no pago hasta confirmar” aunque el correo diga urgente. Sin ese permiso, la regla no sirve: la persona va a sentir que está estorbando.

Lo segundo que recomiendo: un catálogo de proveedores con su CLABE validada una sola vez, por llamada, y que el sistema de pagos solo permita pagar a cuentas de ese catálogo. Cualquier cuenta nueva pasa por el mismo proceso de validación.

Lo tercero: MFA (verificación en dos pasos) en el correo de todos los que tocan dinero. Si el atacante roba la contraseña pero no tiene el teléfono, no entra. Es el candado más barato que existe y el que más veces encuentro apagado.

Si ya pasó

Llama a tu banco en el momento, no mañana. Las transferencias SPEI son casi inmediatas, pero hay una ventana corta en la que el banco receptor puede retener fondos si recibe un reporte. Después, denuncia ante la fiscalía con los correos originales (con encabezados completos, tu proveedor de correo te dice cómo exportarlos). Y avisa a tu proveedor: si el correo comprometido fue el suyo, otros clientes están en la lista.

Un control adicional que vale la pena mencionar: un Axora Conciliador cruza depósitos, comprobantes y facturas, y marca cuando un pago salió a una cuenta que no coincide con la registrada para ese proveedor. No sustituye la regla de verificación, pero avisa antes de que pasen los días.

Qué puedes hacer esta semana

1. Escribe la regla en una hoja y pégala donde se pagan las cuentas: “Ningún cambio de cuenta se acepta sin confirmar por llamada al número de siempre”. Dásela a quien paga con permiso explícito de frenar.
2. Haz tu catálogo de proveedores con la CLABE que ya validaste. Una hoja de cálculo sirve.
3. Activa la verificación en dos pasos en el correo de todos los que autorizan o ejecutan pagos.
4. Revisa en tu correo si hay reglas de reenvío o filtros que no creaste. Ahí se esconden.
5. Pregúntale a tus tres proveedores principales si tienen MFA en su correo. Su seguridad es tu riesgo.

Cómo ayuda AgileNext

Blindaje Empresarial incluye exactamente estos controles: MFA, contraseñas y accesos controlados; reglas de verificación de pagos documentadas y probadas con tu equipo; y validación independiente con aliados especializados, en un sprint de 45 días alineado a ISO 27001 sin obligarte a certificarte. Es protección que puedes demostrar a clientes y socios, no un documento en un cajón.

Haz el autodiagnóstico de seguridad sin costo y revisa si tu proceso de pagos tiene esta puerta abierta.

Te puede interesar: Prompt injection: el ataque que tu chatbot no sabe que sufrió · Value Stream Mapping: el primer paso antes de automatizar cualquier proceso