Fraude en pagos: controles prácticos para pequeñas empresas

El riesgo puede parecer una solicitud normal

Un proveedor comunica una nueva cuenta bancaria. Alguien que parece ser el dueño pide una transferencia urgente. Un supuesto técnico solicita acceso al sistema de facturación. Ninguna de estas situaciones demuestra por sí sola que exista fraude, pero todas merecen una verificación antes de actuar.

Para una pequeña empresa de servicios, proteger los pagos no depende únicamente del antivirus. También requiere reglas sobre quién solicita, quién verifica y quién autoriza. Cuando esas responsabilidades no están claras, la presión por resolver rápido puede desplazar controles importantes.

La posibilidad de imitar mensajes, voces e identidades con herramientas de IA refuerza una idea práctica: reconocer el nombre, la foto o la voz de alguien no debe ser suficiente para aprobar un movimiento de dinero.

Identifica dónde podría desviarse un pago

Empieza por revisar el recorrido del dinero, no por comprar otra herramienta. Describe cómo recibes facturas, registras proveedores, actualizas datos bancarios y ejecutas transferencias. Incluye reembolsos a clientes y cambios de cuentas para nómina.

En cada paso, pregunta qué evidencia se conserva y qué persona podría detectar una inconsistencia. Busca especialmente estos puntos:

• Cambios de instrucciones bancarias recibidos por correo o mensajería.
• Pagos urgentes que se salen del calendario habitual.
• Solicitudes enviadas desde cuentas personales o canales nuevos.
• Accesos compartidos al banco, correo o sistema contable.
• Operaciones que una sola persona puede crear, modificar y pagar.

El objetivo no es sospechar de todo. Es reconocer las decisiones que requieren una comprobación adicional.

Verifica por un canal independiente

Una solicitud de cambio bancario debe confirmarse utilizando información que ya tengas validada. Llama al contacto habitual con el número registrado en tu sistema o contrato, no con el que aparece en el mensaje que solicita el cambio.

Responder al mismo correo tampoco constituye una verificación independiente: la cuenta podría estar comprometida. Del mismo modo, una factura con logotipo y datos conocidos no demuestra que las instrucciones de pago sean auténticas.

Define una regla sencilla: ningún cambio de cuenta entra en vigor hasta completar y documentar la verificación. Registra quién confirmó, cuándo lo hizo y qué canal utilizó. Evita incluir números bancarios completos en notas o canales de acceso amplio.

Separa tareas sin paralizar la operación

Cuando sea viable, una persona registra o modifica los datos del beneficiario y otra revisa la información antes del pago. Utiliza las funciones de aprobación del banco o de tu plataforma si están disponibles.

En equipos muy pequeños, la separación completa puede no ser posible. En ese caso, establece controles compensatorios: revisión del propietario para beneficiarios nuevos, límites por usuario, alertas de transacciones y conciliación por alguien distinto de quien ejecutó el pago, cuando sea factible.

Define los niveles de autorización según el monto, el tipo de operación y el riesgo. Un pago pequeño a una cuenta recién modificada puede necesitar más revisión que un pago habitual de mayor importe. La urgencia debe activar atención adicional, no eliminar controles.

Protege los accesos que sostienen el proceso

Los controles administrativos pierden fuerza si varias personas comparten una contraseña. Asigna accesos individuales y concede únicamente los permisos necesarios para cada función.

Activa autenticación multifactor en correo, banca y aplicaciones financieras. Cuando el servicio lo permita, considera opciones resistentes al phishing, como llaves de seguridad. Revisa también cómo se recuperan las cuentas y quién recibe las alertas.

Retira accesos al terminar una relación laboral o con un contratista. Evita enviar documentos financieros sensibles por canales no autorizados. Estas medidas complementan la verificación de pagos; no la sustituyen.

Prepara la respuesta antes de necesitarla

Si alguien detecta una solicitud sospechosa, debe saber a quién avisar y tener autorización para detener el pago mientras se revisa. Reportar una duda no debería generar reproches por retrasar la operación.

Si el dinero ya salió, contacta inmediatamente al banco mediante un canal verificado y solicita revisar las opciones de bloqueo o recuperación. No hay garantía de recuperar los fondos. Conserva mensajes, comprobantes y registros; si sospechas acceso indebido, activa también el procedimiento de seguridad de cuentas.

Asigna una persona para coordinar la respuesta. Según el incidente, puede ser necesario involucrar al proveedor tecnológico, la aseguradora, asesoría legal o las autoridades correspondientes.

Empieza con un control que puedas sostener

Esta semana, identifica quién puede modificar beneficiarios y establece la verificación independiente de cambios bancarios. Después, documenta una página con responsables, aprobaciones, excepciones y contactos de emergencia.

Revisa periódicamente si los cambios quedaron verificados, cuántas excepciones se autorizaron y cuánto tarda la revisión. Usa esa información para mejorar el proceso, no para penalizar las alertas.

Personas. Sistemas. Progreso. Si quieres revisar estos controles dentro de tu operación, puedes solicitar una primera consulta gratuita con PROMATEK Consulting o explorar el diagnóstico PROMATEK Maturity Index.