Índice de contenidos
Ante los fraudes bancarios a empresas es fundamental tomar medidas de prevención, actuar con celeridad si ocurren y reclamar a los bancos si no existe negligencia grave
Hace unas semanas, el contable de una multinacional recibió una videollamada del CEO de la empresa ordenándole que realizase una transferencia de 100.000€ en una cuenta bancaria de Vigo. ¿Cuál fue el problema? La videollamada en cuestión fue un deepfake. Un delincuente usó IA generativa para suplantar la identidad del CEO replicando su imagen y su voz.
Este caso nos demuestra que los fraudes bancarios a empresas no solo van en aumento, sino que son cada vez más sofisticados, gracias al uso de la IA y a la altísima motivación que muestran los ciberdelincuentes.
De hecho, la Policía Nacional ha alertado sobre el aumento de los fraudes bancarios a empresas y, en especial, a pequeños y medianos negocios, que no cuentan a menudo con estrategias de ciberseguridad y cuyos trabajadores tienen escasa formación sobre ingeniería social y ciberestafas.
¿Qué se puede hacer para evitar fraudes bancarios a empresas? ¿De qué manera hay que actuar si se producen? En caso de perder dinero ¿qué pueden hacer las empresas? ¿Es posible que las entidades financieras estén obligados a asumir la responsabilidad de los fraudes bancarios a empresas y reintegrarles el dinero sustraído? A continuación, buscamos respuestas a estas preguntas.
Por qué los delincuentes tienen a las empresas en su punto de mira
Desde hace años, los ciberdelincuentes han ido perfeccionando técnicas de ingeniería social como el fraude del CEO o Bussines Email Compromise con el fin de:
- Robar directamente a las empresas logrando que sus profesionales autoricen o realicen pagos ilegítimos.
- Conseguir sustraer credenciales de acceso a las cuentas online corporativas y llevar a cabo pagos desde las mismas.
- Engañar a los profesionales para que modifiquen los datos de facturación de proveedores y trabajadores, de tal forma que las facturas y los sueldos no se abonen en las cuentas de los socios y profesionales legítimos, sino en las de los delincuentes.
¿Por qué los negocios son víctimas idóneas para los delincuentes?
- Manejan sumas de dinero notablemente superiores que las cuantías que gestionan los ciudadanos comunes y corrientes, por lo que los pagos fraudulentos también pueden tener importes más elevados.
- Las empresas gestionan diariamente un gran número de pagos. De tal forma que es más plausible que las operaciones fraudulentas pasen inadvertidas durante más tiempo y que, por lo tanto, resulte imposible revertirlas y recuperar el dinero. En cambio, los ciudadanos pueden detectar con mayor rapidez que en sus cuentas se han producido pagos anómalos que no han autorizado.
A ello debemos sumar otro factor clave que entra en juego en los fraudes bancarios a empresas: la autoridad que ejerce la persona suplantada, generalmente un directivo de la empresa como el CEO, el director financiero, etc.
Si un profesional recibe la orden directa de un superior jerárquico de que lleve a cabo una transferencia bancaria, las posibilidades de que cuestione la decisión o se niegue a llevarla a cabo son minúsculas. Si a esto le sumamos un factor clave de cualquier ataque de ingeniería social como es la sensación de urgencia que crean los delincuente, la capacidad de engañar a los empleados y conseguir llevar a cabo fraudes bancarios a empresas aumenta.
Formación y buenas prácticas, los dos pilares clave para evitar los fraudes bancarios a empresas
¿Cómo se pueden prevenir los fraudes bancarios a empresas? Los expertos en ciberseguridad recomiendan encarecidamente llevar a cabo actividades formativas e implementar mecanismos internos que permitan detectar fraudes antes de que se realicen pagos indebidos.
En lo que respecta a la formación, puede ser de gran ayuda llevar a cabo un test de ingeniería social en un negocio. Mediante esta clase de prueba, expertos en ciberseguridad se comportan como lo harían los delincuentes reales y simulan fraudes bancarios a empresas para constatar la capacidad de estas de resistir a las técnicas de los malos. Este test, además, sirve para formar a los profesionales y concienciarlos ante una amenaza cada vez más inquietante.
Además, es posible recurrir a cursos de formación tradicionales y es recomendable renovar continuamente la formación que reciben los trabajadores, puesto que las técnicas y tácticas maliciosas no dejan de evolucionar y volverse cada vez más indetectables.
¿Qué más se puede hacer en el terreno de la prevención de los fraudes bancarios a empresas? Los negocios deben contar con mecanismos de seguridad más robustos:
- Implementar la autenticación multifactor para acceder a sus cuentas bancarias y software corporativo, especialmente a los programas de facturación desde los que se pueden enviar remesas de pagos al banco.
- Establecer que, para que se pueda realizar un pago a partir de una determinada cantidad, deban dar su visto bueno por lo menos dos profesionales.
- Instaurar el hábito de confirmar telefónicamente la realización de transferencias y pagos, a través de una llamada realizada al directivo que ordenó la operación.
- Contar con un manual de buenas prácticas que permita evitar errores clásicos en materia de ciberseguridad como descargar y abrir documentos infectados con malware, hacer clic en un enlace y acabar en una página de login falsa de la entidad bancaria, etc.
Qué hacer cuando se detectan fraudes bancarios a empresas
Por desgracia, en algunos casos las labores de prevención frente a los fraudes bancarios a empresas no son suficientes. ¿Qué se puede hacer si se detectan operaciones fraudulentas? Es imprescindible actuar con la máxima diligencia y ponerse en contacto de manera inmediata con el banco para que bloque los medios de pago afectados (cuentas online, tarjetas de crédito, etc.) e intente revertir las operaciones realizadas.
¿Por qué es importante actuar con rapidez? En primer lugar, porque quizás el banco pueda anular las pagos fraudulentos y, por lo tanto, la empresa se ahorre una crisis no solo económica, sino también reputacional. En segundo lugar, porque la forma de proceder de la empresa estafada puede jugar un papel crítico a la hora de recuperar el dinero de una estafa online. Así lo ha dictado el Tribunal Supremo en una reciente sentencia en la que determina cómo debe actuar el estafado y cuál es la responsabilidad de la entidad bancaria en los fraudes.
¿Cuáles son las obligaciones de las personas o empresas que han sido víctimas de ciberestafas?
- Deben proteger de forma razonable sus credenciales de seguridad. Por ejemplo, no se las deben facilitar a sabiendas a terceros.
- Tienen que notificar inmediatamente a las entidades financieras de que se ha hecho un uso fraudulento de uno de sus medios de pago.
- Han de comunicar las operaciones de pago fraudulentas a los bancos para que las puedan rectificar y, así, reintegrar el importe de las mismas.
La responsabilidad cuasi objetiva de los bancos: Es posible reclamar los fraudes bancarios a empresas
¿Qué sucede si los bancos no pueden revertir los pagos fraudulentos? ¿La empresa tiene que asumir las pérdidas sufridas de manera irremediable? No. Como apuntamos antes, el Tribunal Supremo ha emitido una sentencia en la que se apunta hacia la responsabilidad cuasi objetiva de los bancos en lo relativo a los fraudes bancarios a empresas y ciudadanos.
Así, si los estafados llevan a cabo las tres actuaciones que venimos de detallar, tienen derecho a reclamar un fraude bancario y conseguir recuperar el dinero robado. De hecho, para que las entidades financieras no se vean obligadas a asumir su responsabilidad deben probar que:
- Las operaciones fueron autorizadas correctamente y que no fueron el resultado de una deficiencia del servicio que prestan.
- Los estafados llevaron a cabo actuaciones gravemente negligentes que posibilitaron las estafas.
De esta forma, el Tribunal Supremo pone el foco en los bancos y les conmina a que incrementen sus medidas de seguridad para no incurrir en una deficiencia del servicio. ¿De qué medidas estamos hablando?
- Mecanismos que permitan detectar automáticamente operaciones que puedan ser anómalas con respecto a las prácticas habituales de las empresas y que lancen alertas o procedan a bloquear las operaciones sospechosas.
- Medidas dirigidas a aumentar el control y la vigilancia en aquellos casos en que se tiene constancia de que ha aumentado el riesgo a sufrir fraudes.
Asimismo, el TS también establece que la carga de prueba en lo relativo a la negligencia grave recae en los bancos. Las entidades financieras deben demostrar que la empresa o sus profesionales incurrieron en un comportamiento a todas luces negligente y que el fraude se llevó a cabo no por una deficiencia de sus mecanismos de seguridad, sino por la actuación del negocio o de alguno de sus trabajadores o directivos.
Es decir, si no se ha podido evitar un estafa ni revertir sus consecuencias, las empresas, además de presentar la pertinente denuncia policial, pueden reclamar al banco por un fraude online para que asuma su responsabilidad y, así, recuperar el dinero que les ha sido sustraído de manera ilegítima.
