Un procedimiento repetible para detenerse y verificar las facturas inesperadas y los cambios en los datos de pago, con una vía confiable para confirmar por llamada y una persona designada a quien remitir el caso.
- Deténgase
- Verifique
- Registre
1. Suspenda la acción, no todo el negocio
Llega una factura durante una tarde ocupada. Parece conocida, pero le pide usar nuevos datos de pago, abrir un archivo adjunto o llamar a un número para cancelar un cargo inesperado. La primera pregunta útil no es si el logotipo parece convincente, sino si la acción solicitada se ha verificado de manera independiente.
Esto sigue siendo una preocupación práctica de TI empresarial a finales de 2026. La alerta de la FTC de mayo de 2026 sobre facturas para pequeñas empresas describe facturas falsas, incluidos mensajes diseñados para obtener acceso a los datos y las redes de las empresas. Esto es motivo para revisar su procedimiento, no evidencia de que toda factura desconocida sea fraudulenta ni de que los ataques hayan aumentado en una cantidad determinada.
Para esta revisión, suspenda el pago solicitado, el cambio de cuenta, el inicio de sesión o la apertura del archivo adjunto hasta que la persona responsable lo verifique. No use un enlace del mensaje para revisar su cuenta. Acceda por una vía guardada y confiable. La orientación de la FTC sobre phishing recomienda comunicarse con la organización mediante un número de teléfono o sitio web que ya sepa que es auténtico.
2. Verifique por una vía independiente y confiable
Busque el contacto del proveedor en sus registros aprobados existentes, un contrato establecido o un portal de cuenta verificado previamente. No considere un número nuevo en la firma del correo como una confirmación independiente. Si no puede identificar una vía confiable, pida a su contacto habitual de la cuenta o a su gerente que establezca una antes de continuar.
Pida al contacto conocido que confirme la solicitud específica: referencia de la factura, trabajo o pedido correspondiente, importe y si el cambio en los datos de pago fue realmente autorizado. No proporcione contraseñas, códigos de verificación ni acceso remoto como parte de esta revisión. Una confirmación debe aclarar la solicitud, no introducir otra instrucción urgente de una persona que llama sin haber sido verificada.
Si el mensaje menciona a una persona interna encargada de aprobar la solicitud, confirme con ella mediante su canal interno habitual. Evite responder al hilo sospechoso y suponer que eso demuestra quién está del otro lado. La orientación de la FTC sobre ciberseguridad para pequeñas empresas también recomienda usar un número conocido al verificar la solicitud de un proveedor, cliente o colega.
Ejemplo para adaptar: Un proveedor habitual solicita un cambio en los datos bancarios. El coordinador marca la solicitud como "verificación pendiente", llama al proveedor usando el registro existente y anota quién la confirmó y cuándo. La persona designada para aprobar revisa esa evidencia antes de cualquier cambio. Si no se obtiene confirmación, el cambio permanece suspendido.
3. Haga que la revisión sea fácil de seguir
Decida quién puede aprobar un nuevo proveedor o un cambio en los datos de pago y quién lo sustituye cuando esa persona está ausente. Si el personal disponible lo permite, separe la verificación de la aprobación. En un negocio de una sola persona, use la misma regla documentada de confirmación por llamada y deténgase, en lugar de inventar una segunda persona aprobadora que no tiene.
Mantenga un registro breve: referencia de la solicitud, vía de contacto confiable, persona contactada, fecha y hora de confirmación, persona que aprueba y resultado. Registre la verificación sin copiar datos bancarios completos ni información personal innecesaria en un chat general del equipo. Proteja también el directorio de proveedores; una lista editable sin responsable es una base débil para verificar cambios futuros.
Ensaye con una factura ficticia y una solicitud de cambio ficticia. ¿Puede un integrante del equipo encontrar el contacto aprobado y a la persona responsable a quien remitir el caso sin preguntar al remitente? Facilite el reporte de mensajes sospechosos sin culpar a nadie. Este procedimiento complementa los controles técnicos; no sustituye la protección de las cuentas.
Consulte a su administrador de TI sobre opciones de inicio de sesión más sólidas para el correo electrónico y las cuentas administrativas. La ficha informativa de CISA sobre MFA resistente al phishing distingue la autenticación más sólida y resistente al phishing de otras formas de autenticación multifactor. Las opciones disponibles dependen de su servicio y configuración, y la protección del inicio de sesión no valida por sí sola una factura.
4. Si alguien ya actuó, remita el caso de inmediato a la persona responsable
Informe al contacto interno designado lo ocurrido: se abrió un archivo adjunto, se proporcionó una contraseña, se aprobó un inicio de sesión, se cambiaron datos o se envió un pago. Mantenga el mensaje original disponible para quienes atienden el incidente y use su vía de reporte establecida. No pida instrucciones de recuperación al remitente sospechoso.
Si se envió dinero, comuníquese de inmediato con su banco o proveedor de pagos mediante un número verificado de forma independiente y pregunte por su procedimiento ante fraudes. La recuperación no está garantizada. Si las credenciales o un dispositivo pueden estar afectados, involucre de inmediato a su administrador de TI o proveedor de servicios; la recuperación de cuentas y dispositivos depende del sistema afectado. La orientación de la FTC sobre qué hacer después de una estafa indica los siguientes pasos según el método de pago y el tipo de exposición.
La lista de verificación
- La acción solicitada está suspendida hasta que se verifique.
- La vía de contacto proviene de un registro independiente y confiable.
- Se confirmaron la solicitud exacta y su autorización.
- Una persona designada para aprobar y su suplente conocen el resultado.
- Cualquier acción ya realizada se ha comunicado de inmediato a la persona responsable.
Límites de esta revisión
Ningún procedimiento de verificación por llamada detecta todas las estafas. Los registros confiables pueden contener errores, las cuentas pueden verse comprometidas y una factura puede estar en disputa sin tratarse de phishing. Esta guía es un punto de partida operativo, no una cobertura de respuesta a incidentes, una auditoría de seguridad ni una garantía contra pérdidas. La orientación práctica de TI de Mission Desk no implica monitoreo continuo ni un servicio de respuesta 24/7.
Fuentes primarias
Revisado el 3 de noviembre de 2026. El ejemplo de verificación y la lista de verificación son la adaptación práctica de Mission Desk de la orientación enlazada.