Qué hacer en la primera hora si detecta una transferencia fraudulenta
Cuando el área de finanzas advierte que ejecutó una transferencia a partir de instrucciones que resultaron falsas, la reacción inmediata suele concentrarse en un solo objetivo: detener el dinero. Es el objetivo correcto, pero no es el único. En paralelo, alguien debe empezar a conservar la evidencia digital del fraude, porque esa evidencia se degrada rápido y casi nunca se puede reconstruir después.
Notificar a la entidad financiera correspondiente para intentar bloquear o revertir la operación es una gestión que corre contra el reloj y no admite demora, pero avisar al equipo legal no debería esperar a que esa gestión termine. Ambas vías se activan en paralelo, no en secuencia.
Por qué el fraude BEC es un problema de proceso, no solo informático
El fraude del CEO -conocido técnicamente como Business Email Compromise o BEC- rara vez involucra un sistema forzado o un virus. En la mayoría de los casos el atacante no entra a ningún servidor: suplanta a una autoridad interna o a un proveedor habitual mediante un correo que imita el estilo, el dominio o el hilo de conversación real, y logra que alguien con atribuciones para pagar autorice una transferencia fuera de los controles habituales.
Por eso la respuesta no puede limitarse a revisar el correo. Hay que reconstruir cómo una instrucción falsa logró sortear los controles internos de la empresa -aprobaciones, doble verificación, límites de monto- porque ese punto ciego suele ser, para la investigación, tan relevante como el correo mismo.
Qué conserva valor probatorio y hay que resguardar de inmediato
Un fraude BEC deja rastro, pero ese rastro se pierde con facilidad si nadie lo resguarda a tiempo. Antes de que el equipo técnico depure bandejas, rote credenciales o dé el incidente por cerrado, conviene asegurar lo siguiente:
- Los encabezados completos (headers) del correo suplantado, no solo una captura de pantalla del mensaje.
- Los registros de acceso a las cuentas de correo involucradas, con fecha, hora y dirección de origen.
- El registro interno de la operación: quién la autorizó, con qué respaldo y bajo qué instrucción.
- La cadena de correos completa, incluidas versiones que pudieran haberse editado o reenviado.
- Cualquier comunicación posterior del presunto proveedor o ejecutivo suplantado, incluso si niega haberla enviado.
La coordinación con la entidad financiera corre contra el reloj
Las horas posteriores a una transferencia fraudulenta son las que más pesan. Mientras exista la posibilidad de que los fondos no se hayan movido a un tercer destino, coordinar con la institución financiera para solicitar el bloqueo o la reversión de la operación es la gestión más urgente, y conviene documentarla con la misma disciplina que el resto del incidente.
Esa gestión, sin embargo, tiene un resultado incierto: depende de cuánto tiempo pasó, de si los fondos siguen en la cuenta de destino y de la jurisdicción involucrada. La obligación de la empresa y de su asesoría es de medios -actuar rápido y bien- y no de resultado. Nadie puede prometer que el dinero se recupere.
Cuándo y cómo formalizar la denuncia
El fraude informático está tipificado en la Ley N° 21.459, que junto con el acceso ilícito y el ataque a la integridad de sistemas, cubre la manipulación que hace posible este tipo de esquema. Poner los hechos en conocimiento del Ministerio Público o de la Policía de Investigaciones no compite con la gestión bancaria: puede, y en la práctica conviene, avanzar en paralelo.
Presentar la denuncia con la evidencia ya ordenada, en lugar de reunirla sobre la marcha frente al fiscal, suele marcar la diferencia entre una investigación que avanza con rapidez y una que empieza perdiendo tiempo en reconstruir lo que la empresa ya tenía.
Ninguna de estas medidas asegura que se recuperen los fondos ni anticipa el resultado de una eventual investigación: eso depende de cada caso. Lo que sí está en manos de la empresa es no perder, en las primeras horas, la evidencia que después hace posible perseguir el hecho.
Preguntas frecuentes
¿El fraude del CEO es distinto de un ciberataque tradicional?+
Sí, y esa distinción es clave para la respuesta. En un ciberataque tradicional el atacante suele vulnerar un sistema o instalar software malicioso. En un fraude BEC, en cambio, generalmente no hay intrusión técnica: el atacante suplanta a una persona de confianza -un gerente, un proveedor habitual- mediante ingeniería social, y logra que un humano autorice el pago dentro de los propios canales legítimos de la empresa. Por eso la investigación se centra tanto en los controles internos como en el correo.
¿Sirve de algo denunciar si los fondos ya salieron del país?+
Puede seguir siendo relevante, aunque el resultado sea incierto. La denuncia o la querella permiten que el Ministerio Público active herramientas de cooperación con otras jurisdicciones y que la empresa acredite formalmente los hechos, lo que además suele ser un requisito frente a aseguradoras o auditores. Que el dinero haya cruzado una frontera complica la recuperación, pero no vuelve inútil la investigación.
¿Quién dentro de la empresa debe activar el protocolo, y cuándo?+
Lo ideal es que el protocolo se active apenas alguien -finanzas, TI o la propia gerencia- detecta que una instrucción de pago pudo ser falsa, sin esperar a confirmar el monto exacto de la pérdida. Cuanto antes se coordinen el área técnica, finanzas y el equipo legal, más evidencia se conserva intacta. Definir de antemano quién lidera esa coordinación evita que las primeras horas se pierdan decidiendo quién decide.
¿Tener seguro cibernético cambia lo que hay que hacer primero?+
No cambia la urgencia de preservar la evidencia y coordinar con la entidad financiera, aunque sí puede exigir pasos adicionales, como notificar el siniestro dentro de un plazo determinado por la póliza. Revisar las condiciones del seguro es parte de la respuesta, pero no debería retrasar las gestiones inmediatas: notificar al asegurador y preservar la evidencia pueden avanzar al mismo tiempo.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.