Cómo evitar el fraude de facturas generado con IA

El fraude de facturas ya no depende de un correo mal redactado

El fraude de facturas suele empezar con una petición aparentemente normal: un proveedor solicita actualizar su cuenta bancaria, un directivo pide pagar una factura con urgencia o un correo reenviado introduce un nuevo número de cuenta. La diferencia es que los atacantes pueden combinar ahora más elementos creíbles y personalizar sus mensajes a gran escala.

El patrón descrito por Microsoft incluye la suplantación de un ejecutivo, la mención de un proveedor conocido, una factura falsa, hilos de correo fabricados, dominios parecidos y solicitudes de transferencias ACH. ACH es un sistema de transferencias bancarias utilizado habitualmente en Estados Unidos. La presión temporal y la petición de mantener la operación en secreto reducen la probabilidad de que alguien contraste la información.

Para una pyme, el objetivo no debe ser identificar con certeza si un texto ha sido generado por IA. Lo importante es que ningún correo, por convincente que parezca, pueda cambiar por sí solo los datos bancarios o liberar un pago.

Qué demuestra el caso analizado por Microsoft

Microsoft informó en septiembre de 2026 sobre una campaña que envió más de un millón de correos entre el 3 y el 5 de agosto de ese año. Según la empresa, el 87,7% de los mensajes se dirigió a usuarios empresariales de Estados Unidos y las solicitudes buscaban transferencias ACH cercanas a 50.000 dólares.

La campaña imitó a ServiceNow. Microsoft aclaró que las facturas no fueron emitidas por ServiceNow y que no encontró pruebas de que las organizaciones legítimas mencionadas hubieran sido comprometidas. El ataque aprovechaba la familiaridad con marcas y proveedores reconocidos para dar apariencia de normalidad a una petición falsa.

La empresa observó plantillas uniformes, narrativas similares, personalización a escala y código HTML muy descriptivo. Según Microsoft, estos patrones son compatibles con asistencia de IA para crear plantillas y personalizar mensajes, pero no demuestran cuánto contenido fue generado por IA. También podrían explicarse por automatización convencional, plantillas HTML o una combinación de técnicas.

La conclusión práctica para una pyme es clara: aunque el mensaje parezca escrito por una persona y contenga información correcta, la operación debe verificarse con controles independientes.

Por qué el remitente legítimo y la autenticación no bastan

SPF, DKIM y DMARC son controles útiles para validar determinados aspectos técnicos del correo: por ejemplo, si el mensaje procede de servidores autorizados o si mantiene una firma válida. También conviene activar la autenticación multifactor, especialmente en cuentas con acceso a facturación y pagos.

Sin embargo, estas medidas no responden a la pregunta principal: ¿la persona está autorizada para solicitar este pago y los datos bancarios son correctos? Una cuenta legítima comprometida puede enviar instrucciones fraudulentas y superar SPF, DKIM y DMARC. Por tanto, un correo autenticado no equivale a una orden de pago legítima.

El mismo principio se aplica cuando el mensaje parece proceder del director general o del proveedor habitual. La identidad visible del remitente es solo una señal; la aprobación debe apoyarse en contratos, pedidos, facturas anteriores y una confirmación por un canal independiente.

El control principal: doble aprobación con separación de funciones

La doble aprobación debe aplicarse, como mínimo, a los pagos de importe elevado, nuevos proveedores, transferencias internacionales, solicitudes urgentes y cualquier modificación de una cuenta bancaria. Una persona prepara la operación y otra la revisa y aprueba desde el sistema bancario o contable.

Pero la doble aprobación no funciona si las dos personas miran el mismo hilo comprometido y aceptan la misma evidencia manipulada. El segundo aprobador debe revisar información independiente, no limitarse a confirmar que el primer compañero ha cumplimentado el formulario.

Cómo organizarla en una pyme

• Separar a quien registra la factura de quien autoriza el pago.
• Definir un umbral de importe a partir del cual sean obligatorias dos aprobaciones.
• Exigir dos aprobaciones para cualquier cambio de cuenta, aunque el importe sea pequeño.
• Registrar la identidad de cada aprobador, la fecha, el canal utilizado y las evidencias revisadas.
• Bloquear o retener temporalmente los pagos asociados a cambios bancarios de alto riesgo.

Si la empresa tiene un equipo reducido, la segunda aprobación puede corresponder a la dirección o a una persona de confianza externa al circuito habitual de facturación. Lo importante es que no sea una confirmación automática ni dependa del mismo correo sospechoso.

Procedimiento para verificar un cambio bancario

Un cambio de cuenta bancaria debe tratarse como una operación de riesgo, incluso cuando lo solicite un proveedor conocido. El FBI recomienda verificar los cambios de datos de pago mediante un segundo canal y utilizar procesos de verificación en dos pasos.

1. Detener la modificación

No actualice la ficha del proveedor ni programe el pago basándose únicamente en el correo recibido. Si el mensaje pide rapidez, secreto o una excepción al procedimiento habitual, eleve el nivel de revisión.

2. Comparar con los datos históricos

Revise contratos, pedidos, facturas previamente validadas y registros del proveedor. Busque diferencias en el nombre legal, el país, el banco, el titular de la cuenta, el importe y el concepto. Una factura coherente en apariencia puede contener una cuenta nueva que nunca se había utilizado.

3. Hacer un callback independiente

Llame al proveedor utilizando un teléfono obtenido de un contrato, un registro interno o una factura validada anteriormente. No use el número incluido únicamente en el correo sospechoso ni responda al mismo hilo para confirmar la modificación.

La llamada debe confirmar dos aspectos: que el proveedor solicitó realmente el cambio y que los datos exactos de la nueva cuenta son correctos. Si es posible, documente quién confirmó la información y desde qué número corporativo.

4. Obtener una segunda confirmación

Para cambios sensibles, combine el callback con otra verificación: por ejemplo, una confirmación desde un portal de proveedores ya conocido o una validación por un contacto diferente registrado previamente. La segunda comprobación no debe depender de los datos proporcionados por el mensaje sospechoso.

5. Registrar y aplicar una pausa

Guarde la evidencia de la llamada, la persona que confirmó el cambio y la fecha de validación. Mantenga una pausa temporal antes de utilizar la nueva cuenta cuando el riesgo sea elevado. El periodo exacto debe adaptarse al procedimiento financiero de la empresa, pero la regla debe ser visible y conocida por todo el equipo.

Cómo revisar dominios, Reply-To e hilos de correo

Los atacantes pueden registrar dominios muy parecidos al de un proveedor o una empresa. Una letra cambiada, un guion añadido, una extensión distinta o un subdominio engañoso pueden pasar desapercibidos cuando se lee deprisa. El campo Reply-To es la dirección que recibe las respuestas y puede ser distinta de la que aparece como remitente.

• Revise la dirección completa, no solo el nombre mostrado.
• Compare el dominio con facturas anteriores y con el contrato del proveedor.
• Compruebe si el campo Reply-To dirige las respuestas a una dirección distinta.
• Desconfíe de hilos reenviados cuya conversación no pueda verificarse en el buzón original.
• Compare el número de factura, pedido, condiciones de pago y cuenta bancaria con los registros internos.
• Trate como señales de riesgo la urgencia, el secreto y la petición de continuar por WhatsApp o correo personal.

Una inconsistencia aislada no demuestra por sí sola que exista fraude, pero sí justifica detener el pago y verificarlo. La combinación de varias señales debe activar el protocolo de revisión.

Formación práctica: cinco pasos que deben convertirse en hábito

La formación no debe centrarse en adivinar si un texto fue escrito por IA. Según los indicios recogidos por Microsoft, es difícil separar el uso de IA de otras formas de automatización. El entrenamiento debe enseñar conductas concretas ante una petición de pago.

1. Detener: no responder con prisas, no cambiar datos y no autorizar el pago.
2. Comparar: revisar contratos, pedidos, facturas anteriores, importes y cuentas.
3. Verificar: contactar por un teléfono o canal obtenido de registros fiables.
4. Separar: pedir una segunda revisión independiente, especialmente para cambios bancarios.
5. Registrar: dejar constancia de la decisión, las personas implicadas y las evidencias.

Las simulaciones deben representar situaciones reales: un supuesto director general que exige confidencialidad, un proveedor habitual que comunica un cambio de cuenta o una factura con un dominio casi idéntico al auténtico. El objetivo es practicar la pausa y la verificación, no penalizar a quien detecta tarde una señal.

Qué puede aportar la IA defensiva y cuáles son sus límites

Una herramienta de IA puede ayudar a priorizar anomalías: cambios inusuales en cuentas bancarias, desviaciones respecto a facturas anteriores, dominios parecidos, importes atípicos o solicitudes fuera del horario y circuito habitual. También puede agrupar señales y facilitar que el equipo financiero revise primero las operaciones de mayor riesgo.

Pero la IA defensiva no debe convertirse en una autorización automática. Un sistema puede clasificar incorrectamente un correo legítimo o no detectar una cuenta comprometida. Ante cambios bancarios, pagos urgentes o instrucciones que se aparten del procedimiento, debe mantenerse la revisión humana y la verificación independiente.

La configuración de MFA, SPF, DKIM y DMARC mejora la protección de las cuentas y del dominio corporativo, pero debe formar parte de un sistema más amplio de controles financieros. La seguridad técnica y el proceso de aprobación se complementan; ninguna de las dos sustituye a la otra.

Checklist mínimo para una pyme

• Doble aprobación: aplicada a pagos de riesgo y a todos los cambios de cuenta bancaria.
• Separación de funciones: quien prepara el pago no debe ser la única persona que lo aprueba.
• Callback: teléfono obtenido de contratos, registros o facturas ya validadas.
• Revisión de correo: dirección completa, dominio, Reply-To y coherencia del hilo.
• Comparación documental: factura, pedido, contrato, proveedor y datos bancarios.
• Pausa temporal: retención para cambios de cuenta de alto riesgo.
• Registro: fecha, identidad, canal y evidencias de cada validación.
• Configuración técnica: MFA, SPF, DKIM y DMARC, sin considerarlos suficientes por sí solos.
• Formación: simulaciones de fraude de facturas, suplantación de directivos y cambios bancarios.

Conclusión: diseñe el proceso para que un correo no pueda robarle

El fraude de facturas asistido o generado aparentemente con IA puede ser más convincente, pero sigue necesitando que una empresa acepte una instrucción sin contrastarla. La defensa más eficaz para una pyme es operativa: doble aprobación, separación de funciones, verificación por un canal independiente y una pausa obligatoria cuando cambian los datos bancarios.

Esta semana, revise el circuito de pagos, cree una lista de teléfonos de proveedores previamente validados y practique el protocolo de cinco pasos con el equipo. Un procedimiento breve, conocido y aplicado siempre es más útil que confiar en detectar un estilo de escritura sospechoso.