Cómo verificar por otro canal un cambio de cuenta bancaria de un proveedor

Separa la recepción de la aprobación

Registra la petición con hora, remitente, proveedor e información nueva, pero deja la ficha bancaria vigente sin cambios. Un correo comprometido puede formar parte de una conversación real. Hasta completar la verificación, no copies la nueva cuenta a la plantilla de pagos ni a una orden pendiente.

Compara el cambio contra el registro existente

Muestra el dato actual y el solicitado con una indicación clara de origen y fecha. Comprueba qué proveedor, sociedad y moneda están asociados. Si el nombre comercial o la entidad legal no coincide, crea una revisión específica; no decidas por semejanza visual entre números de cuenta o nombres.

Usa un canal independiente ya registrado

Contacta al proveedor por un número o medio que ya figure en el expediente o en un directorio mantenido antes de recibir la petición. No uses el teléfono, enlace o firma que aparece en el mismo correo de cambio para verificarlo. Si no existe un contacto fiable, deriva el caso a compras o finanzas para recuperar una fuente independiente.

Haz preguntas que comprueben la solicitud

Pide confirmar el proveedor, la fecha de efectividad y el dato que debe cambiar, sin leer primero la cuenta nueva para que la otra persona solo la repita. Sigue el método de verificación acordado y documenta con quién hablaste, cuándo y cuál fue el resultado. No anotes información de pago completa en campos de texto abiertos si no hace falta.

Mantén separación entre quien solicita y quien modifica

Define roles para recibir, comprobar y aprobar cambios en el maestro de proveedores. En un equipo pequeño quizá una persona cubra más de un rol; establece una revisión adicional o mecanismo alternativo cuando no haya separación. No permitas que una urgencia por pagar elimine el control definido.

Actualiza el registro con trazabilidad

Después de verificar, guarda el aprobador, referencia del contacto utilizado, fecha y campos afectados. Conserva el dato anterior según la política interna y marca cuál está vigente. Si la actualización falla parcialmente, detén pagos nuevos hasta comprobar qué versión ve el sistema de tesorería.

Revisa pagos próximos y posibles conversaciones comprometidas

Comprueba si hay órdenes preparadas o facturas asociadas que pudieron tomar el dato nuevo. Si la solicitud también pedía confidencialidad, prisa o excepción, marca la señal para el responsable, pero no la uses como prueba única de fraude. El equipo determina si debe validar comunicaciones adicionales o limitar operaciones.

Mide y prueba el control sin usar datos reales de pago

Ensaya el flujo con un proveedor ficticio o registro de prueba: correo que llega al contacto usual, llamada a número guardado y solicitud no confirmada. Revisa qué ocurre si falla el contacto o la persona autorizada no está disponible. Un control útil tiene una ruta para detener el cambio sin presionar al empleado a improvisar.

Fuentes y documentación

• INCIBE · Ciberamenazas contra entornos empresariales — Guía para empresas que describe amenazas de phishing y pautas de actuación si se introducen credenciales en una página fraudulenta.