En los últimos años, las empresas han sido blanco de sofisticadas estafas que buscan desviar las nóminas de los empleados a cuentas bancarias controladas por ciberdelincuentes.
Estas prácticas, basadas en la suplantación de identidad y la manipulación de comunicaciones electrónicas, han generado pérdidas económicas significativas y problemas legales tanto para los trabajadores como para las organizaciones. En este artículo, analizamos cómo opera uno de los muchos fraudes, el del phishing para el cambio de cuenta bancaria de la nómina.
El modus operandi de los ciberdelincuentes
Los estafadores emplean técnicas avanzadas de suplantación de identidad, como el email spoofing, para hacerse pasar por empleados legítimos. A través de correos electrónicos aparentemente auténticos, solicitan cambios en los datos bancarios, convenciendo a los departamentos de Recursos Humanos de actualizar la cuenta donde se deposita la nómina.
Este proceso suele completarse sin levantar sospechas, ya que los correos contienen detalles personalizados y un tono profesional que imita perfectamente las comunicaciones internas.
¿Por qué las empresas son un objetivo fácil?
Los ciberdelincuentes aprovechan debilidades estructurales y operativas en las empresas:
- Falta de protocolos claros: Muchas empresas carecen de procesos estrictos para verificar cambios en datos sensibles, como cuentas bancarias.
- Confianza en las comunicaciones electrónicas: Recursos Humanos tiende a confiar en la autenticidad de los correos internos, especialmente cuando incluyen detalles aparentemente creíbles.
- Volumen de trabajo: En grandes organizaciones, el elevado número de empleados dificulta la atención personalizada, aumentando la probabilidad de que este tipo de fraude pase desapercibido.
Casos recientes y alcance del problema
En los últimos años, las estafas dirigidas a los departamentos de Recursos Humanos han aumentado de forma alarmante. La técnica de suplantación de identidad ha permitido a los ciberdelincuentes desviar nóminas de empleados a cuentas bancarias bajo su control.
Estas prácticas han afectado tanto a empresas privadas como a organismos públicos, dejando un rastro de pérdidas económicas y complicaciones legales.
Ejemplos de incidentes reportados
Los casos más recientes demuestran que ninguna organización está exenta de este tipo de fraude:
- Organismo público en Estepona
En octubre de 2024, un organismo público sufrió un fraude que resultó en pérdidas superiores a 500.000 euros. Los estafadores utilizaron correos electrónicos falsos para solicitar transferencias que parecían legítimas.
- Auge del fraude en empresas españolas
Un informe del INCIBE reveló que en 2023 más del 70% de las empresas españolas reportaron intentos de fraude mediante correos electrónicos de suplantación de identidad, lo que demuestra la amplitud del problema en el ámbito corporativo.
- Estafa en multinacionales
Varias empresas con presencia internacional han denunciado que los ciberdelincuentes lograron comprometer sistemas internos para desviar nóminas de empleados en países europeos y latinoamericanos. Estas prácticas han generado pérdidas millonarias y un incremento en los costes de ciberseguridad.
Consecuencias para empleados y empresas
Este tipo de estafas no solo generan pérdidas económicas, sino que también tienen consecuencias graves en términos de reputación y confianza.
Para las empresas, las pérdidas financieras directas pueden superar los cientos de miles de euros. Además, el daño reputacional afecta las relaciones con clientes y empleados, y obliga a las organizaciones a gastar más en medidas de seguridad.
En cuanto a los empleados, pueden enfrentar retrasos en el cobro de su salario, problemas legales para demostrar la suplantación y estrés derivado de la incertidumbre económica.
¿Cómo prevenir este tipo de fraudes?
La mejor herramienta contra las estafas por suplantación de identidad es la prevención. Tanto empresas como empleados deben adoptar medidas específicas para protegerse de este tipo de ataques. Una combinación de tecnología, protocolos claros y formación puede marcar la diferencia.
Medidas de seguridad para empresas
Para evitar caer en este tipo de fraudes, las empresas deben fortalecer sus procedimientos internos y educar a sus empleados sobre los riesgos. Algunas acciones clave incluyen:
- Doble verificación. Implementar sistemas de verificación en dos pasos para cualquier cambio en los datos bancarios de los empleados. Esto puede incluir confirmaciones por teléfono o en persona.
- Protocolos internos claros. Establecer normas estrictas para gestionar las comunicaciones electrónicas relacionadas con datos sensibles, incluyendo la obligatoriedad de supervisión por parte de un superior.
- Formación en ciberseguridad. Organizar talleres periódicos para el personal, especialmente en departamentos clave como Recursos Humanos y Finanzas, con el fin de identificar intentos de phishing.
- Auditorías regulares. Realizar controles periódicos de los sistemas internos para detectar posibles vulnerabilidades.
Consejos para los empleados
Los trabajadores también deben estar atentos y asumir un rol activo en la protección de sus datos. Algunos consejos prácticos incluyen:
- Verificar solicitudes sospechosas. Si reciben notificaciones de cambio en sus datos bancarios, deben confirmar directamente con Recursos Humanos que la solicitud es legítima.
- Revisar sus comunicaciones. Evitar compartir información sensible a través de correos electrónicos no oficiales o canales no verificados.
- Detectar señales de alerta. Correos con errores gramaticales, remitentes desconocidos o solicitudes urgentes suelen ser señales de phishing.
- Informar inmediatamente. Si sospechan que su identidad ha sido comprometida, deben notificarlo de inmediato a la empresa y a las autoridades competentes.
Adoptar estas medidas reduce significativamente las posibilidades de convertirse en víctima de estas estafas, protegiendo tanto los intereses de las empresas como los de los empleados. La clave es la combinación de tecnología, vigilancia y una comunicación constante.
¿Qué hacer si eres víctima?
Afrontar un fraude de suplantación de identidad requiere una acción inmediata tanto por parte de los empleados afectados como de las empresas involucradas. La rapidez y la claridad en las medidas pueden marcar la diferencia para minimizar el impacto.
Pasos para empleados afectados
Si detectas que tus datos han sido utilizados de forma fraudulenta, lo primero es notificarlo a tu departamento de Recursos Humanos. Esto permitirá bloquear cualquier cambio relacionado con tus datos bancarios antes de que se efectúe una transacción indebida. Paralelamente, contacta con tu banco para informar del intento de fraude y asegurarte de que no se realicen movimientos adicionales.
Es crucial denunciar el incidente a las autoridades competentes, como la policía o el INCIBE, para que puedan investigar y perseguir a los responsables. Además, mantener un monitoreo constante de tus cuentas bancarias te ayudará a detectar cualquier actividad sospechosa y a evitar futuros intentos de estafa.
Responsabilidad de la empresa ante el fraude
Para las empresas, una respuesta ágil es esencial. Detener las operaciones fraudulentas lo antes posible protege tanto a los empleados como a la organización de mayores pérdidas.
Ofrecer soporte a los trabajadores afectados, ya sea a través de asesoramiento legal o de la gestión con las entidades bancarias, es un deber ético y una forma de preservar la confianza en el entorno laboral.
Tras un incidente de este tipo, la empresa debe evaluar sus protocolos de seguridad y mejorar aquellos aspectos que hayan fallado. Colaborar con las autoridades es igualmente imprescindible para garantizar una resolución adecuada y sentar precedentes que refuercen la protección frente a futuras amenazas.
Juan Adrián Ríos López Todas las publicaciones PRIMERA VISITA GRATIS
Sin ningún tipo de compromiso, te aconsejaremos sobre tus mejores opciones.
ENTRADAS RELACIONADAS
