Análisis profesional de riesgos
Un cliente escribe con urgencia: ya ha hecho la transferencia y el dinero no ha llegado. Reenvía el correo. Lleva su nombre, su logotipo, su firma y su forma de escribir. Solo cambian una letra del dominio y un número de cuenta.
A partir de ahí el problema deja de ser informático. El trabajo se ha entregado, el cliente ha pagado y usted no ha cobrado, y lo que empieza es una conversación incómoda sobre quién asume el error.
La confianza diaria también es superficie de ataque
En actividades que funcionan por encargo, presupuesto y validación por correo o mensajería, la confianza no se firma cada día: se da por hecha. Un estudio de diseño envía artes finales y factura por transferencia. Un consultor remite propuestas y anexos. Un instalador coordina pagos parciales desde el móvil mientras está en obra.
La operativa depende de que el cliente reconozca como auténticos los mensajes, los datos bancarios y las instrucciones. Ese reconocimiento, que parece una comodidad, es también lo que un tercero puede aprovechar.
La secuencia puede arrancar de forma discreta: alguien registra un dominio casi idéntico, compromete una cuenta de correo antigua o copia la identidad visual desde la web. Después espera un momento útil —una factura pendiente, una renovación, un anticipo— y actúa.
El suplantado también pierde
Existe la idea de que, si el dinero no ha llegado a manos del profesional, la víctima exclusiva es el cliente. Ese razonamiento se cae pronto.
El cliente pretenderá que se entregue el trabajo, que se mantengan los plazos o que se asuma parte del daño, porque la orden salió bajo la identidad del profesional. Aunque no toda reclamación prospere, el problema ya existe: horas revisando trazas, correos, accesos, facturas y extractos; tensión con un cliente que sospecha; y una discusión sobre si hubo o no diligencia razonable en los sistemas y en los procedimientos de verificación.
El dinero perdido duele una vez. La confianza alterada pesa durante meses.
Quien iba a recomendar deja de hacerlo hasta ver cómo se responde. El cliente que trabajaba con agilidad empieza a pedir confirmaciones por tres vías y a retrasar pagos. El ciclo de facturación se alarga, y para un autónomo cobrar diez o quince días más tarde no es una molestia administrativa: es tesorería, cuota y alquiler.
La exposición llevaba meses montada
La suplantación no siempre nace de un gran ataque. Con frecuencia empieza en algo menor y antiguo: un reenvío automático desde una cuenta que ya no se usa, una contraseña repetida en la herramienta de facturación, un dominio secundario caducado que alguien compra, un colaborador externo que conserva acceso al buzón comercial.
El fraude visible ocurre al final. Lo que conviene revisar es lo que estaba montado antes.
Dos daños distintos que la póliza trata de forma distinta
Aquí está la distinción que decide la utilidad de una cobertura de ciberriesgos, y conviene tenerla clara antes de leer ningún condicionado.
El daño propio. Lo que pierde el profesional: la factura no cobrada, la recuperación de sistemas, los días de actividad afectada. Aquí entran la garantía de fraude o de uso fraudulento de medios de comunicación y la de paralización de la actividad.
La reclamación de un tercero. Lo que el cliente reclame por haber pagado a una cuenta ajena, o por el compromiso de datos que el profesional custodiaba. Es un frente de responsabilidad, no de daño propio, y puede rozar además la responsabilidad civil profesional, que responde del perjuicio causado por un error en el trabajo entregado y no del incidente de seguridad en sí.
Una póliza puede tratar bien uno de los dos frentes y dejar el otro con un límite testimonial. Por eso el nombre genérico de la garantía dice poco: lo que importa es la mecánica del siniestro.
Tres datos determinan si la cobertura sirve, y ninguno aparece en una comparativa de precio. El sublímite de fraude, que suele ser bastante inferior al límite general de la póliza y es lo que realmente se cobraría en este supuesto. La franquicia temporal de la garantía de paralización, expresada en horas, que decide si un incidente de dos días queda dentro o fuera. Y el servicio de respuesta.
Sobre este último hay una regla operativa que conviene tener anotada antes de necesitarla: muchas pólizas condicionan el reconocimiento de los gastos a la autorización previa de la entidad. Contratar por cuenta propia a un técnico o a un abogado nada más detectar el incidente puede dejar fuera precisamente esos importes.
Por qué el banco no suele resolverlo
Hay un matiz que explica buena parte de la frustración posterior. En un cargo no autorizado, el régimen de servicios de pago prevé un recorrido de reembolso relativamente definido. Aquí ocurre algo distinto: es el propio cliente quien ordena la transferencia, aunque lo haga engañado.
Esa diferencia sitúa el caso en otro plano y hace el recorrido bastante más incierto, con un análisis que depende de las circunstancias concretas. Es una vía que merece intentarse con asesoramiento, pero no conviene planificar contando con ella.
Seis puntos, tres de procedimiento y tres de póliza
- Cómo se valida un cambio de cuenta. Si basta un correo, el procedimiento está abierto. Una confirmación por un canal distinto y con un número conocido de antemano cierra la mayor parte del hueco.
- Quién puede entrar en sus canales reales. Correo, herramienta de facturación, almacenamiento de presupuestos, mensajería profesional y panel web, incluidos antiguos colaboradores.
- Qué hay montado y olvidado. Reenvíos automáticos, cuentas en desuso, dominios secundarios y contraseñas repetidas.
- El sublímite de fraude de su póliza. No el límite general: el sublímite específico de esta garantía.
- La franquicia temporal de la paralización. Expresada en horas, determina qué incidentes quedan cubiertos.
- El protocolo de aviso. A quién llamar y en qué orden, antes de contratar a nadie por su cuenta.
Mañana llega una factura falsa con su nombre
Revisar la protección no consiste en comprobar si aparece la palabra «ciber» en alguna póliza. Consiste en mirar si responde al modo exacto en que usted trabaja y cobra.
Responda tres cosas. Si podría demostrar con rapidez qué ha ocurrido y desde dónde. Si su póliza distingue el engaño al cliente del engaño al propio asegurado, y con qué importe atiende cada uno. Y cuántos días podría sostener la actividad mientras cambia credenciales, revisa dispositivos y avisa a otros clientes. Esa parálisis parcial es una de las pérdidas más reales y no suele entrar en la primera conversación sobre el fraude.
Preguntas frecuentes
Si el cliente transfirió a una cuenta falsa, ¿la pérdida la soporta él?
No de forma automática. Depende de cómo se produjo el engaño, de si hubo compromiso de los sistemas del profesional o una imitación puramente externa, y de qué controles razonables cabía esperar para validar los pagos. Aunque la responsabilidad final no recaiga sobre el suplantado, el coste de sostener esa posición puede ser alto en tiempo y en relación comercial.
¿Sirve la misma cobertura para un diseñador que para un instalador?
No deberían analizarse igual. El diseñador concentra riesgo en archivos, entregables y facturación digital. El instalador añade urgencia operativa, uso intensivo de mensajería y cambios de instrucciones sobre la marcha. El canal por el que se produce el fraude cambia tanto la probabilidad como la respuesta de la póliza.
¿Y si uso mi correo personal para enviar facturas?
Es un matiz que puede cambiar un expediente. Si los presupuestos o las facturas de la actividad salen de una cuenta personal, alguna entidad puede discutir si el incidente se produjo dentro del entorno profesional declarado. No es un detalle administrativo: conviene separar el correo profesional del personal antes de que ocurra nada, y comprobar qué entorno figura descrito en la póliza.
¿Podría demostrarlo rápido, contener el daño y sostener la relación?
Esa es la pregunta que sustituye a la habitual sobre antivirus y copias de seguridad. No porque esas medidas no importen —las entidades suelen exigirlas para ofrecer cobertura—, sino porque actúan antes y este problema se juega después.
Quien deja el punto sin revisar no se expone solo a un fraude puntual. Se expone a discutir con su cliente mientras la caja se tensa, la operativa se frena y su nombre sigue circulando en un mensaje que parece suyo.
Determinada la exposición real de su forma de trabajar y cobrar, trabajar con acceso a más de 95 compañías amplía el universo desde el que buscar y contrastar, entre las entidades que ofrecen soluciones adecuadas, sublímites de fraude, franquicias temporales, servicios de respuesta y precio. En este producto las diferencias entre condicionados no son de matiz: la aceptación y el alcance dependen de la actividad, de las medidas de seguridad declaradas y de los criterios de suscripción de cada entidad.
La revisión de sus seguros no tiene coste y no implica obligación de contratar. Es un servicio que ofrecemos siempre de forma gratuita, también cuando la conclusión es que su estructura actual está bien planteada.
Mateo Molina · Molina López — Análisis y Optimización de Seguros
Este contenido tiene finalidad informativa y no constituye asesoramiento jurídico, técnico ni en materia de protección de datos. La calificación de un incidente, la eventual responsabilidad frente a un cliente y el recorrido de reclamación ante una entidad de pago dependen de las circunstancias de cada caso y de la normativa aplicable, y deben analizarse con asesoramiento profesional. Cuando el incidente afecte a datos personales de terceros pueden activarse obligaciones de notificación a la autoridad de control y de comunicación a los afectados en los términos previstos por la normativa vigente. Las garantías, los sublímites de fraude, las franquicias temporales, las exclusiones, los requisitos de seguridad exigidos y las condiciones de autorización previa de gastos varían según la entidad y el condicionado, y deben verificarse en las condiciones particulares y generales de cada póliza. El análisis previo no garantiza la contratación ni la aceptación del riesgo.
¿Qué sublímite tiene su garantía de fraude?
Revisamos el sublímite específico de fraude y suplantación, la franquicia temporal de la paralización, el protocolo de aviso de su póliza y si su cobertura distingue el engaño a un cliente del engaño al propio asegurado. Sin coste y sin obligación de contratar.
Solicitar el análisis de mis seguros