Jueves 05 de Noviembre 2026.
Desde falsos ejecutivos bancarios hasta proveedores que notifican cambios de cuentas para recibir transferencias, los fraudes aprovechan principalmente la confianza y la urgencia.
Las pequeñas y medianas empresas se han convertido en un blanco atractivo para las estafas digitales. Aunque muchas de estas operaciones no requieren herramientas tecnológicas sofisticadas, sí aprovechan debilidades habituales en los negocios, como la falta de protocolos para autorizar pagos, el uso de contraseñas compartidas y la concentración de tareas financieras en una sola persona. El nivel de exposición contrasta con la preparación de las empresas. Según Hermann Obermöller, gerente de Servicios Gestionados de NOVARED (firma de ciberseguridad), el 85% de las pymes chilenas acepta pagos digitales, pero el 46% no tiene un plan de ciberseguridad y una de cada cinco carece de un plan de respuesta ante incidentes. En ese sentido, entre las modalidades más frecuentes se encuentra el vishing o fraude telefónico, estafas en las que los delincuentes se hacen pasar por ejecutivos bancarios para advertir sobre supuestos movimientos sospechosos y solicitar claves o códigos de autorización. Según las cifras de Obermöller, el 71% del phishing detectado en Chile ya corresponde a esta modalidad. También está el fraude a proveedores, en que los delincuentes imitan o interceptan el correo de una empresa legítima para informar un supuesto cambio de cuenta bancaria justo antes de recibir un pago. A esto se suma “el fraude del CEO”, donde alguien suplanta al dueño, socio o gerente para solicitar transferencias urgentes y confidenciales, incluso mediante audios o llamadas con voces clonadas por inteligencia artificial. Otras prácticas habituales son los mensajes falsos que imitan al SII o a entidades bancarias, el secuestro de cuentas de WhatsApp, los comprobantes de transferencia adulterados y las ofertas de créditos o subsidios que exigen pagos anticipados. “La señal común de todas estas estafas es la misma: urgencia, secreto y un pedido de dinero, claves o códigos por un canal no habitual”, dice el experto. Medidas para proteger a una pyme sin contratar especialistas Obermöller sostiene que una de las medidas más efectivas y de menor costo es activar la autenticación en dos pasos en todas las cuentas. Según los antecedentes que entrega, la autenticación multifactor puede reducir hasta en un 99% las brechas de identidad en los casos analizados. En el ámbito financiero, recomienda separar las cuentas personales de las del negocio, establecer límites diarios de transferencias y activar alertas por cada movimiento. También plantea implementar una doble aprobación para operaciones que superen determinados montos y asignar usuarios individuales a quienes administran la banca de la empresa. En el correo electrónico, aconseja utilizar un dominio propio en lugar de direcciones genéricas, mantener contraseñas diferentes para cada servicio y revisar periódicamente que no existan reglas de reenvío desconocidas. Además, recomienda proteger WhatsApp Business y las redes sociales con verificación en dos pasos, limitar los permisos de administrador y mantener actualizados los equipos. Sin embargo, más allá de las herramientas tecnológicas, advierte que buena parte de los problemas comienza con decisiones tomadas bajo presión. “La regla que más fraudes evita es simple: pausar y confirmar por otro canal, usando un número o correo que ya se tenía, nunca el que viene en el mensaje”, plantea. Por eso, aconseja lo siguiente: Al hacer transferencias 1. Verificar que el RUT y el nombre del titular de la cuenta coincidan con el proveedor. 2. Confirmar por teléfono cualquier cuenta nueva o modificada, llamando a un número ya conocido. 3. Desconfiar de toda urgencia o confidencialidad (“hay que pagar hoy”, “no le digas a nadie”). 4. Para montos altos, exigir doble aprobación y, si es la primera vez, transferir primero un monto pequeño de prueba. 5. Guardar respaldo de cada pago: factura, correo de solicitud y comprobante. Al recibir pagos 1. Revisar el abono directamente en el banco, no en el comprobante ni en la notificación que envía el cliente. 2. No devolver “excesos”; sin confirmar que el dinero realmente llegó y que no es un contracargo pendiente. 3. Usar links de pago generados por la propia empresa en pasarelas reconocidas; nunca pagar ni cobrar a través de links enviados por el comprador. 4. En ventas con tarjeta a distancia, guardar evidencia de despacho y entrega para defender posibles contracargos. Al comunicarse con proveedores y clientes 1. Mantener una ficha de cada proveedor con datos bancarios y contactos verificados; cambiarla solo tras confirmación telefónica. 2. Avisar a los clientes, en la web, en la factura y en la firma del correo, cuáles son los canales oficiales y que la empresa nunca cambia sus datos bancarios por mensaje. 3. Acordar con socios y empleados una “palabra clave” o pregunta de verificación para pedidos de dinero inusuales, útil contra voces clonadas. 4. Capacitar al equipo dos veces al año con ejemplos reales; quien maneja los pagos es el blanco principal. Qué hacer si se concretó la estafa Si la estafa ya ocurrió, las primeras horas son fundamentales. La primera acción debe ser contactar inmediatamente al banco, a través de sus canales oficiales, para bloquear claves, productos y transferencias. Si el dinero ya fue enviado, se debe solicitar que se contacte a la entidad receptora para intentar retener los fondos. Luego, corresponde cambiar las contraseñas de las cuentas comprometidas desde un equipo seguro, cerrar las sesiones abiertas y reunir las evidencias del fraude, como correos, mensajes, números telefónicos, comprobantes y cartolas bancarias. En Chile, también es necesario presentar una denuncia ante la Fiscalía, la PDI o Carabineros y guardar una copia para acompañar el reclamo ante el banco. La Ley 21.673 establece requisitos para la restitución de fondos en operaciones desconocidas. La normativa permite desconocer operaciones realizadas hasta 60 días antes del aviso. Para montos de hasta 35 UF, el emisor debe restituir los fondos dentro de 10 días hábiles (15 si fueron giros en cajero). Si la suma supera ese límite, debe restituir hasta ese monto dentro del mismo plazo. Obermöller advierte, sin embargo, que existen diferencias según el tipo de fraude. Cuando la propia empresa realiza una transferencia engañada por un supuesto proveedor o un falso gerente, el caso no necesariamente califica como una operación no autorizada. En esas situaciones, la recuperación depende de que el banco receptor pueda congelar los fondos a tiempo y del avance de la investigación penal. Finalmente, recomienda reportar el incidente al CSIRT Nacional de la ANCI y, si el banco no responde o rechaza el reclamo sin fundamento, acudir a la Comisión para el Mercado Financiero (CMF) o al SERNAC.
Fuente: Emol.com