Son las seis de la tarde de un viernes y suena el teléfono de la persona que lleva la administración. Al otro lado, la voz del gerente, con su tono y sus muletillas: "Necesito que hagas una transferencia hoy mismo, es para cerrar una compra con un proveedor nuevo. Te paso los datos por mensaje. Es urgente y confidencial, no se lo comentes a nadie hasta el lunes". Cuelga. Llegan los datos bancarios.
Todo encaja, salvo una cosa: el gerente no ha llamado. Hoy existen programas capaces de imitar una voz a partir de una grabación corta, y grabaciones así se encuentran con facilidad en un vídeo de una feria, una entrevista o un mensaje de voz reenviado. Este tipo de fraude, que consiste en suplantar a un directivo para conseguir un pago, no es exclusivo de las grandes empresas. Una pyme puede ser un blanco fácil precisamente porque se confía en el trato personal y hay menos capas de control.
La voz ya no es una prueba
Durante décadas, reconocer la voz de tu jefe por teléfono era suficiente. Hoy no lo es. Una llamada puede imitar la voz, una videollamada puede imitar la cara y un correo puede copiar la firma y el tono. Lo único que sigue siendo fiable es el procedimiento: lo que la empresa ha decidido de antemano que hay que hacer cuando llega una orden fuera de lo normal.
Por eso las grandes empresas no se basan en reconocer a la persona, sino en exigir pasos que un suplantador no puede cumplir con solo una llamada.
El protocolo de las grandes: doble validación
Las empresas de más tamaño aplican a los pagos excepcionales algo parecido a una "doble llave": ninguna orden fuera de lo habitual se ejecuta con una sola persona y un solo canal. Este protocolo se puede copiar tal cual en una pyme. Consiste en cuatro comprobaciones:
- Segunda persona. La orden debe ser confirmada por otra persona autorizada, distinta de quien la recibió. Así, engañar a una sola no basta.
- Canal distinto. Si la orden llegó por teléfono, se confirma por otra vía, como una llamada de vuelta al número que ya tienes guardado, nunca al que te dan en ese momento, o en persona.
- Palabra clave. Una contraseña acordada de antemano en persona entre quien da órdenes de pago y quien las ejecuta. No se escribe en correos ni mensajes, y se cambia de vez en cuando.
- Margen de espera. Un pago urgente y secreto es, en sí mismo, una señal de alarma. Las grandes permiten que un pago fuera de lo normal espere unas horas hasta completar las comprobaciones, y eso no ofende a nadie.
Ninguno de estos pasos requiere tecnología. Requieren que la empresa los haya decidido y que todos sepan que se aplican, incluido el propio gerente.
Cómo encaja un agente de IA en el protocolo
Un agente de IA es un programa que hace una tarea de trabajo por ti y te consulta lo importante. Aquí no sustituye a nadie: se encarga de que el protocolo se cumpla siempre, incluso un viernes por la tarde con prisas. Su trabajo sería:
- Reconocer qué pagos salen de lo habitual: un proveedor nuevo, una cuenta bancaria distinta a la de siempre, un importe alto respecto al histórico, una petición marcada como urgente o confidencial.
- Parar el trámite y no seguir adelante hasta que se completen las comprobaciones.
- Avisar a la segunda persona autorizada con un resumen claro: quién pide el pago, por qué canal, cuánto, a quién y qué llama la atención.
- Recordar los pasos pendientes: confirmación por otro canal, palabra clave, segunda validación.
- Dejar constancia de quién validó qué y cuándo, para que haya un registro si surge un problema.
Lo importante es esto: el agente no paga nada ni autoriza nada. Prepara, bloquea y avisa. La autorización final de una transferencia siempre es de una persona.
Lo que sigue siendo cosa de personas
- Autorizar el pago. Después de las comprobaciones, una persona con capacidad para hacerlo da el visto bueno.
- Llamar de vuelta. La confirmación por un canal distinto es una conversación humana, con alguien que conoce a la persona que supuestamente ha dado la orden.
- Decidir las reglas. Qué importes activan el protocolo, quién puede autorizar y qué pasa cuando el gerente está de viaje. Son decisiones de la dirección, no de un programa.
- Denunciar y comunicar. Si se detecta un intento de fraude, toca avisar al banco, a quien corresponda en la empresa y, si procede, a las autoridades competentes. Si el dinero llega a salir, hay que contactar con la entidad de inmediato, porque el tiempo cuenta.
Señales de alarma que conviene enseñar a todo el equipo
No hace falta ser experto para detectarlas. Basta con sospechar cuando ocurre alguna de estas cosas:
- Urgencia extrema y petición de secreto: "no se lo digas a nadie".
- Cambio de cuenta bancaria de un proveedor habitual, pedido por correo o teléfono.
- Una orden que se salta el procedimiento normal "por esta vez".
- Un canal nuevo o inesperado: un número que no conoces, un correo con una letra cambiada en el dominio.
- Presión emocional: halagos, amenazas o "si no lo haces tú, lo hará otro".
Tener a mano una lista como esta y repasarla de vez en cuando con el equipo protege más que cualquier herramienta.
Qué cuidar al montar el protocolo
Que lo conozcan todos, incluida la dirección. Un protocolo que el gerente se salta cuando tiene prisa no sirve. Conviene que sea él quien lo defienda.
Que no dependa solo del agente. El agente ayuda a que no se olvide, pero las personas deben saber aplicarlo si falla el sistema.
Que no quede escrito donde no debe. La palabra clave y los números de confirmación no deben guardarse en correos ni chats abiertos. Las ideas de fondo sobre seguridad en una empresa pequeña las tienes en cómo planificar la ciberseguridad de una pyme.
Que se practique. Un simulacro de vez en cuando, avisado o no, enseña más que un documento. Y para el resto de los pagos del día a día, puedes ver cómo automatizar la gestión de pagos a proveedores con sus controles.
Que se revise con asesoramiento. Los límites de importe, los mandatos bancarios y las responsabilidades conviene definirlos con tu gestor y con tu banco.
Conclusión
Una voz que suena a tu jefe ya no demuestra nada: lo que protege a una empresa es un procedimiento que exige segunda persona, canal distinto y palabra clave antes de cualquier pago fuera de lo normal. Un agente de IA puede aplicar ese protocolo siempre y dejar constancia, pero la autorización final es humana.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.