Así pasó…

Era un día normal de oficina. Jhon* se sentó a revisar su bandeja de entrada de correos y, como era usual, vio un mensaje proveniente de la dirección de correo oficial de uno de los proveedores de la compañía. Paso seguido, abrió el mensaje y se encontró con la instrucción de realizar un pago a una cuenta bancaria diferente a la que se usaba de forma recurrente. Consciente de los procedimientos internos, antes de realizar el pago, Jhon procedió a contactar telefónicamente al proveedor para confirmar el cambio de la cuenta ya que no se trataba de algo usual.

Pese a sus múltiples intentos por contactar al proveedor, durante varios días, Jhon no recibió respuesta telefónica. Jhon no sabía exactamente cómo proceder porque, aunque sí había recibido respuesta mediante el correo oficial del proveedor confirmando el tema, se debatía entre realizar el pago, teniendo en cuenta que el correo aparentemente era auténtico, o esperar que el proveedor contestara sus llamadas.

Después de mucho pensarlo, decidió no esperar más, para no retrasar el proceso, y realizó el pago. Jhon estaba tranquilo con su actuar, porque además había llamado al banco para comprobar que el nuevo número de cuenta entregado era del proveedor, hasta que, días después, apareció nuevamente el proveedor para hacer el cobro. Alarmado, Jhon le confirmó que el pago se había realizado ya hace algunos días. Ante la situación, el proveedor le informa con preocupación que su equipo había sido hackeado, lo cual verificó la teoría de Jhon de que los correos recibidos provenían de una dirección de correo auténtica.

Dada la gravedad de la situación el proveedor contactó al FBI que, luego de una exhaustiva investigación, identificó que la IP desde de la cual se enviaron los correos provenía de un país de África y que habían suplantado su identidad.

Rápidamente, se ejecutó un plan, con el apoyo del banco, para generar contraordenes y lograr recuperar parte del dinero. Entretanto, la aseguradora de Argos hizo las averiguaciones pertinentes y concluyó finalmente, que el fraude fue realizado al proveedor y no a Argos por lo que solo reconoció el pago de la mitad de la pérdida, lo que finalmente conllevó a que nuestra compañía tuviera que asumir parte del dinero robado.

¿Qué lección crees que aprendió Jhon después de lo ocurrido?

*Esta historia es real. Sin embargo, algunos nombres y lugares han sido cambiados para proteger la identidad de sus verdaderos protagonistas.

¿Qué valores/comportamientos ayudan a prevenir este riesgo?

En Argos valoramos el aprendizaje como una oportunidad para crecer y si este parte desde el error, creemos que podemos evitar futuros riegos. Esta situación nos enseña que, si bien promovemos, a través del pilar de cultura Hacemos equipo, ser confiables y confiar en los demás (esto incluye a nuestros proveedores), la comunicación y la construcción de confianza con ellos es fundamental. Esto, nos permitirá enfrentar con mayor tranquilidad, transparencia y certeza situaciones en las que tenemos dudas.

Asimismo, es fundamental asegurarnos de cumplir con los procedimientos corporativos establecidos para la realización de pagos ya que estos existen, precisamente, con el objetivo de cuidar los recursos de la compañía. En este caso, tanto Argos como el proveedor fueron víctimas de una estafa que se pudo evitar con comunicación directa entre las partes y con el seguimiento de los procesos establecidos. Recordemos que cuando decimos que cuidamos los recursos, no solo nos referimos a ser eficientes con los mismos, sino que nos aseguramos de seguir los protocolos de seguridad adecuadamente para contribuir a la sostenibilidad de nuestra organización.

¿Cuáles son las recomendaciones desde gestión del riesgo?

• Aplicar siempre los procedimientos establecidos en el proceso.
• Validar directamente con el proveedor sus datos a través de diferentes canales.
• Evitar la ejecución de pagos sin realizar las validaciones oficiales previas
• Verificar con el proveedor a su teléfono de costumbre si el correo es real o no
• Solicitarle la certificación bancaria y validar su autenticidad
• Cuando un proveedor solicite el cambio de su cuenta bancaria o el cambio de información crítica como números de teléfonos celulares o direcciones de correo electrónico, se debe confirmar con los representantes legales del proveedor esta solicitud.
• Cuando un proveedor solicite el pago de sus facturas a favor de un tercero, se debe confirmar con los representantes legales del proveedor tal solicitud antes de hacer los cambios en el sistema.

¿Cuáles son las lecciones aprendidas a partir de este caso?

• Se debe realizar la validación eficiente de datos con los proveedores, previo a la realización de pagos.
• Validación de autenticidad de documentación de entidades financieras
• Revisión y ajuste en los procedimientos de los procesos que puedan servir como controles para evitar que se materialicen riesgos

¿Cómo actuar?

Si detectas cualquier actividad sospechosa en los correos que recibes o un funcionamiento anómalo de tu equipo, ponte en contacto con el área de Tecnología a través de emma: emma@summa-sci.com o a la extensión 12345.