¿El proveedor cambió los datos bancarios? Deténgase

Si un proveedor envía datos bancarios diferentes, detenga el pago y la actualización del maestro de proveedores. Haga esto antes de pedir una explicación. Un proveedor legítimo puede estar cambiando de banco o utilizando una empresa de cobro documentada; un criminal puede haber accedido a un buzón real y esperado por una factura real. La misma retención protege ambas situaciones mientras el comprador establece qué cambió y quién lo autorizó.

No confirme respondiendo al mismo hilo, llamando a un número impreso en la factura revisada o aceptando una firma familiar. Recupere los registros y la ruta de contacto que su empresa confiaba antes de que llegara la solicitud. Trate el cambio como un nuevo evento de aprobación, incluso cuando el proveedor sea antiguo y el envío sea urgente.

Los primeros 30 minutos

Esta secuencia está diseñada para la persona que nota primero un beneficiario, cuenta, país bancario o ruta de pago cambiados. No requiere una conclusión de fraude. Su función es evitar que un mensaje sin resolver se convierta en una transferencia irreversible.

0-5 minutos: congele ambas acciones

Coloque el pago en una retención visible del sistema y bloquee la edición correspondiente del maestro de proveedores. Si una transferencia está preparada en la banca en línea, identifique su estado: borrador, aprobada pero no liberada, enviada o completada. Notifique al aprobador final a través del canal controlado del equipo. Un mensaje de chat que diga «por favor espere» no es suficiente si otro revisor aún puede liberar la transferencia.

Asigne una referencia corta del incidente como PAY-CHANGE-2026-0715-04. Registre la orden de compra, el monto, la moneda, la fecha de vencimiento, la persona que notó el cambio y la hora exacta de la retención. Esto da a finanzas, adquisiciones, TI y gestión un único evento para discutir sin reenviar repetidamente el archivo sospechoso.

5-10 minutos: preserve lo recibido

Guarde el mensaje original y el archivo adjunto, no solo una captura de pantalla o una copia reenviada. Preserve el remitente visible, el remitente del sobre o los encabezados disponibles, responder a, destinatarios, hora del mensaje y zona horaria, nombre del archivo adjunto y hash del archivo donde corresponda, y el contexto del portal seguro o chat si la instrucción no llegó por correo electrónico. Mantenga la factura revisada exactamente como se recibió.

No edite el buzón del proveedor, elimine reglas de reenvío ni pida al remitente sospechoso que explique detalles técnicos antes de que el propietario relevante de TI o seguridad haya considerado la preservación de evidencias. Limite la circulación innecesaria de números de cuenta completos y datos personales. La copia financiera puede usar campos enmascarados mientras los respondedores autorizados conservan el original.

10-15 minutos: recupere el último archivo válido conocido

Abra los registros creados antes del cambio: el maestro de proveedores, contrato firmado, orden de compra, factura pagada anterior, aprobación previa del beneficiario, lista de contactos conocida y revisión de incorporación o pedido repetido. No construya la línea base a partir de un número de teléfono, membrete o tarjeta de contacto proporcionados en el mensaje cambiado.

Copie el beneficiario y la ruta bancaria anteriores en un registro de comparación. Si nunca se ha pagado al proveedor, utilice el contrato aprobado y la evidencia de incorporación, pero etiquete la ausencia de historial de pagos. El guía de campo de beneficiario bancario explica qué campos de parte y banco son distintos; no valida la nueva instrucción.

15-25 minutos: llame fuera del canal cambiado

Llame a un contacto del proveedor en un número almacenado antes de la solicitud. Para un pago de material, involucre a un segundo contacto conocido o utilice un canal de video previamente establecido. Indique el nombre legal exacto del beneficiario, el país bancario, la moneda y una referencia de cuenta enmascarada. Pregunte si la empresa autorizó cada cambio, quién lo autorizó, por qué es necesario y cuándo entra en vigor.

La orientación actual sobre Compromiso de Correo Empresarial del FBI recomienda utilizar un canal secundario o método de dos factores para cambios en la información de la cuenta. Esa distinción es importante porque la instrucción alterada puede provenir de una cuenta legítima. Un aviso de seguridad pública chino que transmite la advertencia de investigación criminal del Ministerio de Seguridad Pública también describe buzones intrusos que envían nombres y cuentas de beneficiarios alterados, y recomienda la confirmación por teléfono, fax u otra ruta antes del reembolso.

Una llamada de retorno no es independiente si la nueva factura proporcionó el número. No permita que el llamante evite la verificación confirmando solo los últimos cuatro dígitos que usted lee en voz alta; pida al contacto conocido que identifique el cambio con sus propias palabras y dirija la respuesta a la persona financiera autorizada. Registre la fuente del número, el llamante, la contraparte, la hora, las preguntas, las respuestas y cualquier segunda confirmación.

25-30 minutos: clasificar y asignar propietarios

No libere dinero simplemente porque la llamada de retorno sonó tranquilizadora. Clasifique la solicitud como proceder, retener, rechazar, o incidente. Proceder requiere confirmación independiente, una relación de beneficiario resuelta y aprobación dual. Retener significa que los hechos permanecen abiertos. Rechazar significa que el proveedor contradice la instrucción o que la evidencia controlada no la reconcilia. Incidente significa que se envió dinero, que un canal de comunicación puede estar comprometido o que las acciones bancarias/de seguridad están activas.

Nombre propietarios para cuatro preguntas separadas: identidad del proveedor y relación, datos de pago antiguos frente a nuevos, evidencia de comunicación/seguridad y autoridad de liberación. No se debe permitir que un vendedor responda las cuatro preguntas.

Compare toda la ruta de pago

«Cambiamos de banco» puede ocultar varios cambios. Compare valores exactos y conserve la fuente de cada valor. Enmascare los números de cuenta en notas de trabajo generales según la política, pero haga que el revisor controlado compare los valores completos.

No basta con que coincida el nombre del beneficiario. La sucursal de Guangdong de la Administración Estatal de Cambios de China publicó un caso en el que un revisor bancario observó que el cuenta y dirección diferían del registro establecido aunque el nombre del destinatario pareciera consistente. La confirmación independiente mostró que no se había autorizado ningún cambio y se detuvo el pago. La comparación campo por campo generó la duda que una verificación solo por nombre habría pasado por alto.

Tres estructuras requieren evidencia diferente

Misma entidad legal, nueva cuenta

Este es el cambio más limitado. El proveedor registrado exacto sigue siendo el beneficiario mientras cambian el banco, la sucursal, la moneda de la cuenta o el número de cuenta. Obtenga una confirmación independiente, una instrucción escrita autorizada, la fecha de entrada en vigor y el motivo, una comparación completa de la información antigua/nueva y una aprobación dual antes de actualizar el registro maestro. Un nombre registrado coincidente ayuda a resolver la identidad; no demuestra la titularidad de la cuenta.

Empresa relacionada diferente o cobrador de exportaciones

Un proveedor del continente puede proponer una filial de Hong Kong, una empresa comercial, un exportador o una entidad de cobro. Esta estructura puede ser legítima, pero una marca inglesa compartida o una declaración de «nuestra empresa del grupo» no lo documenta. Obtenga la identidad legal exacta de la otra entidad, su papel en la factura y el envío, evidencia de la relación, autorización escrita para el cobro y una respuesta clara sobre quién sigue siendo responsable de la entrega, los defectos, los reembolsos y el cumplimiento del contrato.

Revise la estructura a través del flujo de trabajo de relación de beneficiarios. Cuando también cambia el emisor de la factura, el análisis de discrepancia entre factura y beneficiario debe mostrar todas las partes de la transacción. Puede ser necesaria una revisión legal o de cumplimiento; los datos de la empresa por sí solos no pueden decidir si el pago a otra entidad satisface el contrato.

Empresa no relacionada o cuenta personal

Un amigo, empleado, agente de divisas, cobrador temporal o cuenta personal constituye una excepción material, no una actualización administrativa. Un pequeño pago de prueba solo demuestra que la cuenta puede recibir dinero. No demuestra el derecho al pago del pedido ni otorga al comprador una reclamación de recuperación clara. Mantenga la transferencia en espera y escáluela conforme a las normas de finanzas, legales, fiscales, sanciones y cumplimiento del comprador.

Una llamada de verificación exitosa no es una aprobación final de pago

Una llamada de verificación independiente responde a una pregunta de comunicación: ¿el contacto conocido del proveedor pretendía solicitar estas instrucciones? No decide si el comprador está autorizado a seguirlas. Un proveedor real puede proponer un acuerdo que entre en conflicto con el contrato firmado, cree una ruta de cobro a terceros sin soporte, cambie la factura o el tratamiento fiscal, o se salga de la política interna del comprador.

Mantenga tres conclusiones separadas en el expediente. Solicitud de autenticidad registra quién confirmó la solicitud y a través de qué canal previo al cambio. Autoridad del receptor registra por qué el beneficiario nombrado tiene derecho a cobrar esta factura y qué documentos establecen la relación. Aceptabilidad del pago registra si se satisfacen los requisitos financieros, legales, fiscales, de sanciones, de cumplimiento y contractuales aplicables al comprador. La primera conclusión no puede copiarse en las otras dos.

Si la llamada de verificación confirma una nueva filial de Hong Kong, solicite al contacto autorizado de finanzas o gestión del proveedor que proporcione los documentos de relación y cobro a través de un canal establecido. Compare la respuesta con el contrato, la factura actual, los documentos de envío y los registros de la empresa. Si el interlocutor dice «páguelo simplemente; explicaremos después», registre la respuesta y mantenga la espera. La urgencia cambia el tiempo de escalada, no el umbral de evidencia.

Cuando no se pueda contactar al interlocutor conocido, no sustituya por un número recién proporcionado, una cuenta de redes sociales o un segundo correo electrónico desde la misma bandeja de entrada. Escalone internamente, intente otro contacto previamente establecido y deje que el proveedor resuelva la brecha de comunicación. Una salida marítima perdida puede ser comercialmente dolorosa; una transferencia no verificada puede eliminar tanto el dinero como la palanca necesaria para resolver el envío.

Expediente del caso: el buzón real y la orden de compra real

El comprador ficticio Westmere Controls debe un saldo de 70% a Shenzhen Taoyun Motion Equipment Co., Ltd. La inspección ha pasado y la fecha de salida está cerca. El buzón real del vendedor habitual envía una factura revisada que nombra a Taoyun Global Trading Limited en Hong Kong. El mensaje cita la OC correcta, el monto, la fecha de inspección y la presión logística.

1. La cuenta por pagar congela la transferencia pendiente y el cambio en el maestro de proveedores en 09:12, luego guarda el mensaje original y el PDF.
2. El archivo anterior muestra al fabricante continental como vendedor contractual, emisor de la factura y beneficiario. No aparece ningún cobrador de Hong Kong en el contrato.
3. El registro de comparación muestra cuatro cambios simultáneos: beneficiario, país del banco, cuenta y emisor de la factura. Esto no se describe internamente como una simple actualización bancaria.
4. El departamento de compras llama al gerente de finanzas de la fábrica utilizando el número de oficina retenido durante la incorporación. El gerente dice que no se solicitó ningún cambio y pide a TI que inspeccione el buzón.
5. TI encuentra una regla de reenvío. Finanzas etiqueta la instrucción como rechazada, mantiene el pago retenido y acepta documentos limpios únicamente a través de canales conocidos después de que las partes aseguren el acceso.

La búsqueda de la empresa no detectó la violación del buzón. Su función fue mantener a Westmere anclado al vendedor legal mientras se revalidaban la comunicación y la evidencia del pago. La llamada de verificación independiente evitó la transferencia. Por eso el archivo de evidencia de la transferencia bancaria debe preservar tanto los registros de la entidad como el origen de las instrucciones de pago.

Escribir la decisión de liberación o rechazo

Un cierre debe indicar el ID del evento, el destinatario antiguo y el propuesto, los campos cambiados, el origen de la ruta de contacto previa al cambio, los participantes y la hora de la llamada de verificación, la conclusión sobre la entidad/relación, las excepciones pendientes, la decisión y dos aprobadores. Evite una etiqueta verde de «verificado» que oculte el recorrido.

Una nota de liberación puede leerse así: «Solicitud recibida en julio de 15; cambiaron exactamente la cuenta, la sucursal y el SWIFT mientras el beneficiario seguía siendo el vendedor registrado; el gerente de finanzas confirmó el cambio en una llamada realizada al número almacenado en marzo de 3; instrucción firmada recibida a través del portal establecido; segundo revisor comparó todos los valores; sin excepciones abiertas; maestro de proveedores efectivo en julio de 16.»

Una nota de rechazo debe ser igualmente explícita: «El gerente de finanzas del proveedor negó la instrucción de Hong Kong en una llamada saliente al número de incorporación; el pago permanece retenido; se preservó el adjunto sospechoso; el maestro de proveedores no cambió; los contactos con TI y el banco se abrieron bajo el incidente PAY-CHANGE-2026-0715-04.»

Si la transferencia ya se envió

Contacte inmediatamente al banco originador a través de su canal oficial de fraude o transferencias bancarias. Proporcione la referencia de la transacción, el monto, la moneda, la hora de envío, el beneficiario, el banco receptor y la razón de la presunta estafa. Pregunte qué procesos de recall, reversión, indemnización, contacto con el banco receptor o congelamiento están disponibles. IC3 también aconseja a las víctimas contactar a la institución financiera originadora tan pronto como se reconozca el fraude. No está garantizada la recuperación.

Preserve correos electrónicos, encabezados, archivos adjuntos, facturas, registros bancarios, notas de llamadas de verificación, registros de acceso y la comparación antigua/nueva. Notifique al proveedor a través de un canal conocido para que ambas partes puedan asegurar las cuentas afectadas sin destruir la evidencia. Cumpla con los requisitos aplicables de bancos, aseguradoras, fuerzas del orden, reguladores, asesores legales y privacidad en las jurisdicciones correspondientes.

La oficina en el extranjero del Ministerio de Comercio de China también ha advertido sobre la intrusión en buzones de correo y el cambio de cuentas de cobro contractuales, y recomienda el fax, el teléfono u otra ruta además del correo electrónico para cambios materiales de fondos o cuentas. No continúe negociando en el hilo sospechoso mientras los equipos bancarios y de seguridad intentan contener el incidente.

Construya el control antes del próximo cambio

• Almacene el vendedor registrado, la parte contractual, el emisor de la factura, el beneficiario aprobado, la ruta bancaria y las fuentes de contacto conocidas en un único registro de proveedor controlado.
• Bloquee las ediciones solo por correo electrónico para datos de beneficiario o cuenta.
• Exija una llamada de verificación saliente a un número previo al cambio y una segunda aprobación para cada cambio en la ruta de pago.
• Haga que el sistema preserve los valores antiguos y nuevos, el solicitante, el verificador, el aprobador, la marca de tiempo y la fecha efectiva.
• Vuelva a verificar toda la relación entre la empresa y la transacción cuando cambie una entidad legal, no solo los campos bancarios.
• Incluya cualquier cobrador o exportador offshore habitual en el contrato y en el expediente de incorporación antes de que aparezca una factura urgente.
• Ejecute un revisión de pedidos repetidos cuando cambien los contactos, la propiedad, las entidades de facturación o las rutas de pago.

ChinaValidate puede ayudar a resolver la identidad registrada, el estado, el nombre legal en chino, el USCC y el perfil de registro público de una empresa continental a través de la búsqueda de empresas. No puede autenticar un correo electrónico, confirmar la identidad de quien habla por teléfono, demostrar la propiedad de una cuenta bancaria ni decidir si un cobrador está autorizado según un contrato. El pago solo puede realizarse cuando se cierran esas cadenas separadas de pruebas.