La transferencia que nunca llegó: redirección ACH y fraude BEC contra agencias de corretaje y mesas de factoring

Cuando el atacante quiere dinero en lugar de carga, el arma es el Compromiso de Correo Empresarial (BEC). No hay fuegos artificiales de malware — solo la toma silenciosa de una bandeja de entrada, unas semanas leyendo cómo funcionan sus pagos, y luego un único correo perfectamente cronometrado que redirige un pago a la cuenta del atacante. Para cuando alguien reclama la factura vencida, la transferencia ACH ya se procesó y el dinero es irrecuperable.

Por qué es hoy la amenaza financiera dominante

El BEC representó el 73% de los incidentes cibernéticos denunciados en 2024, frente al 44% el año anterior, y el FBI estima las pérdidas acumuladas por BEC en unos 55.000 millones de dólares en la última década. En investigaciones más amplias de fraude de pagos, el 79% de las organizaciones enfrentó intentos de fraude de pagos en un solo año, con la suplantación de terceros y de proveedores como tácticas principales. Para la carga, eso recae de lleno en las agencias de corretaje y las mesas de factoring, donde los flujos de pago multiparte crean justo las grietas que los atacantes explotan.

La anatomía de un golpe de redirección ACH

1. Acceso. El atacante hace phishing a una bandeja de broker, transportista o factoring — o compra las credenciales. 2. Reconocimiento. Observa en silencio: quién paga a quién, en qué ciclo, en qué tono. A menudo crea una regla oculta de bandeja para que el dueño real nunca vea los hilos relevantes. 3. El giro. Haciéndose pasar por un proveedor, transportista o empresa de factoring conocidos, envía datos bancarios "actualizados" por una factura que de verdad está pendiente. 4. El cobro. El pago cae en una cuenta mula y se mueve en horas. 5. El descubrimiento. Días o semanas después, la parte legítima pregunta dónde está su dinero. Ahora es una disputa y una pérdida, no una recuperación.

Por qué las mesas de factoring son un blanco favorito

El factoring ya implica un tercero entre transportista y broker, más un ritmo constante de facturas y remesas. Esa complejidad es cobertura. Un estafador que construye algo de credibilidad — pagando primero unas cargas limpias — puede luego manipular el proceso: disputa falsa, datos de remesa "cambiados", documentación falsa. Cuantas más manos pasa un pago, más fácil es deslizar una instrucción fraudulenta en la cadena sin que se note.

La señal casi siempre es un cambio de datos de pago entregado por correo bajo presión de tiempo. Trate todo mensaje de "cambió nuestra cuenta bancaria" como culpable hasta verificarlo con una llamada a un número que usted ya tenía.

Cómo detenerlo de verdad

Dos capas hacen el trabajo pesado. Primero, seguridad de correo y protección de identidad que evite que las bandejas sean comprometidas en primer lugar y que marque cambios sospechosos en las reglas de bandeja. Segundo, monitoreo de fraude de pagos afinado al flujo de pago de la carga — vigilando nuevas instrucciones bancarias, solicitudes de pago anómalas y las huellas de comportamiento de una toma de cuenta — junto con una regla de proceso rígida: cualquier cambio en los datos de pago dispara una llamada de verificación antes de que el dinero se mueva. La tecnología más una pausa obligatoria le gana a cualquiera de las dos por separado.

Reportes relacionados

• ★Ciberseguridad para empresas de transporte — el programa completo
• ★El manual de suplantación de brokers que desangra a transportistas en 2026
• ★Qué detecta realmente un SOC 24/7 dentro de la red de un transportista

¿Quiere poner a prueba su agencia o mesa de factoring contra el fraude de redirección ACH? Solicite una verificación de exposición gratuita — sin discurso de venta, respuesta en 72 horas.