Cómo identifican los atacantes a quién contactar, qué técnicas de suplantación están usando actualmente, y qué hacer si un empleado recibe un mensaje sospechoso.
En los últimos meses hemos visto un incremento notable en intentos de fraude dirigidos a empresas costarricenses a través de WhatsApp — no son los mensajes genéricos de siempre, sino intentos cada vez más elaborados que se hacen pasar por proveedores, bancos o incluso compañeros de trabajo.
Cómo operan estos ataques
El patrón más común empieza con un mensaje que parece legítimo: “Buenos días, le escribo de [banco/proveedor], necesitamos confirmar un pago pendiente” o “Soy [nombre de un jefe o compañero real], estoy en una reunión y necesito que hagas una transferencia urgente.” El atacante investiga previamente a la empresa — a veces a través de LinkedIn, la página web o redes sociales — para que el mensaje suene creíble y use nombres reales.
Otra variante frecuente es la suplantación del número de WhatsApp de un contacto real (usando una foto de perfil copiada y un número parecido), pidiendo depósitos, códigos de verificación, o acceso a sistemas internos con la excusa de “soporte técnico urgente”.
Señales de alerta
- Urgencia artificial: “tiene que ser ahora”, “no puedo hablar por teléfono”.
- Piden que la comunicación sea solo por WhatsApp, evitando llamada o correo.
- Solicitan códigos de verificación (OTP) de cualquier tipo — ningún proveedor o banco legítimo los pide por chat.
- El número no coincide exactamente con el contacto guardado, aunque la foto y el nombre parezcan iguales.
- Piden cambiar una cuenta bancaria de destino para un pago ya programado.
Qué hacer
Ante cualquier solicitud de pago, cambio de cuenta bancaria, o acceso a sistemas que llegue por WhatsApp, verifique por un canal distinto (llamada al número conocido de antemano, no al que escribió el mensaje) antes de actuar. Establezca como política interna que ninguna transferencia o cambio de credenciales se ejecuta solo con base en un mensaje de chat, sin importar quién parezca ser el remitente.
Si su empresa no tiene un protocolo claro de verificación para este tipo de solicitudes, es un buen momento para definirlo — no cuesta nada y evita pérdidas que sí cuestan mucho.