Centros de estafas y riesgo empresarial

Cómo la inteligencia y la contrainteligencia ayudan a proteger a las organizaciones

Por Gustavo Ibáñez Padilla.

Quien trabaja en una organización conoce el ritmo de las decisiones cotidianas: responder mensajes, autorizar pagos, contratar servicios y resolver pedidos urgentes. La experiencia y la confianza permiten avanzar. Sin embargo, entre esas tareas habituales puede aparecer una solicitud que merece una segunda mirada. ¿La información es auténtica? ¿La persona que escribe es quien dice ser? ¿Qué convendría comprobar antes de actuar?

Estas preguntas nos acercan a la inteligencia y la contrainteligencia empresarial. La primera ayuda a comprender el entorno y anticipar riesgos; la segunda contribuye a detectar engaños y proteger información y relaciones de confianza. [5] Su utilidad se aprecia mejor cuando observamos cómo se organiza el fraude.

Un informe del Grupo de Acción Financiera Internacional (GAFI), publicado el 5 de noviembre de 2026, ofrece una perspectiva reveladora. Los llamados centros de estafas forman parte de redes criminales transnacionales que pueden combinar grandes instalaciones, pequeños grupos dispersos y proveedores especializados. Aunque operen en lugares distintos, pueden estar dirigidos por los mismos organizadores, utilizar canales financieros comunes para recibir y mover dinero o depender de los mismos proveedores de tecnología, comunicaciones y otros servicios. [1]

.

Qué hay detrás de una estafa

El circuito comienza con la captación de trabajadores y la búsqueda de víctimas. Después del engaño, los fondos llegan a cuentas, billeteras digitales o intermediarios. Luego se realizan movimientos para ocultar su origen, convertirlos en otros activos o incorporarlos a negocios, y parte de las ganancias financia nuevas operaciones. [1]

El GAFI describe un modelo circular y modular: diferentes participantes pueden realizar o contratar cada tarea. También recuerda que algunas personas obligadas a ejecutar estafas son víctimas de trata. Investigar exige reconocer esas situaciones de coerción y distinguirlas de la responsabilidad de los organizadores. [2]

Para una empresa, esto invita a revisar cómo sus propios recursos podrían utilizarse sin que lo advierta. Una cuenta comercial, una campaña publicitaria, una base de contactos o un servicio tercerizado pueden facilitar parte del circuito. Comprender para qué se solicita cada recurso y comprobar la identidad de quien lo requiere ayuda a reconocer esa exposición.

Aprender a conectar las señales

El informe señala que algunos servicios son difíciles de reemplazar y que interrumpirlos puede afectar especialmente a las redes criminales. [1] Para el analista, conviene investigar qué relaciones sostienen varias operaciones y cuánto tardarían en sustituirse. Una dirección web puede cambiar con rapidez; conocer quién financia y administra varias plataformas permite comprender mejor lo que hay detrás.

Conectar señales también exige prudencia. Si varias sociedades comparten contactos o destinatarios de pagos, podría existir una dirección común, un proveedor legítimo compartido o una coincidencia. El análisis debe separar lo comprobado de lo que todavía es una interpretación, registrar las fuentes y buscar datos que pongan a prueba la explicación inicial.

Del mismo modo, una técnica de engaño semejante no basta para atribuir un fraude a un centro de estafas: establecer ese vínculo requiere más evidencia.

Los principios del GAFI proponen reunir información financiera, tecnológica y de telecomunicaciones, responder con rapidez entre países y comprobar si las intervenciones debilitan de manera duradera a las redes, aunque estas reemplacen sus recursos. [3] En una organización, un primer paso es que las áreas compartan las señales que reciben y puedan interpretarlas en conjunto.

La normalidad aparente y la Regla 99/1

La Regla 99/1 plantea que, en los sistemas complejos, largos períodos de aparente normalidad pueden ocultar vulnerabilidades que se acumulan o permanecen inadvertidas, hasta que un episodio breve concentra consecuencias decisivas. Una empresa es uno de esos sistemas: sus personas, procesos, tecnologías y relaciones comerciales dependen unos de otros. Una falla localizada puede propagarse y afectar otras actividades.

El «99» representa el tiempo disponible para observar, aprender y prepararse; el «1», el momento crítico en que esa preparación se pone a prueba. Las cifras son simbólicas, no porcentajes estadísticos universales. [4] La enseñanza es aprovechar los períodos de normalidad para corregir debilidades, incluso cuando todavía no han provocado problemas.

Imaginemos un caso hipotético: administración recibe un pedido de cambio de cuenta de un proveedor habitual. El mensaje reproduce su lenguaje y menciona una factura real. Como todo parece conocido y el pago es urgente, alguien lo aprueba. Años de operaciones sin incidentes pueden favorecer esa confianza. El punto débil aparece cuando el propio mensaje indica también a qué número llamar para verificarlo.

Esta perspectiva se desarrolla en mi libro La Regla 99/1, próximo a editarse, y encuentra su expresión práctica en Prudencia Aplicada: un marco de pensamiento y acción que integra el análisis de riesgos, la inteligencia y la preparación para decidir cuando la información es incompleta y el resultado es incierto. Su propósito es convertir lo que comprendemos sobre las amenazas y nuestras debilidades en medidas concretas de protección.

Dentro de este marco, las Acciones Prudentes Mínimas permiten comenzar por mejoras sencillas y realizables. Cada una debe reducir una vulnerabilidad identificada, tener un responsable y permitir comprobar que se cumple. Esa primera mejora puede ampliarse y sostenerse en el tiempo.

Acciones Prudentes Mínimas para comenzar hoy

─Confirmar los cambios de cuenta por otra vía. Antes de utilizar nuevos datos bancarios, tesorería debe comunicarse con un contacto previamente registrado y obtener una segunda aprobación. Llamar al número incluido en el mensaje recibido deja abierta la misma debilidad. Registrar la confirmación permite comprobar después que el control se realizó. [6]

─Cuidar los accesos al correo y a los pagos. El área de tecnología debe activar autenticación multifactor, que requiere más de una prueba de identidad, preferentemente resistente al phishing o engaño para robar credenciales. También debe revisar las sesiones abiertas y retirar accesos innecesarios. Estos controles dificultan la apropiación de cuentas; la verificación de pagos sigue siendo necesaria porque una persona legítima también puede ser engañada. [7]

─Conocer a quienes contratan con la empresa. Compras y cumplimiento deben comprobar identidad, actividad y titularidad de las cuentas. Según el riesgo, también corresponde identificar a los beneficiarios finales, las personas que en última instancia poseen o controlan la entidad. Los cobros o reintegros hacia terceros sin explicación merecen revisión. La evaluación debe basarse en hechos y contexto comercial, evitando generalizaciones por nacionalidad.

─Revisar qué información queda expuesta. Comunicación y recursos humanos deben observar qué datos públicos revelan jerarquías, ausencias, contactos y formas de autorizar operaciones. También conviene verificar a los reclutadores y las ofertas que utilizan el nombre empresarial. Así se limita el material disponible para fabricar pedidos creíbles y se detectan usos abusivos de la identidad corporativa.

─Dar permiso para detenerse y consultar. La dirección debe respaldar expresamente a quien pause una operación dudosa. Debe existir un responsable de consulta y un suplente, y también deben verificarse las instrucciones atribuidas a superiores. Un ejercicio breve con un cambio de cuenta ficticio permite comprobar si el procedimiento funciona bajo presión.

─Tener preparada la respuesta. Seguridad y finanzas deben contar con contactos bancarios verificados y saber a quién avisar y cómo conservar mensajes, comprobantes y registros. Ante una sospecha fundada, hay que contactar inmediatamente al proveedor financiero para solicitar la intervención disponible y realizar la denuncia pertinente. Actuar pronto es esencial, aunque la recuperación no está garantizada. [6]

Una capacidad al alcance de todas las organizaciones

El GAFI destaca la importancia de las primeras 24 a 72 horas posteriores a la detección o comunicación del fraude. [2] La respuesta debe comenzar de inmediato. Para evaluar la preparación, propongo observar cuánto se tarda en avisar al banco, si se verifican los cambios de pago y si se corrigen las debilidades descubiertas en incidentes o intentos frustrados.

Inteligencia y contrainteligencia cumplen funciones complementarias de anticipación y protección. [5] Incorporarlas al trabajo cotidiano requiere responsables claros, comunicación con quienes deciden y coordinación entre seguridad, finanzas, recursos humanos y asesoría jurídica, dentro de límites legales y éticos.

La inteligencia empresarial ayuda a evaluar amenazas, actores y relaciones relevantes para decidir. La contrainteligencia examina cómo podrían obtenerse o manipularse información, identidades y vínculos de confianza para perjudicar a la organización. Ambas necesitan atender a las personas y los procedimientos, además de la tecnología. Una PyME puede comenzar con un responsable capacitado y apoyo especializado; una compañía compleja necesitará una estructura acorde.

El informe reconoce que la evidencia sobre eficacia sostenida es limitada y desigual. [2] Por eso, acumular alertas no demuestra por sí solo una buena protección. Hay que revisar qué riesgos se redujeron, qué controles se eluden y cómo adaptar la respuesta cuando cambian las formas de engaño.

Toda organización necesita estas funciones, con recursos proporcionados a su exposición. Sus directivos pueden comenzar hoy: designar un responsable, elegir una decisión vulnerable y comprobar que exista una barrera efectiva antes de ejecutarla. Incorporar Inteligencia y Contrainteligencia Empresarial significa cuidar la información y el criterio con que se decide. La mejor oportunidad para hacerlo es ahora, mientras la normalidad permite prepararse y todavía estamos a tiempo de evitar una pérdida.

Fuentes

[1] Financial Action Task Force. (2026, 5 de noviembre). Combating End-to-End Illicit Financial Flows Linked to Scam Compounds: Applying the FATF Toolkit to the Fraud Epidemic. París: FATF. Presentación oficial del informe. Consultar fuente

[2] Financial Action Task Force. (2026). Combating End-to-End Illicit Financial Flows Linked to Scam Compounds: Applying the FATF Toolkit to the Fraud Epidemic. París: FATF. Resumen ejecutivo, pp. 3–5. Consultar fuente

[3] Financial Action Task Force. (2026). FATF Principles for Combating Illicit Financial Flows Linked to Scam Compounds. París: FATF. Consultar fuente

[4] Ibáñez Padilla, Gustavo. (2026, 15 de junio). La Regla 99/1: el uno por ciento que puede cambiarlo todo. Economía Personal. Consultar fuente

[5] Ibáñez Padilla, Gustavo. (2025, 12 de noviembre). La inteligencia estratégica en los negocios del siglo XXI. Economía Personal. Consultar fuente

[6] Federal Bureau of Investigation. (s. f.). Business Email Compromise; Sacramento FBI Encourages Business Community to Guard Against and Report Business Email Compromise. Fuente 1 | Fuente 2

[7] Cybersecurity and Infrastructure Security Agency y Federal Bureau of Investigation. (2024). How to Protect against Iranian Targeting of Accounts. Consultar fuente

---

Fuente: Ediciones EP, 06/11/26.

Información sobre Gustavo Ibáñez Padilla

Más información:

Vivir en un mundo incierto y complejo

Seguridad Humana Multidimensional: Una clave para enfrentar los retos contemporáneos

.

.