Verificación por callback: por qué comprobar mediante un número registrado de antemano protege mejor que cualquier «reconocimiento»
El control más sencillo de la seguridad de pagos suele ser el más fiable. La verificación por callback no requiere sistemas caros, solo disciplina: confirmar la solicitud llamando a un número que la empresa conocía mucho antes de que esa solicitud apareciera.
Qué es la verificación por callback
La verificación por callback es un procedimiento en el que una solicitud de pago, de cambio de datos bancarios u otros datos críticos se confirma mediante una llamada de vuelta que inicia la propia empresa. No se llama al número indicado en el correo o el mensaje, sino a un contacto registrado previamente en un sistema interno, por ejemplo, en los datos maestros del proveedor o en el directorio de empleados.
La idea es sencilla: el atacante puede controlar el canal por el que se envió la solicitud, pero le resulta mucho más difícil controlar un canal independiente elegido y verificado de antemano por la empresa.
Por qué falla el «reconocimiento»
Muchos empleados están convencidos de que distinguirían «de oído» al directivo o socio real. Pero reconocer es una sensación, no una comprobación. Es fácil de engañar de varias maneras:
- una voz puede sintetizarse a partir de grabaciones de intervenciones públicas;
- el número que aparece en pantalla puede falsificarse (caller ID spoofing);
- el correo o la mensajería de la persona real pueden ser hackeados, y entonces un estilo de escritura «familiar» tampoco demuestra nada;
- bajo estrés y con prisa, las personas tienden a «completar» una imagen conocida.
Una regla que conviene fijar en la política: reconocer una voz, un rostro, un número o un estilo de escritura no es motivo para aprobar un pago. El único motivo válido es un procedimiento completado con éxito.
Reglas de un callback correcto
- Números solo de una fuente interna. Datos maestros, contrato, formulario de alta de la contraparte; nunca la firma de un correo ni un número dictado durante una llamada.
- La llamada la inicia la empresa. Una llamada entrante «para confirmar» no es verificación por callback, aunque el número coincida.
- Un ejecutor independiente. Lo ideal es que la comprobación la realice alguien distinto del empleado que recibió la solicitud.
- Preguntas concretas. Se confirman el contenido de la solicitud, el importe y la cuenta del beneficiario, no un genérico «sí, somos nosotros».
- Registrar el resultado. Quién llamó, cuándo, a qué número y qué se confirmó: todo queda anotado en un registro o en la ficha del pago.
- Cambiar contactos es un procedimiento aparte. Actualizar un número de teléfono en los datos maestros también requiere verificación a través del contacto anterior, ya conocido.
Errores frecuentes
La verificación por callback falla con más frecuencia por las excepciones que por la tecnología. «El director está en un avión y no puede contestar», «el proveedor ha cambiado todos sus teléfonos», «es urgente, ya lo comprobaremos después»: son justo las frases que se usan en los escenarios de fraude.
Otro error habitual es llamar al número que aparece en el mismo correo que anuncia el cambio de datos bancarios. Si el correo es falso, el número también pertenece al atacante y la «comprobación» solo confirmará el fraude.
Checklist breve
- El callback es obligatorio para cualquier cambio de datos bancarios y para los pagos que superen un umbral definido.
- Los contactos se toman solo de los datos maestros, que se actualizan mediante un procedimiento específico.
- La llamada la inicia la empresa y el resultado queda registrado.
- No es posible omitir la comprobación, ni siquiera a petición de la dirección.
- El empleado que detiene un pago sospechoso recibe apoyo, no una reprimenda.
La verificación por callback funciona precisamente porque no depende de la intuición humana. No pregunta «¿suena creíble?», sino «¿lo ha confirmado un canal independiente?». — Redacción de Sentinel Ledger
