18 de agosto de 2025
Introducción
Reducir el fraude en la firma electrónica no consiste en añadir controles después de que aparezca una incidencia. El momento decisivo es anterior al envío: hay que saber qué amenazas pueden afectar al documento, qué señales obligan a detener el proceso y quién tiene autoridad para investigar o reanudar el flujo.
En un mandato comercial sensible, los riesgos pueden aparecer en distintos puntos. Un atacante puede intentar sustituir al destinatario, desviar la invitación, presentar una versión distinta del documento, utilizar unas credenciales comprometidas o aprovechar una representación no verificada. También puede haber señales legítimas —como un cambio de dispositivo o varios intentos fallidos— que requieren contexto antes de calificarlas como fraude.
Por eso, una política antifraude eficaz combina prevención, detección, contención y preservación de evidencia. Esta guía explica cómo organizar esos controles sin convertir cada anomalía en una acusación ni dejar decisiones críticas a la improvisación.
Modelar las amenazas antes de enviar el documento
El primer paso es analizar cómo podría fallar el proceso concreto. No basta con una lista genérica de riesgos de ciberseguridad: cada amenaza debe relacionarse con una etapa del flujo y con una barrera que pueda reducirla.
Para un documento sensible, conviene considerar escenarios como:
- suplantación del destinatario;
- acceso a una cuenta o buzón comprometido;
- reenvío del enlace de firma a un tercero;
- sustitución del documento o de sus anexos;
- firma por una persona que no tiene las facultades previstas;
- modificación de datos del destinatario durante el proceso;
- reutilización incorrecta de documentos o evidencias de una operación anterior;
- pérdida del historial necesario para investigar una incidencia.
Una matriz sencilla puede relacionar cada amenaza con tres elementos: control preventivo, señal observable y acción cuando la señal aparece.
La señal que obliga a interrumpir el flujo debe definirse antes del incidente. Si se decide únicamente cuando aparece un caso sospechoso, dos analistas pueden tratar de forma distinta la misma situación.
Proteger el destinatario y el canal de entrega
El canal de invitación forma parte del modelo de riesgo. Una solicitud enviada al correo correcto puede dejar de serlo si posteriormente alguien pide reenviar el enlace a una dirección no verificada o cambiar al destinatario sin una comprobación adecuada.
Para documentos sensibles, la organización debería definir qué datos del destinatario se validan antes del envío y quién puede modificarlos. Un cambio relevante —por ejemplo, nueva dirección, nuevo firmante o sustitución del representante— debería quedar registrado y, cuando el riesgo lo justifique, requerir una nueva verificación.
Esto no significa que el correo electrónico sea siempre suficiente o insuficiente. El nivel de control depende del documento y del riesgo. Lo importante es que el equipo sepa qué canal se considera válido para el caso y qué procedimiento sigue cuando ese canal cambia.
También conviene limitar la información sensible incluida en la invitación. El mensaje debe permitir al destinatario reconocer la operación sin exponer innecesariamente datos del contrato o de otros participantes.
Confirmar que persona, documento y facultades corresponden al mismo acto
La identidad del firmante y la integridad del documento responden a riesgos diferentes. Una autenticación fuerte no evita que se presente una versión equivocada, y un archivo íntegro no demuestra por sí solo que la persona tenga facultades para firmarlo.
Antes de cerrar un flujo de mayor riesgo, la evidencia debería permitir responder, dentro de las capacidades del método utilizado, a preguntas como estas:
- ¿Qué versión del documento recibió el firmante?
