Si tuviera que adivinar qué método de pago atacan más los delincuentes en 2026, ¿elegiría un trozo de papel que existe desde el siglo XVII, o una transferencia bancaria digital en tiempo real? La respuesta, según la última Encuesta de Fraude y Control de Pagos de la Asociación de Profesionales Financieros (AFP), es el cheque en papel. El cincuenta y ocho por ciento de las organizaciones reportaron fraudes con cheques en 2025; más que los débitos ACH (30%) y las transferencias bancarias (25%) juntos, que ni siquiera se acercan.
En general, el 76% de las organizaciones estadounidenses sufrieron intentos o fraudes de pago reales el año pasado. No es un problema de nicho que afecte a un puñado de empresas desafortunadas; es el entorno operativo predeterminado para cualquiera que mueva dinero. Y las empresas menos equipadas para absorber el golpe son exactamente las que tienen más probabilidades de sufrirlo: las pequeñas y medianas empresas sin un departamento de tesorería, un analista de fraude o un gerente de relaciones bancarias en la marcación rápida.
Si dirige una pequeña empresa y todavía emite o acepta cheques (y la mayoría lo hace), esto merece 10 minutos de su atención.
Por qué los cheques, de todas las cosas, siguen siendo el principal objetivo de fraude
Parece casi al revés. Las transferencias bancarias mueven dinero al instante y de forma irreversible, lo que debería convertirlas en un objetivo más atractivo. Pero los cheques tienen una debilidad estructural de la que carecen los sistemas de pago más nuevos: llevan toda la información que un defraudador necesita (su número de ruta bancaria, número de cuenta, firma y nombre comercial) impresa en texto plano en un trozo de papel que viaja por correo, se guarda en un cajón sin llave o se fotografía en un teléfono.
El "lavado de cheques" (eliminar químicamente la tinta de un cheque robado y reescribir el beneficiario y el monto) se ha vuelto tan común que el Servicio de Inspección Postal de EE. UU. realiza campañas de concienciación pública dedicadas. A esto se suman la falsificación directa (imprimir cheques falsos utilizando su número de cuenta y ruta a partir de un documento interceptado) y los cheques alterados (aumentar un cheque de $500 a $5,000), y se tiene un vector de fraude que es barato de ejecutar y difícil de rastrear hasta un único punto de fallo.
Aquí está la parte que debería hacer reflexionar a todo propietario de una pequeña empresa: a pesar de saber todo esto, el 72% de las organizaciones que usan cheques dijeron a la AFP que planean seguir usándolos de todos modos, y el 68% citó los requisitos de los proveedores como la razón. En otras palabras, las empresas no eligen los cheques porque piensen que son seguros; están atrapadas con los cheques porque un proveedor, un propietario o un contratista insiste en que se les pague de esa manera.
La brecha de vulnerabilidad de las pequeñas empresas
La encuesta de la AFP destaca una división que importa mucho si no dirige un departamento financiero de la Fortune 500. Las tasas de pérdida difieren marcadamente según el tamaño de la empresa: el 48% de las empresas con ingresos anuales inferiores a mil millones de dólares reportaron pérdidas financieras reales por fraude, en comparación con el 66% de las organizaciones más grandes.
A primera vista, eso suena como una buena noticia para las pequeñas empresas: menos de ellas pierden dinero. Pero léalo al revés: las organizaciones más grandes tienen capas de controles (autorización dual, equipos de fraude dedicados, pólizas de seguro diseñadas para este escenario exacto) que detectan los intentos de fraude antes de que el dinero salga del edificio, o que recuperan los fondos después a través de relaciones bancarias y recursos legales que una empresa de cinco personas simplemente no tiene. Cuando el fraude logra colarse en una pequeña empresa, normalmente no hay red de seguridad. La pérdida no la absorbe un programa de seguro corporativo; sale directamente del flujo de caja del propietario.
Ese es el verdadero titular enterrado en esta encuesta: las pequeñas empresas no son atacadas menos porque sean menos vulnerables. A menudo son atacadas menos porque son objetivos más pequeños con cheques más pequeños que robar. Pero cuando un ataque tiene éxito, una pequeña empresa tiene mucho menos margen para absorberlo.
El compromiso de correo electrónico empresarial también está aumentando rápidamente
Los cheques no son la única historia. El compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés), donde un defraudador se hace pasar por un proveedor, ejecutivo o cliente por correo electrónico y solicita una transferencia bancaria o un cambio en los datos bancarios de pago, afectó al 74% de las organizaciones encuestadas en 2025, un salto brusco con respecto a años anteriores.
La versión clásica: alguien envía un correo electrónico desde lo que parece ser la dirección de su CFO ("un favor rápido, necesito que transfieras $8,000 a esta nueva cuenta de proveedor hoy, estoy en reuniones"). La versión más sofisticada que aparece ahora: un defraudador que realmente ha comprometido o suplantado el hilo de correo electrónico de un proveedor real, y envía una factura con datos bancarios "actualizados" que dirigen su pago legítimo directamente a su cuenta. Si su proceso de contabilidad trata cada factura enviada por correo electrónico como confiable sin un paso de verificación, está expuesto a esto, independientemente del tamaño de la empresa.
La encuesta de la AFP también señaló algo más nuevo por primera vez este año: audio y video deepfake generados por IA utilizados para hacerse pasar por ejecutivos en llamadas telefónicas o de video, solicitando transferencias bancarias urgentes. Sigue siendo una amenaza emergente más que generalizada, pero es la dirección hacia la que se dirige el fraude, y significa que "escuché la voz del CEO, así que debe ser real" ya no es una suposición segura.
La brecha de adopción de la IA: una oportunidad, no solo una advertencia
Solo el 17% de las organizaciones encuestadas utilizan actualmente herramientas de IA para la mitigación del fraude, aunque las que lo hacen reportan beneficios significativos: el 49% vio una mejora en la eficiencia de la denuncia de fraudes, el 45% reportó una mejor detección de deepfakes y el 43% vio una identificación más rápida de fraudes en tiempo real.
Para una pequeña empresa, "usar IA para la detección de fraudes" no tiene por qué significar construir algo personalizado. La mayoría de las plataformas bancarias comerciales modernas y herramientas de tesorería ahora incluyen detección de anomalías básica (marcar un pago que es inusualmente grande, va a un nuevo beneficiario o tiene un momento extraño en comparación con sus patrones normales) en su oferta estándar. La brecha que describe la encuesta de la AFP no es realmente una brecha de IA; es una brecha de adopción. Las herramientas existen y a menudo ya están incluidas en la cuenta comercial de su banco. La mayoría de las empresas simplemente no las han activado.
Una lista de verificación práctica para la prevención del fraude para pequeñas empresas
No necesita un departamento de tesorería para reducir significativamente su riesgo de fraude. Esto es lo que realmente marca la diferencia, aproximadamente en orden de costo-beneficio:
1. Active Positive Pay
Positive Pay es un servicio que la mayoría de los bancos comerciales ofrecen (a veces por una pequeña tarifa mensual, a veces gratis con una cuenta comercial) que compara cada cheque presentado para el pago con una lista de cheques que realmente ha emitido. Si el número de cheque, el monto o el beneficiario no coinciden con lo que le dijo al banco que escribió, se marca antes de que se cobre, no después. Dado que los cheques son el método de pago más atacado, este es el control de mayor impacto en esta lista, y a menudo está sin usar en su portal de banca en línea en este momento.
2. Agregue bloqueos o filtros de débito ACH
Si no autoriza débitos ACH automáticos de proveedores, puede bloquearlos por completo a nivel bancario, o configurar filtros que solo permitan débitos de una lista preaprobada de empresas y montos. Esto cierra el segundo método de pago más atacado con un solo cambio de configuración.
3. Exija una llamada de verificación para cualquier cambio de datos bancarios
Esto es gratuito y toma cinco minutos de implementar: si un proveedor, contratista o "ejecutivo" envía un correo electrónico pidiéndole que envíe el pago a una nueva cuenta bancaria, verifíquelo por teléfono, utilizando un número que ya tenga en archivo, no uno proporcionado en el correo electrónico, antes de enviar nada. Este único hábito derrota la mayoría de los ataques BEC, porque todo el esquema del defraudador depende de que usted confíe en el correo electrónico a primera vista.
4. Separe quién aprueba los pagos de quién los envía
Incluso en una empresa de dos o tres personas, que una persona ingrese un pago y otra diferente lo apruebe antes de que salga crea un control natural (sin juego de palabras) contra el fraude externo y los errores internos. Si es un operador verdaderamente solitario, el sustituto es una demora obligatoria de 24 horas en cualquier pago nuevo o inusualmente grande, lo que le da una ventana de reflexión para verificarlo dos veces.
5. Concilie semanalmente, no mensualmente
El fraude detectado en cuestión de días a menudo es recuperable; el fraude detectado después de un mes generalmente no lo es. Si su contabilidad funciona con una cadencia mensual, le está dando a un cheque fraudulento o un débito ACH hasta cuatro semanas para que se cobre, se gaste y se vuelva irrecuperable antes de que siquiera se dé cuenta de que sucedió. Aquí es donde los libros limpios y actualizados dejan de ser un "bonito de tener" y se convierten en su sistema real de detección de fraudes: no puede detectar una transacción no autorizada en una conciliación que aún no ha realizado.
Por qué sus hábitos de contabilidad son su primera línea de defensa
Cada control de esa lista (positive pay, filtros ACH, verificación mediante llamada, aprobación dual) depende de un hábito subyacente: saber exactamente qué debería haber en sus cuentas en un momento dado, para que cualquier cosa inesperada resalte de inmediato. Una empresa que concilia a diario o semanalmente con un libro de contabilidad claro y detallado detectará un cheque fraudulento de $4,000 en cuestión de días. Una empresa que concilia una vez al mes con una hoja de cálculo que nadie ha abierto en tres semanas podría no detectarlo hasta que el dinero se haya ido hace mucho tiempo.
Este es uno de los argumentos más silenciosos para mantener sus libros en un formato que realmente pueda auditar línea por línea, en lugar de una aplicación de caja negra que resume su posición de efectivo sin mostrar el rastro de transacciones subyacente. Beancount.io le ofrece contabilidad en texto plano y controlada por versiones: cada transacción es una entrada legible y con marca de tiempo que usted (o su contable) puede revisar, comparar y conciliar con su extracto bancario sin tener que buscar a través de una interfaz propietaria. Cuando algo parece extraño, puede ver exactamente qué cambió y cuándo. Comience gratis y vea cuánto más fácil resalta el fraude cuando sus libros están realmente diseñados para ser leídos.