Cómo verificamos a compradores B2B: Un caso de suplantación sospechosa de E.Leclerc

Soy Leo, especialista de ventas en ClipClop eBike. La mayoría de las mañanas se ven iguales: algunos correos mayoristas, una solicitud de catálogo, alguien preguntando por el MOQ y precios FOB. Ese es el trabajo normal para una fábrica OEM que vende en el extranjero.

Luego llegó una consulta que parecía casi demasiado perfecta.

El remitente utilizó el nombre Jeandis SAS y se presentó como subgerente de compras de JEANDIS SA, un centro de suministro vinculado a las tiendas E.Leclerc en Marmande, Francia. Solicitó un catálogo y una lista de precios. Incluyó un número de teléfono francés, una dirección en Marmande, un enlace al sitio de E.Leclerc y una firma impecable.

Un retailer europeo conocido. Una empresa que existe. Una dirección real en la calle. Una solicitud que suene a compra. Nada de forma caricaturescamente falsa.

Es por eso que este tipo de correo electrónico es difícil. La empresa en la firma puede ser legítima. La persona que le escribe aún puede no estar verificada.

No cerré el prospecto. Tampoco lo traté como calificado. Lo desarmé pieza por pieza.

Primero revisé la empresa, no el correo.

El directorio empresarial oficial de Francia registra a JEANDIS SA como una empresa activa bajo el número SIREN 383 339 595, establecida el 23 de octubre de 1991. Su sede social registrada se encuentra en RN113 Avenue François Mitterrand, 47200 Marmande. Su actividad principal son los hipermercados. Los mismos registros muestran un establecimiento E.Leclerc Express en Marmande bajo dicha empresa.

Así que la entidad legal es real. Esa parte se mantiene.

Lo que no prueba es autoridad. El registro mercantil me dice que una empresa existe. No me dice que la persona en mi bandeja de entrada trabaje allí, pueda abastecer e-bikes o tenga autorización para usar esa dirección de correo electrónico. Esa división —empresa versus contacto— es el objetivo principal de la verificación de compradores.

Luego revisé el dominio: jp@achat-jeandis.com. No pude vincular de manera independiente ese dominio con JEANDIS SA a partir de la información oficial de la empresa. Los encabezados mostraban que el mensaje se envió desde achat-jeandis.com. El SPF pasó para ese dominio de envío. También había una firma DKIM de un proveedor de seguridad de correo electrónico.

En un día de ventas ajetreado, esas marcas de verificación verdes se sienten reconfortantes. No deberían.

SPF y DKIM responden a una pregunta muy específica: ¿este mensaje fue autorizado por el dominio que lo envió? No responden la pregunta que una fábrica realmente necesita: ¿ese dominio pertenece a la empresa impresa en la firma? Un dominio puede enviar correos autenticados y aun así no tener ningún vínculo comprobado con el minorista del que toma prestado el nombre. La autenticación valida la infraestructura. No emite una credencial de compra.

También encontramos discusiones públicas sobre actividad de suplantación de identidad de E.Leclerc / JEANDIS relacionada con el mismo dominio. Eso no es una sentencia judicial. Aun así, aumentó el nivel de riesgo. Una vez que se ha hablado de un dominio en un contexto de suplantación, deje de asumir y empiece a verificar.

El texto añadió otra capa. El remitente quería nuevos productos y un catálogo. Sin modelos, cantidades, volumen anual, plazo de entrega, notas de cumplimiento ni proceso de adquisiciones. Un primer correo electrónico general no es prueba de fraude. Los compradores reales a menudo empiezan de manera amplia. Un gran minorista aún debería volverse específico antes de que el prospecto sea tratado como serio.

No envié nuestro paquete completo de precios, no compartí datos bancarios, no redacté un contrato, no envié una muestra gratis ni pagué una tarifa a terceros. No acepté una orden de compra solo por correo electrónico. Marqué la consulta como no verificada y de alto riesgo.

Esa es la diferencia entre recopilar prospectos y calificarlos.

El proceso que utilizo es sencillo.

Verifique la entidad legal en un registro oficial. No confíe en los archivos que adjunta el comprador.

Separa la empresa de la persona. Haz ambas preguntas: ¿Existe esta empresa? ¿Trabaja esta persona allí y tiene autoridad para comprar?

Inspeccione el dominio después de la @. Un nombre que contenga la marca no es automáticamente oficial.

Utilice un canal que haya encontrado por su cuenta. No llame únicamente al número que aparece en el correo sospechoso. Busque los contactos oficiales de manera independiente y pregunte si esa persona y ese correo electrónico están autorizados.

Luego, ponga a prueba la solicitud comercial. Un proyecto real por lo general desarrolla especificaciones, cantidad, destino, necesidades de cumplimiento, términos de pago y un responsable designado.

Ninguna señal de advertencia por sí sola es una sentencia. El riesgo aumenta cuando varias aparecen juntas: una empresa real con un dominio desconocido; una solicitud de catálogo sin cantidad; urgencia sin un proceso; muestras gratuitas antes de la calificación; una solicitud para pagar a un tercero desconocido; un cambio repentino de cuenta bancaria; un empleado que no puede ser confirmado de manera independiente.

No rechace todos los correos electrónicos inusuales. Aumente la verificación a medida que aumenta el riesgo.

Dentro de nuestro equipo mantengo una regla: verificar al comprador antes de optimizar el trato. Los equipos de ventas avanzan rápido: empresa, producto, precio, MOQ, pago. Otra capa se encuentra antes: identidad, autoridad, intención comercial. Solo entonces una fábrica debe hablar de muestras, POs y dinero.

Este caso no prueba que una persona nombrada haya cometido un delito.

Lo que sí demuestra es más específico. JEANDIS SA es una empresa francesa real con presencia documentada de E.Leclerc en Marmande. La consulta utilizó achat-jeandis.com y pasó el SPF para dicho dominio. Los informes públicos han analizado el riesgo de suplantación de identidad en torno al mismo dominio. La identidad detrás del correo electrónico no pudo considerarse verificada.

Ese es el estándar que quiero que otros proveedores utilicen: verificación independiente, sin pánico y sin confianza ciega.

Antes de compartir información comercial confidencial, haz las preguntas aburridas: ¿Quién es la empresa? ¿Quién es la persona? ¿Trabajan ahí? ¿El dominio está realmente vinculado a la empresa? ¿La solicitud es específica? ¿Puedes confirmar algo de esto a través de un canal que hayas encontrado por ti mismo?

Los correos electrónicos comerciales más convincentes no siempre son los más seguros. El nombre real de una empresa, una dirección real, una firma ordenada y un correo autenticado pueden coexistir junto a una identidad que aún no ha sido verificada. Unos pocos minutos de verificación pueden salvar a una fábrica de una pérdida mucho mayor.

Descargo de responsabilidad

Este artículo se basa en una consulta mayorista recibida por ClipClop eBike y en información pública sobre la empresa y seguridad. Se han omitido o generalizado los datos personales. Esto no constituye un hallazgo legal ni una acusación penal contra ninguna persona o empresa.