El fraude del CEO forma parte de una familia de estafas conocida como BEC (Business Email Compromise, compromiso del correo empresarial). El estafador se hace pasar por el director, el gerente o el socio de una empresa y ordena a un empleado (normalmente de administración o finanzas) una transferencia urgente y confidencial. No hace falta que la empresa sea grande: autónomos con empleados, asesorías y pymes son objetivos frecuentes, porque suelen tener procesos de pago menos formalizados.
Cómo funciona el fraude del CEO
- Investigación: el estafador estudia la empresa a través de su web, redes profesionales y notas de prensa para saber quién manda y quién paga.
- Suplantación: escribe desde una dirección muy parecida a la del directivo (una letra cambiada, otro dominio) o desde su cuenta real si la ha comprometido.
- La orden: pide una transferencia para una operación «confidencial» (una adquisición, un pago a un abogado, una multa) y exige discreción.
- La presión: insiste en que es urgente, que él está reunido o de viaje y no puede atender llamadas.
- El pago: el empleado transfiere el dinero a una cuenta controlada por la red, que lo mueve rápidamente.
Hoy algunos fraudes incorporan audios o videollamadas manipulados con inteligencia artificial, como explicamos en la guía sobre clonación de voz con IA.
Ejemplos de mensajes
- «¿Estás en la oficina? Necesito que gestiones una transferencia hoy mismo. Es confidencial, no lo comentes con nadie».
- «Estoy cerrando una operación importante. Te va a contactar nuestro abogado externo con los datos del pago».
- «Estoy en una reunión y no puedo hablar. Hazlo antes de las 14:00, por favor».
- «Compra tarjetas regalo para unos clientes y envíame los códigos».
Otras variantes del BEC
- Cambio de cuenta del proveedor: un supuesto proveedor comunica un nuevo IBAN para sus facturas. Lo tratamos en detalle en la guía sobre facturas falsas y cambio de IBAN.
- Cambio de nómina: alguien que se hace pasar por un empleado pide a recursos humanos que su nómina se ingrese en otra cuenta.
- Suplantación de asesores: falsos abogados o gestores que piden pagos por trámites urgentes.
Señales de alerta
| Señal | Por qué es sospechosa |
|---|---|
| Urgencia y confidencialidad a la vez | Impiden consultar con otros y verificar |
| Dirección de correo ligeramente distinta | Dominio falso parecido al de la empresa |
| El directivo no puede atender llamadas | Evitan la verificación por voz |
| Cuenta de destino nueva o en el extranjero | Beneficiario no habitual en los pagos de la empresa |
| Se saltan los procedimientos habituales | Buscan eludir los controles internos |
| Tono o lenguaje distinto del habitual | Puede no ser quien dice ser |
Protocolo de prevención para pequeñas empresas
- Doble verificación: cualquier pago nuevo o fuera de lo habitual se confirma por un canal distinto, llamando a un número conocido, no al que aparece en el correo.
- Doble firma: los pagos por encima de cierto importe requieren la aprobación de dos personas.
- Norma clara: la dirección nunca pedirá saltarse el procedimiento, y el empleado que lo cumpla nunca será reprendido por verificar.
- Seguridad del correo: verificación en dos pasos en todas las cuentas y configuración adecuada del dominio frente a la suplantación.
- Formación: explica estos casos al personal de administración, recepción y recursos humanos.
- Verificación del beneficiario: presta atención a los avisos del banco cuando el nombre del titular no coincide con la cuenta de destino.
Importante para empresas: en los contratos con clientes que no son consumidores, algunas protecciones de la normativa de servicios de pago pueden haberse modificado. Revisa las condiciones de tu banca de empresa.
Qué hacer si ya se ha hecho el pago
- Llama al banco de inmediato para intentar retener o recuperar la transferencia; cuanto antes se actúe, más opciones hay.
- Conserva los correos originales con sus cabeceras, sin reenviarlos ni borrarlos.
- Revisa si la cuenta de correo ha sido comprometida: cambia contraseñas y comprueba reglas de reenvío automático.
- Denuncia ante la Policía Nacional o la Guardia Civil, con todos los justificantes.
- Avisa a clientes y proveedores si crees que tu correo se ha usado para engañar a terceros.
- Consulta a tu aseguradora si tienes una póliza de ciberriesgos.
Para entender qué se puede gestionar con el banco, revisa la guía sobre reclamar una transferencia tras una estafa. Si necesitas analizar las operaciones y preparar la documentación, puedes solicitar un análisis de operaciones.
