Fraude del CEO (BEC): Cómo Detectarlo y Frenarlo
Recibes un correo de tu director general: el tono de siempre, la firma correcta y una operación urgente y confidencial que solo puedes cerrar tú con una transferencia inmediata. No hay virus, ni enlaces raros, ni adjuntos maliciosos. Y ahí reside el peligro. El fraude del CEO no ataca a tus servidores, ataca tu confianza y tu respeto por la jerarquía. Es una de las estafas que más dinero mueve contra las empresas y, al contrario de lo que muchos creen, las pymes españolas son un objetivo cada vez más habitual.
Qué es el fraude del CEO (BEC) y por qué funciona tan bien
El fraude del CEO es la variante más conocida del BEC (Business Email Compromise, o compromiso del correo corporativo). La mecánica es sencilla de explicar y demoledora en la práctica: un atacante se hace pasar por un directivo de tu empresa —normalmente el consejero delegado o el director financiero— o por un proveedor de confianza, y desde una dirección o un dominio muy parecido al legítimo ordena una transferencia o solicita cambiar los datos bancarios de un pago pendiente.
Lo que convierte a este fraude en tan eficaz es que explota la psicología, no una vulnerabilidad técnica. Combina tres palancas que todos reconocemos: autoridad (viene de arriba), urgencia (hay que hacerlo ya) y confidencialidad (no lo comentes con nadie). Bajo presión, el cerebro toma atajos y saltamos los controles que en un día normal aplicaríamos sin pensar.
Cómo actúa el atacante, paso a paso
1. Reconocimiento: semanas estudiando tu empresa
El atacante no improvisa. Antes de escribir una sola línea investiga tu organización: quién firma los pagos, quién es el director financiero, qué proveedores habituales tenéis, cuándo viaja el CEO o cuándo cierra la empresa por vacaciones. Gran parte de esa información está pública en la web corporativa, en LinkedIn o en notas de prensa. A veces, además, ha logrado leer correos reales tras comprometer una cuenta, y por eso conoce el tono, las fórmulas internas y hasta las operaciones en curso.
2. El correo perfecto: creíble y sin ruido
El mensaje llega redactado con naturalidad, sin las faltas de ortografía del phishing tosco. Reproduce la firma, imita el estilo del directivo y plantea una excusa verosímil: una adquisición confidencial, un pago a un nuevo proveedor, una regularización con Hacienda. No hay adjuntos ni enlaces sospechosos que analizar; solo texto y una petición que apela a tu sentido del deber.
3. La variante del proveedor y el cambio de cuenta
Otra modalidad muy rentable no suplanta a tu jefe, sino a un proveedor real. El atacante avisa de un «cambio en los datos bancarios» y pide que la próxima factura se abone en una cuenta nueva. Si nadie verifica ese cambio por un canal distinto al correo, el dinero de una factura totalmente legítima acaba en manos del estafador.
Por qué los filtros tradicionales no lo detectan
Un antivirus o un filtro antispam básico busca adjuntos maliciosos, enlaces a webs peligrosas o patrones conocidos de malware. El fraude del CEO no lleva nada de eso: es un correo de texto plano, gramaticalmente correcto y enviado desde un dominio que a simple vista parece legítimo. Para la mayoría de los filtros convencionales, es simplemente «un correo más». Por eso hace falta una capa específica de seguridad del correo electrónico capaz de detectar suplantación e impostores, combinada con personas entrenadas para dudar en el momento oportuno.
Señales de alerta que debes reconocer
- Urgencia y presión temporal: «tiene que estar hecho antes de las 14:00», «no puedo atender llamadas ahora».
- Confidencialidad forzada: te piden que no comentes la operación con nadie del equipo.
- Salto del procedimiento habitual: se evitan los circuitos de aprobación normales «por lo excepcional del caso».
- Cambios de datos bancarios comunicados solo por correo, sin confirmación por otra vía.
- Direcciones y dominios sutilmente alterados: una letra cambiada, un «.net» por un «.com» o un dominio casi idéntico al real.
- Petición de que respondas a una dirección distinta a la habitual del remitente.
- Importes elevados hacia cuentas o países nuevos, a menudo al extranjero.
- Un contexto que encaja demasiado: el correo llega justo cuando el directivo está de viaje o ilocalizable.
Cómo protegerte: tecnología y personas, a la vez
Medidas técnicas
La base es reforzar la autenticación del correo. Los protocolos SPF, DKIM y DMARC permiten verificar que quien envía un mensaje en nombre de tu dominio está realmente autorizado y dificultan que un tercero suplante tu marca. A eso conviene sumar soluciones de email security con análisis de impostores y detección de suplantación, que evalúan el comportamiento y el contexto del mensaje, no solo su contenido. En organizaciones con más exposición, un centro de operaciones de seguridad (SOC) aporta vigilancia continua y respuesta rápida ante correos y accesos sospechosos.
Medidas humanas y de proceso
La tecnología reduce el ruido, pero la última línea de defensa siempre es una persona. La concienciación en ciberseguridad enseña a tu equipo a desconfiar de la urgencia y a reconocer las señales anteriores. Conviene practicar con casos reales: de hecho, saber cómo reaccionar cuando un empleado hace clic en algo sospechoso forma parte del mismo músculo que evita que una transferencia fraudulenta salga adelante. Y, sobre todo, hace falta un procedimiento claro de doble verificación de pagos.
Protocolo de doble verificación de pagos
Este es el control más barato y eficaz contra el fraude del CEO. Conviértelo en norma escrita y de obligado cumplimiento, sin excepciones «por urgencia»:
- Confirma siempre por un segundo canal. Ante cualquier orden de pago o cambio de cuenta recibida por correo, verifica por teléfono a un número conocido de antemano (nunca el que aparece en el propio correo).
- Usa contactos verificados. Llama al directivo o al proveedor por la vía habitual; si no responde, espera. La urgencia no justifica saltarse el paso.
- Doble autorización para importes altos. Exige la firma de dos personas para transferencias por encima de un umbral que definas de antemano.
- Trata los cambios de datos bancarios como operación crítica: ningún cambio de IBAN se aplica sin confirmación verbal con el proveedor.
- Da permiso explícito para frenar. Deja claro a todo el equipo que puede parar un pago dudoso sin miedo a represalias, aunque parezca venir «de arriba».
Preguntas frecuentes
¿Qué hago si ya se ha realizado la transferencia?
Actúa en minutos, no en horas. Contacta de inmediato con tu banco para intentar retener o revocar los fondos; la rapidez es determinante, porque el dinero se mueve muy rápido entre cuentas. Denuncia el fraude ante las autoridades y, si operas también fuera de España, puedes reportar el incidente al FBI IC3. En España, el INCIBE ofrece apoyo a empresas ante este tipo de incidentes. Conserva los correos y toda la evidencia.
¿El fraude del CEO solo afecta a las grandes empresas?
No. Aunque los casos sonados sean de multinacionales, las pymes y medianas son un objetivo preferente precisamente porque suelen tener menos controles y procesos de pago más informales. Según el FBI, el BEC provoca pérdidas cuantiosas a organizaciones de todos los tamaños en todo el mundo.
¿En qué se diferencia del phishing normal?
El phishing masivo lanza cebos genéricos a miles de destinatarios. El fraude del CEO es dirigido (spear phishing): se personaliza para tu empresa, imita a una persona concreta y persigue un objetivo económico específico, lo que lo hace mucho más creíble y difícil de detectar.
¿Basta con tener SPF, DKIM y DMARC?
Ayudan mucho a evitar la suplantación de tu dominio, pero no son suficientes por sí solos: no frenan un correo enviado desde un dominio parecido ni desde una cuenta legítima comprometida. Por eso la protección eficaz combina tecnología, concienciación y el protocolo de doble verificación.
Protege a tu empresa antes de que llegue ese correo
El fraude del CEO seguirá evolucionando porque ataca lo más difícil de parchear: la confianza. La buena noticia es que se combate con una mezcla de medidas técnicas, formación y procesos sencillos que puedes implantar esta misma semana. En Auditech ayudamos a pymes y medianas empresas a blindar su correo, formar a sus equipos y diseñar protocolos de pago a prueba de estafas. Habla con nuestro equipo y evalúa hoy mismo tu nivel de exposición.