Fraude Del CEO: Cómo Funciona y Cómo Blindarse

El fraude del CEO es el ciberataque con mejor relación esfuerzo-beneficio que existe. No hace falta malware, ni exploits, ni conocimientos técnicos avanzados: basta con un correo bien escrito, dirigido a la persona adecuada, en el momento adecuado. Y funciona porque no ataca a los sistemas, ataca a la jerarquía.

Este artículo explica cómo opera el atacante paso a paso, qué controles lo detienen de verdad y qué hacer en la primera hora si la transferencia ya ha salido.

Qué es exactamente

También llamado BEC (*Business Email Compromise*), consiste en suplantar a un directivo —normalmente el director general o el financiero— para conseguir que un empleado con capacidad de pago realice una transferencia urgente a una cuenta controlada por el atacante.

El fraude del CEO es una estafa de ingeniería social pura. Los filtros antispam no la detectan bien porque el correo no lleva adjuntos maliciosos ni enlaces sospechosos: solo texto.

Cómo funciona el fraude del CEO, paso a paso

1. Investigación

El atacante estudia la empresa durante semanas. Y no necesita hackear nada: lo saca de fuentes públicas. LinkedIn le da el organigrama y quién lleva la tesorería. La web corporativa, las notas de prensa y el Registro Mercantil le dan operaciones en curso, socios y proveedores. Las redes sociales del propio directivo le dicen cuándo está de viaje.

2. Elección del momento

No es casual. Los ataques se concentran en viernes por la tarde, vísperas de festivo y periodos de vacaciones, cuando el directivo suplantado está ilocalizable y quien recibe la orden no puede contrastarla.

3. El correo

Llega de una de estas tres formas, en orden creciente de peligro:

Dominio parecido (*typosquatting*): cambiar una letra, usar `rn` en lugar de `m`, registrar el `.net` en vez del `.com`. Casi imperceptible en un móvil.
Nombre para mostrar falseado: el remitente real es una dirección gratuita, pero el nombre que aparece es el del director. En el cliente de correo del móvil, muchas veces solo se ve el nombre.
Cuenta real comprometida. La más peligrosa: el atacante ha entrado de verdad en el buzón del directivo, y a veces lleva semanas leyendo la correspondencia, aprendiendo el tono y esperando una operación real que interceptar.

4. La presión

El mensaje combina siempre los mismos ingredientes: urgencia, confidencialidad («no lo comentes con nadie, estamos en plena negociación»), autoridad y excepcionalidad («esta vez saltamos el procedimiento habitual»).

Esa combinación es la firma del fraude. Cualquier petición que reúna las cuatro cosas es sospechosa por definición, venga de quien venga.

5. La variante del proveedor

Una versión igual de dañina no suplanta al jefe, sino a un proveedor habitual: el atacante avisa de un «cambio de cuenta bancaria» para las siguientes facturas. Como la relación comercial es real y las facturas también, pasa desapercibida durante meses.

6. La videollamada

La evolución más reciente y la que rompe el consejo clásico de «llama para confirmar». Se han documentado casos en los que la validación se hizo por videoconferencia y los participantes eran recreaciones sintéticas del directivo, generadas a partir de vídeos públicos.

Esto no invalida la verificación: cambia el canal que sirve para verificar. Una videollamada entrante ya no es prueba de identidad. Una llamada saliente al número que tú tienes guardado, sí.

Las señales que delatan un fraude del CEO

Urgencia desproporcionada y plazos de horas.
Petición de confidencialidad que aísla a la víctima de sus compañeros.
Salto del procedimiento habitual de pagos.
Cambio de cuenta bancaria de un proveedor conocido, especialmente a otro país.
La dirección de respuesta no coincide con la del remitente. Es el detalle técnico más delatador: el `Reply-To` apunta a otro dominio.
Pequeños fallos de estilo: un tratamiento que ese directivo nunca usa, una firma con formato distinto, un idioma demasiado correcto o demasiado forzado.
Insistencia en comunicarse solo por correo o por un móvil nuevo.

Los controles que de verdad lo frenan

Ningún producto resuelve esto solo. Lo que funciona es una combinación de proceso y tecnología.

Proceso, que es lo más eficaz

Doble validación para pagos por encima de un importe. Dos personas, siempre, sin excepción por jerarquía.
Verificación por canal alternativo. Llamada saliente al número que ya está en la ficha del contacto, nunca al que aparece en el correo.
Procedimiento escrito para el cambio de cuenta bancaria de un proveedor: verificación telefónica con un interlocutor conocido, más confirmación documental.
Regla explícita de que la urgencia no salta controles, comunicada por la dirección. Esto es clave: el empleado tiene que saber que no le van a reprochar haber verificado una orden del director general.
Límites de importe por usuario en la banca electrónica.
Formación con casos reales y simulacros. Media hora al año cambia mucho.

Tecnología, que ayuda

SPF, DKIM y DMARC correctamente configurados en vuestro dominio, con DMARC en política de rechazo. Impide que suplanten vuestro dominio hacia fuera.
Etiquetado automático de correo externo, con un aviso visible en el cuerpo del mensaje.
Registro de dominios parecidos al vuestro, para que no los registre otro.
Doble factor en todos los buzones, que es lo que evita el escenario de cuenta comprometida.
Reglas de alerta ante creación de reenvíos automáticos en buzones, una señal muy típica de buzón comprometido.
Revisión periódica de reglas de bandeja de entrada, donde el atacante esconde los correos que no quiere que la víctima vea.

Si ya se ha hecho la transferencia: la primera hora

El dinero se mueve rápido, pero hay una ventana de reacción. En orden y sin perder tiempo:

Llama al banco inmediatamente y solicita la retrocesión o el bloqueo de la operación. Cuanto antes, más posibilidades. Es la llamada más urgente de todas.
Contacta con el banco destinatario si es posible, a través del vuestro.
Denuncia ante Policía Nacional o Guardia Civil. Aporta correos completos con sus cabeceras, no capturas de pantalla.
Conserva todas las evidencias y no borres nada: correos, registros del servidor, accesos.
Comprueba si hay un buzón comprometido. Si el atacante estaba dentro, sigue dentro. Cambia contraseñas, revisa reglas de reenvío y cierra sesiones abiertas.
Avisa a INCIBE a través de su línea de ayuda en ciberseguridad (017) para orientación.
Valora si hay brecha de datos personales y si procede notificar a la Agencia Española de Protección de Datos en el plazo legal.
Comunícalo internamente sin buscar culpables. El empleado que cayó fue el objetivo, no el causante, y ocultarlo por vergüenza es lo que permite que se repita.

Un guion de tres frases para el equipo financiero

De poco sirve la teoría si en el momento la persona no sabe qué decir. Este es el guion que conviene tener pegado al monitor de quien ordena pagos:

«Perfecto, lo tramito. Sigo el procedimiento: te llamo al número que tengo en ficha para confirmarlo y lo valida también [nombre]. En cuanto lo tenga, sale.»

Tres frases que no acusan a nadie, no discuten la autoridad y hacen imposible el fraude del CEO, porque el atacante no puede superar la llamada saliente ni la segunda firma. Si quien está al otro lado es de verdad el director general, contestará que perfecto. Si insiste en saltarse el procedimiento, ya tienes tu respuesta.

Preguntas frecuentes

¿El fraude del CEO solo afecta a grandes empresas?

Al contrario. Las pymes son objetivo preferente porque suelen tener procedimientos de pago menos formalizados y una jerarquía más corta, donde una orden del gerente no se cuestiona.

¿Sirve el antivirus contra esto?

Poco. No hay fichero malicioso que detectar. Ayudan las herramientas de seguridad del correo que analizan suplantación de identidad y anomalías de comportamiento, pero el control decisivo es el procedimiento de pago.

¿Cómo sé si mi dominio está bien protegido?

Comprobando que tenéis SPF, DKIM y DMARC publicados y que DMARC está en política de rechazo, no solo en modo observación. Es una revisión de una mañana y evita que suplanten vuestro dominio hacia clientes y proveedores.

¿Y si el correo viene de la cuenta real de mi jefe?

Entonces hay un buzón comprometido y el problema es mayor que la transferencia. Por eso el control que nunca falla no es mirar el remitente, sino verificar por otro canal: si la petición es legítima, confirmarla cuesta un minuto.

¿Cubre el seguro estas pérdidas?

Algunas pólizas de ciberriesgo incluyen fraude por transferencia, pero suelen exigir que existan controles documentados. Revisa las condiciones antes de necesitarlas, no después.

En resumen

El fraude del CEO no se para con tecnología, se para con un procedimiento que nadie puede saltarse por jerarquía ni por urgencia. Doble validación, verificación por llamada saliente al número conocido, protocolo escrito para cambios de cuenta bancaria y doble factor en todos los buzones.

Y una frase que conviene que diga la dirección en voz alta: aquí nadie va a tener problemas por verificar una orden de pago. Ese permiso explícito vale más que cualquier producto de seguridad.

Enlaces internos sugeridos: «Los 5 Mayores Casos de Phishing en España», «¿He Abierto Un Correo Sospechoso Pasa Algo?», «Problemas De Seguridad Informática Más Comunes En Empresas».