No lleva malware. No hay un fallo explotado. El fraude del CEO se basa en algo mucho más antiguo: la confianza en quien manda. Alguien se hace pasar por el director general, el director financiero o un proveedor y pide una transferencia urgente y confidencial. Con la excusa del secreto profesional, la víctima se salta los procedimientos que la protegerían.
Es uno de los fraudes que más dinero mueve, y en los últimos años ha subido de nivel: ya no solo es un email, también es una voz clonada o una videollamada falsa.
Un clásico que vuelve mejorado
El esquema clásico funciona por email:
- Un mensaje que parece del director, con su firma y tono.
- «Estoy en una reunión, no me llames, contéstame por aquí.»
- La petición: una transferencia urgente, un pago a un proveedor nuevo o un cambio de número de cuenta.
- La excusa del secreto: «no lo comentes con nadie, es una operación confidencial».
Los datos del mensaje funcionan porque el atacante ha hecho su investigación: nombre, cargo, proyectos abiertos, proveedores reales de la empresa. Puede sacarlos de la web corporativa, de redes sociales o de la prensa del sector.
Las señales de siempre
- Urgencia extrema. «Necesito que lo hagas ahora, antes de que cierre la operación.»
- Petición de secreto. «No lo comentes con nadie», «no pasa por el procedimiento habitual». Es la señal más consistente.
- Canal inusual. El «director» que nunca escribe por WhatsApp lo hace justo ahora; o usa un correo parecido al suyo con una letra cambiada.
- Cambio de número de cuenta. Todo cambio de IBAN, dentro de lo urgente, es un objetivo preferente del fraude.
- El interlocutor no está disponible. «No me llames, estoy en una reunión / en un vuelo / sin cobertura.»
La nueva amenaza: voz y vídeo clonados
Con unos segundos de audio público — un vídeo en redes, una nota de voz, una intervención en un webinar — ya se puede clonar una voz de forma creíble. Hay casos reales de empresas que han transferido grandes sumas después de una videollamada con un «director» que en realidad era un vídeo manipulado.
La conclusión es incómoda pero clara: ver y oír a la persona ya no es prueba suficiente de identidad. La defensa no puede ser tecnológica, tiene que ser de procedimiento.
El protocolo que lo frena: verificación fuera de banda
«Fuera de banda» significa comprobar una petición por un canal distinto al que la recibiste, con un contacto que tú conoces:
- Llama al número de siempre. Si el número del mensaje no es el que tienes en la agenda, no llames a ese: llama al que ya conocías — o al de su secretaria.
- Doble aprobación para pagos. Nada se mueve con una sola voz, por urgente que parezca. Para pagos por encima de un umbral, dos personas de dos departamentos distintos.
- Cambio de datos bancarios = verificación sí o sí. Si un proveedor cambia su número de cuenta, llámalo a su número de siempre antes de actualizar nada (es un fraude clásico por sí solo).
- Nada de secretos operativos. Un procedimiento que solo funciona si nadie lo consulta no es un procedimiento: es una invitación.
- Acuerdo claro con dirección: si la propia dirección participa, el fraude muere. Basta con que quede escrito que «lo urgente se verifica, siempre».
Forma al departamento financiero (y a quien paga)
Los objetivos preferidos son las personas con acceso a pagos: administración, contabilidad, dirección financiera. Una sesión de 30 minutos con estos tres mensajes cubre lo esencial:
- La urgencia y el secreto son señales de alerta, no de importancia.
- Verificar no es desconfiar: es el procedimiento.
- Nadie debe ser castigado por parar un pago y preguntar. Lo caro es lo contrario.
El fraude del CEO también se prueba con simulacros internos: un correo de prueba que imita la petición, y ver quién verifica y quién no. Si quieres ideas para montarlo, en el artículo de phishing a empleados tienes el método.
Si caes: los primeros minutos cuentan
- Llama al banco inmediatamente. Si la transferencia acaba de salir, hay opciones de recuerdo urgente. Cada minuto cuenta.
- Denuncia. Guarda toda la evidencia: mensajes, cabeceras, números, horarios. La denuncia (policía, Guardia Civil) es necesaria y a veces permite paralizar movimientos.
- Reporta el incidente en INCIBE para que puedan avisar a otras empresas del mismo esquema.
- Revisa tu correo corporativo. A veces el atacante no suplanta: está dentro. Comprueba reglas de reenvío, sesiones activas y accesos recientes.
- Refuerza la identidad de tu dominio. Si suplantaron tu correo, la protección pasa por SPF, DKIM y DMARC: te lo contamos en esta guía.
La regla que lo resume
Lo urgente se verifica; lo confidencial se consulta. Ninguna empresa puede evitar que intenten el fraude. Lo que sí puede elegir es si su equipo tiene instrucciones claras para frenarlo — y si verificar es lo normal, no una heroicidad.
Si quieres saber cómo de expuesta está tu empresa (incluidos los datos que ya circulan por ahí y los correos que se envían en su nombre), empieza por la auditoría OSINT gratuita: informe en 72 horas, sin acceso a tus sistemas y sin compromiso.