El fraude del CEO: cuando el timo entra por un email interno

Lunes, 9:47 de la mañana. La responsable de administración de una empresa de logística en Murcia recibe un correo de su director general. El asunto dice: "Transferencia urgente — confidencial". El cuerpo del mensaje le pide mover 18.400 euros a una cuenta en Lituania antes del mediodía para cerrar una adquisición que no puede trascender todavía. Le pide que no lo comente con nadie. El director está de viaje. Ella transfiere el dinero. Cuatro horas después, cuando llama al director para confirmar, descubre que él no ha enviado ningún correo.

El fraude del CEO (también llamado BEC, Business Email Compromise) consiste en suplantar a un alto cargo de una empresa para ordenar transferencias urgentes a cuentas bajo control del estafador. No requiere ningún software malicioso. Solo un correo creíble, un momento de presión y un procedimiento de verificación que nadie activó. En España, el Centro de Respuesta a Incidentes de Seguridad (INCIBE) lo señala como uno de los fraudes con mayor impacto económico en pymes.

¿Cómo funciona por dentro el fraude del CEO?

El timo sigue una mecánica casi industrial. Primero, el estafador investiga. Consulta LinkedIn para identificar al director general, al responsable financiero y a quien gestiona los pagos. Revisa la web corporativa, las notas de prensa y los perfiles públicos. Con eso construye un mapa de quién manda a quién y quién ejecuta las órdenes.

Después, falsifica. No necesita entrar en el correo real del director. Le basta con registrar un dominio que se parezca al original —empresa-sl.com en lugar de empresa.com, o empresasl.net— y enviar el mensaje desde ahí. A veces basta con cambiar el nombre visible del remitente para que aparezca el nombre del director aunque la dirección real sea una cuenta de Gmail cualquiera.

El momento lo elige con cuidado: el director está de viaje, es viernes por la tarde, hay una feria del sector. La excusa siempre incluye urgencia y confidencialidad. Las dos juntas paralizan el protocolo normal de verificación.

Cuando el empleado transfiere, el dinero sale de España hacia cuentas intermedias en el extranjero. Recuperarlo es extremadamente difícil una vez que la transferencia se ha ejecutado.

¿Qué señales delatan un correo de fraude del CEO?

El correo está diseñado para no levantar sospechas a primera vista. Pero si lo miras despacio, las señales están ahí.

• El remitente no cuadra. El nombre visible dice "Antonio Martínez" pero la dirección real es amartinez@empresa-dirección.net o ceo.empresa@gmail.com. Haz clic sobre el nombre del remitente y comprueba la dirección completa antes de hacer nada más.
• La urgencia está fabricada. "Antes del mediodía", "sin falta hoy", "es crítico que nadie más lo sepa". La presión de tiempo existe para que no pienses. Ninguna transferencia legítima muere si tardas diez minutos en confirmarla por teléfono.
• La cuenta de destino es nueva o extranjera. Si tu empresa nunca ha pagado a ese banco o a ese país, es una señal de parada. El fraude BEC casi siempre usa cuentas en países donde la recuperación de fondos es mínima.
• El tono no encaja. Tu director lleva años escribiéndote. ¿De repente usa fórmulas raras, frases demasiado formales o una despedida que no es la suya? El estafador imita, pero no conoce los tics de escritura de tu jefe.
• Pide que no lo comentes con nadie. Esta es la señal más clara de todas. Una operación legítima no necesita aislar al empleado que ejecuta el pago. Si el correo incluye esa instrucción, para. Llama. Confirma.
• No hay hilo previo ni contexto. El correo aparece de la nada, sin referencia a una conversación anterior, sin adjunto oficial, sin número de pedido. Solo la orden y el número de cuenta.

¿Cómo es el mensaje real que usa el fraude del CEO?

De: Antonio Martínez <a.martinez@empresa-grupo.net>
Para: Laura Sánchez
Asunto: Transferencia urgente — estrictamente confidencial

Laura,

Necesito que gestiones una transferencia de 22.750 € hoy antes de las 14:00. Es una operación vinculada a una adquisición que está en fase de negociación y no puede hacerse pública todavía. Por favor, no lo menciones con el resto del equipo ni con el departamento financiero hasta que yo lo confirme.

Datos de la cuenta:
Beneficiario: Baltic Trade Solutions UAB
IBAN: LT89 3250 0469 7830 0001
Concepto: Anticipo contrato 2024-REF

Confírmame por correo cuando esté hecha. Estoy en reuniones toda la mañana y no puedo coger el teléfono.

Gracias,
Antonio

Fíjate en la estructura: nombre conocido, cifra concreta, cuenta extranjera, argumento de confidencialidad, imposibilidad de llamar. Es el guión estándar. Lo único que cambia es el importe y el nombre del beneficiario.

¿Qué haces ahora mismo si recibes ese correo?

Primero: no transfieras. La urgencia es parte del diseño. Puedes permitirte dos minutos.

Segundo: llama al director por teléfono al número que ya tienes guardado. No respondas al correo ni uses ningún contacto que aparezca en ese mismo mensaje. El estafador puede estar al otro lado.

Tercero: comprueba la dirección completa del remitente. No el nombre visible: la dirección. Si no coincide con el dominio oficial de tu empresa, tienes la respuesta.

Cuarto: informa a tu responsable de informática o al equipo de dirección, aunque finalmente resulte ser un malentendido. Reportar cuesta cero. No reportar puede costar miles de euros.

Quinto: si la transferencia ya se ha ejecutado, llama a tu banco de inmediato y solicita la retrocesión. El tiempo es crítico: cuanto antes actúes, más posibilidades hay de frenar la operación. Después denuncia ante la Policía Nacional o la Guardia Civil y notifica al INCIBE a través de incibe.es.

Preguntas frecuentes

¿El fraude del CEO afecta solo a grandes empresas?

No. Las pymes son el objetivo más habitual precisamente porque tienen menos controles internos y los empleados asumen más responsabilidades sin protocolos formales de verificación. Un solo empleado autorizado a transferir sin doble confirmación es suficiente para que el timo funcione.

¿Necesitan hackear el correo del director para ejecutar el fraude?

No necesariamente. En la mayoría de los casos registran un dominio parecido al de la empresa y envían el mensaje desde ahí. No acceden a ningún sistema. Solo falsifican la apariencia del remitente, lo que hace que el timo sea más sencillo de ejecutar y más difícil de detectar sin mirar la dirección completa.

¿Qué diferencia hay entre el fraude del CEO y el phishing normal?

El phishing busca credenciales o datos personales de forma masiva. El fraude del CEO es selectivo: investiga a la empresa, personaliza el mensaje y busca una transferencia directa de dinero. El daño medio por incidente es mucho mayor y la tasa de éxito más alta porque el mensaje es más creíble.

¿Puedo recuperar el dinero si ya he transferido?

Depende de la velocidad de reacción. Si llamas al banco en las primeras horas, existe la posibilidad de retroceder la transferencia antes de que el dinero salte a otra cuenta. Pasadas 24-48 horas, las probabilidades caen de forma drástica. La denuncia es obligatoria pero no garantiza recuperación.

Diez reglas para que el fraude del CEO no cuele en tu empresa

1. Establece un protocolo de doble verificación. Toda transferencia superior a una cantidad acordada requiere confirmación por canal distinto al correo: teléfono, videollamada o presencia física.
2. Comprueba siempre la dirección completa del remitente. El nombre visible no vale. La dirección real sí.
3. Desconfía de cualquier orden que pida confidencialidad. Las operaciones reales no necesitan aislar al ejecutor.
4. Registra variaciones de tu dominio corporativo. Si alguien puede registrar tuempresa-sl.com antes que tú, ciérrales la puerta.
5. Informa a todo el equipo con acceso a pagos. No solo al departamento financiero. El fraude ataca al eslabón más accesible.
6. Nunca uses los datos de contacto del correo sospechoso para verificar. Busca el número en tus contactos previos o en la web oficial.
7. Activa el registro SPF, DKIM y DMARC en tu dominio. Son configuraciones de correo que dificultan que alguien envíe mensajes suplantando tu empresa.
8. Documenta el incidente aunque no hayas caído. Ayuda a mejorar el protocolo y a alertar al equipo.
9. Si has transferido, llama al banco antes que a nadie más. Cada minuto cuenta.
10. Denuncia siempre. En la Policía Nacional, en la Guardia Civil y en el INCIBE. No por recuperar el dinero, sino porque los datos nutren las investigaciones que frenan a los mismos grupos.