Un correo del gerente a las 13:50 de un viernes: «Necesito que hagas hoy una transferencia urgente a este proveedor, estoy en una reunión y no puedo llamar. Te paso los datos. Gracias por la discreción». El correo viene de su nombre, tiene su firma y el tono es el suyo. Y es falso. Eso es el fraude del CEO —en inglés Business Email Compromise, BEC—: una estafa que no explota un fallo de tu software, sino la confianza de una persona de administración. Es uno de los fraudes que más dinero cuesta a las pymes, precisamente porque no necesita virus, ni cifrar nada, ni hacer ruido.
Cómo funciona, paso a paso
El esquema tiene siempre las mismas piezas, aunque cambie el disfraz:
- Investigación. El estafador averigua quién manda en la empresa, quién paga las facturas y cómo se escriben entre ellos. Le basta con la web, LinkedIn y, a veces, un buzón de correo al que ya ha entrado.
- Suplantación. Escribe desde un dominio parecido al de la empresa (una letra cambiada, un guion de más), desde una cuenta gratuita con el nombre del directivo, o —lo peor— desde el buzón real del jefe, si ha conseguido su contraseña.
- Presión. Urgencia, confidencialidad y una razón plausible: una compra, un anticipo, un impuesto que vence hoy. Y la petición de no llamar: «estoy en una reunión», «no me localizarás».
- El pago. Una transferencia a una cuenta que no es del proveedor, casi siempre en otro país, que se vacía en horas.
Hay dos variantes que en una pyme se ven aún más que la del jefe: el cambio de cuenta bancaria de un proveedor («hemos cambiado de banco, a partir de ahora pagad aquí») y la factura falsa que llega con el formato y el logotipo del proveedor de verdad. En las dos, el estafador ha leído antes correos reales entre las dos empresas.
Las señales que delatan el correo
- La dirección no es exactamente la de siempre. Mira el dominio letra a letra, no el nombre que aparece. «Responder» a un correo suplantado responde al estafador.
- Urgencia y secreto en la misma frase. Un directivo puede tener prisa; lo que no tiene sentido es pedir que no se compruebe nada.
- Un cambio de cuenta bancaria comunicado solo por correo. Nunca es normal, aunque el correo venga del proveedor.
- La petición se salta el procedimiento habitual: sin pedido, sin factura, sin la segunda persona que suele aprobar.
- Un tono raro. Demasiado formal, demasiado cariñoso, o con giros que esa persona no usa. Las herramientas de IA han mejorado la redacción de los estafadores, así que esta señal cada vez vale menos; las anteriores, más.
Cómo evitarlo: cuatro reglas que cuestan cero
Lo que para este fraude no es tecnología, es procedimiento. Las cuatro reglas que más protegen a una pyme:
- Toda transferencia nueva o cambio de cuenta se confirma por un segundo canal. Una llamada al número de siempre (no al que viene en el correo) o un mensaje a la persona. Sin excepciones, tampoco cuando lo pide el jefe.
- Dos personas para pagar por encima de un importe. Quien prepara la transferencia no es quien la aprueba. Casi todos los bancos permiten configurarlo.
- Nadie tiene «línea directa» que se salte lo anterior. El gerente debe saber que su gente tiene que desconfiar de un correo suyo con prisa, y agradecerlo.
- Cuéntalo en la empresa. Un equipo que conoce el fraude del CEO lo reconoce a la primera. Diez minutos en una reunión valen más que cualquier filtro.
Y la parte técnica, que también existe
Las reglas de arriba paran el fraude cuando el correo viene de fuera. Cuando viene del buzón real del directivo, es que alguien ha entrado en su correo, y ahí sí hay trabajo para tu informático:
- Doble factor en el correo de toda la empresa, empezando por dirección y administración. Con él, una contraseña robada no basta para entrar.
- Revisar las reglas de reenvío y los filtros del buzón. Un estafador que entra en un correo suele crear una regla que desvía o borra los mensajes del banco o del proveedor para que la víctima no vea las respuestas. Es una de las primeras cosas que miramos en cualquier buzón sospechoso.
- Configurar bien el dominio (los registros SPF, DKIM y DMARC) para que sea más difícil enviar correos con vuestro nombre desde fuera. No lo evita todo, pero deja en evidencia a muchas suplantaciones.
- Contraseñas distintas para cada servicio y un gestor de contraseñas: la mayoría de los buzones comprometidos lo son porque la misma clave se filtró en otro sitio.
Si tu empresa tiene mantenimiento informático con nosotros, esto forma parte de la revisión; si no, es un buen motivo para hablar.
Qué hacer si ya ha pasado
- Llama al banco inmediatamente para intentar retener la transferencia. Las primeras horas son las únicas en las que a veces se recupera el dinero.
- Cambia la contraseña del correo del directivo suplantado, activa el doble factor y revisa las reglas de reenvío. Si hace falta, avisa a tu informático antes de tocar nada para que conserve las pruebas.
- Denuncia en la Policía Nacional o la Guardia Civil, con los correos originales (con sus cabeceras, no reenviados) y el justificante del pago. La denuncia es necesaria para el banco y para el seguro, si lo hay.
- Pide ayuda gratuita en el 017, la línea de ayuda en ciberseguridad de INCIBE para empresas y ciudadanos.
- Avisa al proveedor suplantado, si lo hubo: probablemente es su buzón el que está comprometido y otros clientes suyos están recibiendo lo mismo.
Preguntas frecuentes
Somos cinco personas. ¿De verdad nos pueden atacar así?
Sí, y con más facilidad que a una grande: en una pyme la misma persona recibe el correo, prepara el pago y lo aprueba, y no hay procedimiento que la frene. El estafador no busca empresas grandes, busca empresas que paguen rápido.
¿Un antivirus o un filtro de spam lo detiene?
No de forma fiable. El correo del fraude del CEO no lleva virus ni enlaces raros: es texto normal pidiendo algo normal. Lo que lo detiene es la confirmación por otro canal.
¿El seguro de la empresa lo cubre?
Depende de la póliza. Muchas pólizas de ciberriesgo lo excluyen o lo limitan si no había doble aprobación de pagos. Conviene leerla antes de necesitarla, y preguntar al mediador qué exige exactamente.
