Fraude del CEO: cómo funciona y cómo frenarlo antes de que llegue a administración

El fraude del CEO es una estafa en la que alguien se hace pasar por el director de tu empresa, o por un proveedor de confianza, para conseguir que administración haga una transferencia urgente o cambie la cuenta bancaria de una factura. No necesita virus ni conocimientos técnicos: le basta con un correo creíble y prisa. Se frena combinando tres cosas: un procedimiento para verificar los pagos por otra vía, un dominio protegido contra la suplantación y un filtro de correo que detecte los mensajes que imitan a personas de tu empresa.

Es uno de los fraudes más rentables para los estafadores precisamente porque no ataca a los ordenadores, sino a las personas que quieren hacer bien su trabajo. Y le pasa a empresas de todos los tamaños.

Cómo funciona, en tres variantes

1. El falso director

«Hola, Marta. Estoy en una reunión y no puedo hablar. Necesito que hagas hoy una transferencia a este proveedor, es confidencial. Te paso los datos. Gracias.»

El correo llega con el nombre del director, a veces desde una cuenta de Gmail («la del móvil») o desde un dominio casi idéntico al tuyo. La urgencia y la confidencialidad son el gancho: evitan que la persona pregunte a nadie.

2. La factura con la cuenta cambiada

Un proveedor real «avisa» de que ha cambiado de banco y adjunta su factura habitual con un número de cuenta nuevo. A veces el correo sale de la cuenta real del proveedor, porque se la han robado antes. Es el caso más difícil de detectar.

3. El falso abogado o asesor

Alguien que dice ser del despacho o de la asesoría pide datos o un pago para cerrar una operación «antes del viernes».

Las señales de alarma

• Urgencia y secreto: «hoy», «antes de las 14:00», «no lo comentes».
• Un cambio de cuenta bancaria comunicado solo por correo.
• Un canal raro: el director escribiendo desde una cuenta personal o pidiendo hablar solo por WhatsApp.
• Pequeños detalles del remitente: tuernpresa.com en vez de tuempresa.com, o el nombre correcto con una dirección distinta.
• Un tono que no encaja con cómo escribe esa persona habitualmente.

Las medidas que lo frenan

En el equipo (gratis y lo más eficaz)

1. Regla de oro: ningún cambio de cuenta bancaria ni pago urgente se aprueba solo por correo. Se confirma llamando a un teléfono que ya tengas, nunca al que venga en el mensaje.
2. Doble aprobación para transferencias a partir de un importe.
3. Permiso para decir «no» al director: que el equipo sepa que verificar nunca es una falta de confianza.
4. Formación periódica con ejemplos reales. Lo contamos en formación en ciberseguridad para empleados.

En el correo

1. Protege tu dominio con SPF, DKIM y DMARC para que nadie pueda enviar correos exactamente desde tu dirección. Lo explicamos paso a paso en DMARC, SPF y DKIM explicados.
2. Activa la verificación en dos pasos en todas las cuentas, para que no puedan robar la del director o la de administración. Ver MFA para pymes.
3. Avisos de remitente externo: una etiqueta visible en los correos que vienen de fuera de la empresa, aunque usen un nombre conocido.
4. Un filtro de correo que detecte suplantaciones: que reconozca cuando un mensaje se hace pasar por alguien de tu empresa o por un proveedor habitual, y avise de las cuentas robadas.
5. Bloquear el reenvío automático a direcciones externas, que es lo que usan los atacantes para espiar las conversaciones antes de dar el golpe. Ver reenvío automático de correo.

Si ya ha pasado: qué hacer en la primera hora

1. Llama a tu banco inmediatamente y pide que intenten retener o devolver la transferencia. Cuanto antes, más opciones.
2. Cambia la contraseña de la cuenta afectada y cierra todas sus sesiones.
3. Revisa las reglas del buzón por si hay reenvíos o reglas que ocultan correos.
4. Avisa a tus clientes o proveedores si la estafa ha salido desde tu correo.
5. Denuncia ante la Policía o la Guardia Civil y guarda los correos originales. Puedes pedir orientación en la línea gratuita de ayuda en ciberseguridad de INCIBE, el 017.
6. Avisa a tu aseguradora si tienes póliza de ciberriesgo.

Preguntas frecuentes

¿El antivirus protege contra el fraude del CEO? No. No hay ningún programa malicioso que detectar: es un correo bien escrito. Lo que protege es el procedimiento de verificación, el dominio protegido y un filtro que analice quién se hace pasar por quién.

¿Y si el correo sale de la cuenta real de mi proveedor? Es lo más difícil, porque supera todas las comprobaciones técnicas. Por eso la regla de llamar antes de cambiar una cuenta bancaria es imprescindible.

¿El banco me devuelve el dinero? Depende de lo rápido que avises y de si el dinero sigue en la cuenta de destino. Por eso la primera llamada es al banco.

¿Le pasa solo a empresas grandes? No. Las pymes son un objetivo habitual porque suelen tener menos controles en los pagos.

Protege el correo de tu empresa

El complemento de protección del correo de Kualum Solutions incluye protección contra suplantaciones (como el falso correo del director), revisión de la autenticación de tu dominio, retirada de los correos maliciosos que ya hayan llegado y especialistas vigilando tu correo y tus cuentas 24/7. 5 €/buzón/mes sin IVA, como complemento del mantenimiento.

👉 Ver la protección del correo o reserva una reunión de 30 minutos y revisamos tu caso.