Imagina que recibes un email de tu CEO a las 18:47 un viernes. "Necesito que hagas una transferencia urgente de 45.000€ a este proveedor. Es confidencial, no comentes nada con nadie." Tu corazón se acelera, quieres cumplir, quieres demostrar que eres de fiar. Y ahí, en ese preciso instante de obediencia ciega, es donde el fraude del CEO te tiene exactamente donde quiere. La estafa CEO —también conocida como BEC scam (Business Email Compromise)— es una de las formas de suplantación de directivo más devastadoras del panorama actual. No necesita malware sofisticado, ni exploits de día cero, ni hackers encapuchados en sótanos oscuros. Solo necesita algo mucho más barato: tu buena voluntad y un poquito de prisa.
Qué es exactamente el fraude del CEO y por qué funciona tan bien
El fraude CEO es un tipo específico de Business Email Compromise en el que un atacante se hace pasar por un alto directivo de la empresa —normalmente el CEO, el CFO o el director general— para engañar a un empleado con acceso a las finanzas. El objetivo es siempre el mismo: que muevas dinero a una cuenta controlada por los estafadores.
Según el FBI, las pérdidas globales por BEC scam superaron los 50.000 millones de dólares acumulados entre 2013 y 2023. Y no estamos hablando de ataques contra multinacionales con miles de empleados. Pymes, startups, despachos de abogados, ONGs... nadie está a salvo. En España, la Policía Nacional ha alertado repetidamente sobre oleadas de estafa CEO dirigidas específicamente a empresas medianas.
¿Por qué funciona? Porque explota tres debilidades humanas universales:
- Autoridad: Si el jefe dice que saltes, preguntas "¿qué altura?". Los atacantes lo saben.
- Urgencia: "Tiene que ser HOY." Cuando te meten prisa, tu capacidad de análisis crítico se va de vacaciones.
- Confidencialidad: "No lo comentes con nadie del equipo." Así anulan tu mejor defensa: consultar con un compañero.
Es ingeniería social en estado puro. Y como diríamos en Cataluña, qui no vulgui pols, que no vagi a l'era —pero aquí el polvo te lo mandan por email y te lo tragas con gusto.
Anatomía de un ataque BEC: así te la cuelan paso a paso
Un ataque de suplantación de directivo bien ejecutado no es improvisado. Los ciberdelincuentes se lo curran, y mucho. Aquí tienes las fases típicas:
Si te interesa este tema, te recomendamos leer nuestro artículo sobre Facturas falsas por email: cómo identificar el fraude antes de pagar, donde profundizamos en aspectos clave relacionados.
1. Reconocimiento (semanas o meses antes)
Los atacantes investigan tu empresa a fondo. LinkedIn es su buffet libre: organigramas, nombres de directivos, quién trabaja en finanzas, quién acaba de incorporarse (las nuevas incorporaciones son objetivos golosos porque aún no conocen los procedimientos internos). También rastrean la web corporativa, notas de prensa y redes sociales para detectar viajes del CEO, ferias o eventos que justifiquen su "no disponibilidad".
2. Preparación del engaño
Aquí hay dos modalidades principales de BEC scam:
- Email spoofing: Falsifican la cabecera del correo para que parezca que viene de [email protected]. Si no tienes SPF, DKIM y DMARC bien configurados, es ridículamente fácil.
- Dominio similar (typosquatting): Registran un dominio casi idéntico, tipo tuempresa.es → tuempnesa.es o tu-empresa.es. A las 18:47 de un viernes, ¿quién mira la dirección del remitente con lupa?
- Cuenta comprometida: El escenario más peligroso. Si han conseguido acceso al email real del directivo (mediante phishing previo o credenciales filtradas), el correo viene literalmente de la cuenta legítima. Aquí ni el mejor filtro lo detecta sin análisis de comportamiento.
3. El golpe
El email llega. Tono autoritario pero cercano. Urgencia extrema. Confidencialidad absoluta. Datos de una cuenta bancaria, normalmente en otro país. Y una petición clara: transfiere dinero, compra tarjetas regalo, o envía datos sensibles como nóminas con todos los datos fiscales de los empleados.
4. Desaparición
El dinero se mueve a través de varias cuentas mula en diferentes países. En menos de 48 horas ya está en jurisdicciones donde recuperarlo es prácticamente imposible. Cuando el lunes el CEO real pregunta "¿qué transferencia?", el daño ya está hecho.
Casos reales que quitan el sueño (y el presupuesto)
Si piensas que la estafa CEO solo le pasa a los demás, aquí van algunos casos que demuestran lo contrario:
| Empresa | Año | Pérdida | Método |
|---|---|---|---|
| EMT Valencia | 2019 | 4 millones de € | Suplantación del CEO por email y llamadas |
| Ubiquiti Networks | 2015 | 46,7 millones de $ | Business Email Compromise clásico |
| Facebook y Google | 2013-2015 | 121 millones de $ | Facturas falsas de proveedor (variante BEC) |
| Toyota Boshoku | 2019 | 37 millones de $ | Suplantación de directivo financiero |
El caso de la EMT de Valencia es especialmente doloroso. Una empleada del departamento de administración recibió emails y llamadas telefónicas supuestamente del presidente de la empresa, pidiéndole transferencias "confidenciales" para una supuesta operación de adquisición. La trabajadora realizó varias transferencias a cuentas en Hong Kong. Cuatro millones de euros. De una empresa pública. Con dinero de los contribuyentes. Ep, bona nit.
Y si Facebook y Google cayeron —empresas con equipos de ciberseguridad del tamaño de un pueblo—, imagina lo que puede pasar en una empresa de 30 empleados donde "el informático" es el primo del dueño que sabe instalar Windows.
Si te interesa este tema, te recomendamos leer nuestro artículo sobre Phishing en redes sociales: cómo te roban la cuenta en Instagram y Facebook, donde profundizamos en aspectos clave relacionados.
Cómo proteger tu empresa del fraude del CEO
La buena noticia es que defenderse del fraude CEO no requiere inversiones millonarias. Requiere sentido común, protocolos claros y unas cuantas capas técnicas. Aquí va la receta:
Medidas organizativas (las más importantes)
- Protocolo de doble verificación: Cualquier transferencia que supere un umbral (por ejemplo, 1.000€) necesita confirmación por un segundo canal. Si el email dice "transfiere", tú llamas por teléfono al número que ya tienes guardado (NUNCA al que viene en el email). Esto solo, por sí mismo, habría evitado el 90% de los casos de BEC scam.
- Regla de las cuatro manos: Ninguna persona sola debería poder autorizar y ejecutar una transferencia. Separación de funciones. Siempre.
- Formación periódica: No un PowerPoint anual que nadie mira. Simulaciones reales, phishing controlado, casos prácticos. Que la gente sepa que este tipo de suplantación de directivo existe y cómo funciona.
- Cultura de verificación sin miedo: Los empleados deben sentirse cómodos cuestionando una orden, aunque venga "del CEO". Si en tu empresa cuestionar al jefe equivale a un suicidio profesional, tienes un problema de seguridad mucho antes de que llegue ningún email.
Medidas técnicas
- SPF, DKIM y DMARC: Configura estos tres protocolos de autenticación de email. Son gratuitos y evitan que alguien envíe correos falsificados desde tu dominio. DMARC en política reject es el estándar mínimo. Si tu proveedor de email no te deja configurarlos, cambia de proveedor.
- Filtro de correo con IA: Un buen filtro antispam (como, ejem, MataSpam) analiza no solo el contenido sino los patrones de comportamiento: ¿es normal que tu CEO envíe emails a las 3 de la madrugada desde una IP en Nigeria pidiendo transferencias urgentes? Spoiler: no.
- Autenticación multifactor (MFA): En TODAS las cuentas de correo corporativas, sin excepción. Si un atacante consigue la contraseña del CEO pero hay MFA, no puede acceder a su cuenta para lanzar el ataque desde dentro.
- Monitorización de dominios similares: Herramientas como dnstwist o servicios de brand monitoring detectan cuando alguien registra un dominio parecido al tuyo. Así puedes actuar antes de que lo usen para atacarte.
- Etiquetado de emails externos: Configura tu servidor de correo para que añada una etiqueta visible [EXTERNO] a los emails que no vengan de tu dominio. Así, si alguien suplanta al CEO desde fuera, la etiqueta canta.
Qué hacer si ya has picado
Si sospechas que tu empresa ha sido víctima de una estafa CEO, el tiempo es crítico:
- Contacta inmediatamente con tu banco. Si la transferencia se hizo hace menos de 24-48 horas, hay posibilidades de bloquearla o revertirla. Cada minuto cuenta.
- Denuncia ante la Policía Nacional o Guardia Civil. Grupo de Delitos Telemáticos. Aporta todos los emails, cabeceras técnicas y datos de las cuentas.
- Informa a INCIBE (017, línea gratuita de ayuda en ciberseguridad). Pueden orientarte y coordinar la respuesta.
- Preserva todas las evidencias. No borres emails, no modifiques nada. Las cabeceras de los correos son prueba forense.
- Revisa si hay compromiso interno. Usa herramientas como Have I Been Pwned para comprobar si las credenciales corporativas están filtradas. Cambia contraseñas y revisa accesos.
Preguntas frecuentes
¿El fraude del CEO solo afecta a grandes empresas?
En absoluto. Las pymes son, de hecho, el objetivo favorito del fraude CEO. Las grandes empresas suelen tener protocolos financieros más estrictos, equipos de seguridad dedicados y herramientas avanzadas de detección de Business Email Compromise. En una pyme, a menudo una sola persona gestiona los pagos, conoce al CEO personalmente y tiene acceso directo a las cuentas bancarias. Es el cóctel perfecto para los atacantes. Según datos de INCIBE, más del 70% de los incidentes de BEC scam reportados en España afectan a empresas de menos de 250 empleados.
¿Puede mi filtro de correo detectar estos ataques?
Depende del filtro y del tipo de ataque. Un filtro básico basado en reglas estáticas probablemente no. Un filtro con inteligencia artificial que analice patrones de comportamiento, contexto del mensaje y señales sutiles como la urgencia inusual o las peticiones financieras fuera de patrón tiene muchas más posibilidades. Dicho esto, ningún filtro es infalible, especialmente si el atacante ha comprometido la cuenta real del directivo. La tecnología es una capa más de defensa, no la solución única. Combínala con protocolos de verificación y formación del equipo.
¿Puedo recuperar el dinero si me estafan?
La probabilidad disminuye drásticamente con cada hora que pasa. Si actúas en las primeras 24 horas, hay posibilidades reales de que el banco bloquee la transferencia, especialmente si es internacional y aún está en proceso. Pasadas 48-72 horas, el dinero suele haber pasado por varias cuentas mula y haberse fragmentado. Según datos del FBI, solo se recupera completamente alrededor del 29% de los fondos en casos de estafa CEO. La lección: el protocolo de doble verificación es infinitamente más barato que un abogado internacional intentando recuperar tu dinero desde una cuenta en Singapur.
¿Es delito suplantar al CEO por email?
Sí. En España, el fraude del CEO puede constituir varios delitos del Código Penal: estafa (artículo 248), suplantación de identidad, falsedad documental y, dependiendo del caso, delito contra la intimidad y acceso ilícito a sistemas informáticos. Las penas pueden superar los 6 años de prisión. Además, si la empresa cotiza en bolsa o gestiona datos sensibles, puede haber implicaciones con el RGPD y la normativa de compliance. Eso sí, atrapar a los responsables cuando operan desde otros continentes es harina de otro costal.
¿Las llamadas telefónicas con deepfake de voz son ya una amenaza real?
Sí, y cada vez más. En 2024, una empresa de Hong Kong perdió 25 millones de dólares después de que un empleado participara en una videollamada con deepfakes de varios directivos, incluido el CFO. La tecnología de clonación de voz ya permite generar réplicas convincentes con apenas unos segundos de audio original —fácilmente extraíbles de entrevistas, podcasts o vídeos corporativos en YouTube—. Esto eleva la suplantación de directivo a un nivel completamente nuevo. La doble verificación por canales independientes ya no es una recomendación: es una necesidad vital.
No seas el eslabón más débil
El fraude del CEO no es un ataque tecnológico sofisticado. Es un ataque contra la naturaleza humana: nuestra tendencia a obedecer, nuestra aversión al conflicto, nuestro miedo a quedar mal. Y precisamente por eso es tan efectivo y tan difícil de erradicar.
La mejor defensa es una combinación de tecnología inteligente —filtros con IA, autenticación de email, MFA— y una cultura empresarial donde verificar no sea sinónimo de desconfiar, sino de profesionalidad. Si quieres profundizar en cómo proteger tu bandeja de entrada de estas y otras amenazas, pásate por nuestro blog: tenemos artículos sobre phishing, malware, configuración de email seguro y mucho más. Porque en MataSpam llevamos años masticando spam para que tú no tengas que tragártelo.
