La fraude CEO es una estafa informática y financiera que afecta a empresas, despachos profesionales, entidades y organizaciones.

El mecanismo es sencillo pero muy efectivo: un criminal se hace pasar por el CEO, un directivo, un responsable administrativo o una figura interna autorizada y pide a un empleado que realice un pago urgente.

La solicitud puede llegar por correo electrónico, SMS, WhatsApp, Teams, teléfono u otros canales empresariales.

A menudo el mensaje parece creíble, usa un tono decidido y apela a la urgencia, confidencialidad y autoridad.

Cómo funciona la fraude CEO

El estafador intenta convencer a la víctima de que la solicitud proviene de una persona autorizada.

Puede hacerse pasar por:

  • CEO;
  • administrador delegado;
  • director financiero;
  • responsable de compras;
  • colega interno;
  • proveedor habitual;
  • consultor externo.

El mensaje suele contener una solicitud de pago urgente, cambio de IBAN, una factura pendiente, una operación reservada o un procedimiento a ejecutar sin involucrar a otras personas.

Frases como “hazlo ya”, “es confidencial”, “no lo comentes con nadie” o “por favor, máxima discreción” son señales muy importantes.

Business Email Compromise

La fraude CEO suele entrar en la categoría de Business Email Compromise, o BEC.

En algunos casos la cuenta de correo empresarial es realmente comprometida. En otros, el estafador usa un dominio muy parecido al original o una dirección de correo falsa que, a una lectura rápida, parece auténtica.

Ejemplos típicos:

  • dominio casi idéntico al empresarial;
  • nombre visible correcto pero dirección de correo diferente;
  • cuenta personal usada en lugar del correo corporativo;
  • mensajes reenviados desde cuentas comprometidas;
  • firmas de correo copias de comunicaciones reales.

Por esto no basta con mirar el nombre del remitente: hay que revisar también dominio, dirección y contexto de la solicitud.

Las técnicas más usadas

La estafa se basa sobre todo en el ingeniería social.

El criminal no sólo usa la tecnología, sino la presión psicológica.

Las técnicas más comunes son:

  • identidad falsa;
  • urgencia;
  • autoridad;
  • confidencialidad;
  • solicitud fuera de procedimiento;
  • cambio repentino de IBAN;
  • tono amenazante o muy insistente;
  • petición de saltar controles internos.

El empleado se coloca en la situación de pensar: “Si lo pide el jefe, debo hacerlo enseguida”.

Este es el punto débil que la estafa explota.

Señales de alarma

Existen varios elementos que deben hacer sospechar una fraude CEO:

  • solicitud de transferencia urgente;
  • petición fuera de procedimiento;
  • tono inusual o demasiado insistente;
  • correo de dominio similar pero no idéntico;
  • cambio repentino de IBAN;
  • solicitud de confidencialidad;
  • invitación a no involucrar a otros compañeros;
  • importes elevados o destinatarios nuevos;
  • pago a cuenta extranjera o desconocida;
  • solicitud recibida fuera de horario;
  • mensaje con errores, estilo distinto o lenguaje inusual.

Incluso un mensaje bien escrito puede ser falso. La verificación debe seguir siempre un procedimiento.

Cómo defenderse

La regla principal es no autorizar pagos fuera de procedimiento.

Cada solicitud de transferencia, cambio de IBAN o pago urgente debe ser verificada mediante un segundo canal.

Si recibes una solicitud del CEO por correo, no respondas directamente a ese correo para confirmar. Llama a la persona usando un número ya conocido o contacta a través de un canal oficial.

Las empresas deberían adoptar procedimientos de aprobación multinivel, especialmente para pagos importantes o modificaciones en los datos bancarios de proveedores.

Buenas prácticas empresariales

Para reducir el riesgo de fraude CEO es útil adoptar algunas medidas:

  • doble aprobación para transferencias relevantes;
  • verificación telefónica para cambios de IBAN;
  • procedimientos escritos para pagos urgentes;
  • formación del personal administrativo;
  • control de dominios de correo similares;
  • autenticación de dos factores en cuentas corporativas;
  • protecciones SPF, DKIM y DMARC en el dominio de correo;
  • monitoreo de accesos sospechosos;
  • límites operativos para transferencias y pagos;
  • canal interno para reportar solicitudes sospechosas.

La tecnología ayuda, pero el procedimiento es fundamental.

Qué hacer si la transferencia ya se ha realizado

Si un pago sospechoso ya se ejecutó, hay que actuar rápido:

  • contactar inmediatamente al banco;
  • solicitar bloqueo o cancelación de la transferencia;
  • avisar al responsable interno;
  • conservar correos, mensajes, cabeceras y adjuntos;
  • verificar si cuentas corporativas han sido comprometidas;
  • cambiar contraseñas y revocar sesiones sospechosas;
  • activar o verificar la MFA;
  • reportar el incidente a las autoridades competentes;
  • informar al departamento IT o consultor de seguridad.

La rapidez puede marcar la diferencia en la recuperación de fondos.

Conclusión

La fraude CEO no funciona porque el mensaje sea perfecto, sino porque explota autoridad, urgencia y confianza.

Un verdadero jefe no debería pedir transferencias urgentes fuera de procedimiento.

Cuando una solicitud implique dinero, IBAN o datos empresariales, detente y verifica.

Mejor perder cinco minutos en comprobar que perder miles de euros por una estafa.