Fraude del CEO y suplantación de directivos: cómo la ingeniería social apunta a los pagos

El fraude del CEO es una estafa en la que un delincuente se hace pasar por un alto directivo, normalmente el CEO o el director financiero, y pide a un empleado que haga un pago, compre tarjetas regalo o envíe datos sensibles. Es una variante del compromiso del correo empresarial (BEC), y funciona porque toma prestada la autoridad de quien está en la cúpula y añade presión: urgencia, secreto y un motivo verosímil.

El Internet Crime Complaint Center del FBI registró 24 768 denuncias por compromiso del correo empresarial en 2025, con pérdidas declaradas de 3 046 598 558 $ (IC3 2025 Internet Crime Report). El mismo informe señala que las herramientas de IA pueden generar rápidamente correos de tono oficial que imitan al CEO de una empresa, y que la clonación de voz puede usarse para solicitar transferencias.

La defensa depende menos de la tecnología que de unas pocas reglas firmes, respaldadas por ajustes de correo que dificultan falsificar a sus directivos.

Cómo es un intento típico

El guion apenas cambia:

1. El pretexto. "Estoy reunido con los abogados por una adquisición. Necesito que gestione hoy una transferencia y, por favor, que de momento quede entre nosotros."
2. El canal. Un correo desde una dirección que parece correcta, un SMS desde un número desconocido ("mi nuevo teléfono") o un mensaje de voz que suena como el directivo.
3. La presión. Plazos, confidencialidad y una insinuación de que hacer preguntas no sería bien recibido.
4. El pago. Una transferencia a una cuenta nueva, un lote de tarjetas regalo o una petición de datos de nóminas o fiscales.

El objetivo suele ser alguien de finanzas, contabilidad o asistencia de dirección, porque tiene autoridad para mover dinero y la costumbre de actuar rápido ante las peticiones de la dirección.

Por qué funciona

Los delincuentes estudian lo que un atacante puede ver desde fuera: nombres y cargos en la web y en redes profesionales, viajes anunciados en redes sociales, el formato de sus direcciones de correo y quién depende de quién. Con eso, a un mensaje solo le basta sonar como el jefe en un día ajetreado.

3 fallos técnicos lo facilitan:

• Su dominio se puede falsificar. Sin una política DMARC aplicada, un mensaje con From: ceo@yourcompany.com puede llegar a la bandeja de entrada aunque sus servidores nunca lo hayan enviado. Consulte SPF, DKIM y DMARC explicados.
• Existe un dominio parecido. yourcornpany.com (con "rn" en lugar de "m") supera la autenticación porque el delincuente es su propietario. Más información en dominios parecidos y typosquatting.
• Se confía en el nombre visible. Muchas aplicaciones de correo solo muestran "Jane Smith, CEO" y ocultan la dirección real que hay detrás, sobre todo en el móvil.

Mensajes de voz y SMS

La suplantación ya no se limita al correo. En mayo de 2025 el FBI advirtió de una campaña que usaba SMS y mensajes de voz generados con IA para suplantar a altos cargos del Gobierno de EE. UU., y recomendó no dar por auténtico un mensaje así (FBI IC3 PSA I-051525-PSA). Las mismas técnicas sirven contra directivos de empresa cuya voz aparece en entrevistas, webinarios o conferencias.

La consecuencia práctica: una voz conocida al teléfono no es, por sí sola, prueba de identidad.

Reglas que lo frenan

Póngalas por escrito y asegúrese de que cada directivo las respalda abiertamente:

• Ningún pago ni cambio bancario se aprueba por un solo canal. Una petición por correo se confirma por teléfono, una petición telefónica con un mensaje en su chat interno, siempre con datos de contacto que ya tenga.
• Los directivos nunca piden secreto en torno a los pagos. Dígalo en voz alta en una reunión de equipo. Cuando la plantilla sabe que el CEO nunca le pedirá saltarse el proceso, la frase "que quede entre nosotros" se convierte en una señal de alarma.
• 2 personas aprueban los nuevos beneficiarios y las transferencias importantes.
• Las peticiones de tarjetas regalo por parte de la dirección se rechazan siempre.
• A quien se detiene a verificar se le da las gracias, nunca se le critica, aunque la petición resulte ser real.

Ajustes de correo que conviene revisar

dig +short TXT _dmarc.yourcompany.com

1. Aplique DMARC con p=quarantine o p=reject, para que no se entregue el correo falsificado desde su propio dominio.
2. Active la etiqueta de remitente externo de su sistema de correo, para que los mensajes de fuera de la empresa estén claramente marcados.
3. Active la protección contra suplantación de nombres de directivos si su seguridad de correo lo permite.
4. Exija autenticación multifactor en los buzones de la dirección y de finanzas, porque un buzón real comprometido es el remitente más convincente de todos.
5. Mantenga una lista de dominios que se parecen al suyo y compruebe cuáles tienen registros MX.

Si alguien ya ha pagado

Contacte de inmediato con su banco y solicite la retrocesión de la transferencia; después presente una denuncia en ic3.gov. El FBI señala que el tiempo es esencial y que el IC3 puede ayudar a las entidades financieras y a las fuerzas de seguridad con los fondos (IC3 PSA I-091124-PSA). Conserve los mensajes originales con las cabeceras completas para los investigadores.

Una lista de comprobación breve

• Verificación por 2 canales para cada pago o cambio de datos bancarios.
• Una declaración clara de la dirección de que pedir secreto es una señal de alarma.
• DMARC aplicado, etiquetas de remitente externo activadas.
• Autenticación multifactor en los buzones de finanzas y de la dirección.
• Dominios parecidos identificados y vigilados.

Cómo ayuda Datahorses

Datahorses vigila su empresa desde fuera como lo haría un atacante: dominios nuevos que se parecen al suyo, si pueden enviar correo, páginas de inicio de sesión falsas y cambios en su SPF, DKIM y DMARC. Una persona revisa cada hallazgo y usted recibe pasos concretos que seguir. Puede ver cómo funciona en cómo vigilamos o explorar el panel de ejemplo. El fraude relacionado con facturas se explica en facturas falsas enviadas en nombre de su empresa.