A media mañana llega un correo, un Teams o incluso una llamada: el CEO, el director financiero o un socio «está en una reunión» y necesita que hagáis una transferencia urgente y confidencial. El tono es el de siempre, hay un plazo corto y os piden discreción («no digáis nada a nadie, confío en ti»). Quien recibe el mensaje quiere ayudar y, a veces, termina pagando. Es el fraude del CEO, y le pasa a pymes y a empresas grandes. La buena noticia es que en muchos casos se pueden congelar fondos y recuperar el dinero si se actúa rápido.
No es lo mismo que la estafa del cambio de IBAN de un proveedor: allí el proveedor es real y os cambian la cuenta de cobro; aquí se hacen pasar por un directivo de vuestra propia empresa. Los primeros pasos tras pagar se parecen, pero las señales y las medidas internas son distintas. Te contamos qué es, cómo operan (correo, Teams, deepvoice), cómo pararlo antes de pagar y qué hacer si ya habéis transferido.
Respuesta rápida
Ante una orden «urgente y confidencial» de un directivo: no paguéis hasta confirmarla por un canal distinto (teléfono que ya tuvierais o cara a cara). Mirad la dirección completa del correo o del perfil. Si ya habéis pagado, llamad al banco ahora, pedid el bloqueo y la devolución, guardad el mensaje y denunciad. Después revisad el correo (contraseñas y reglas de reenvío).
En este artículo
Qué es el fraude del CEO y cómo encaja en el BEC
Según INCIBE, el fraude del CEO es una modalidad de phishing en la que un empleado con capacidad para hacer transferencias o con acceso a recursos económicos recibe un mensaje de su supuesto superior —CEO, presidente o director— pidiendo ayuda para una operación financiera urgente y confidencial. Si no detecta la suplantación, puede revelar datos sensibles y realizar el pago.
Forma parte del BEC (business email compromise, correo corporativo comprometido): estafas sofisticadas en las que los delincuentes usan cuentas reales comprometidas, dominios casi iguales o spoofing para hacerse pasar por alguien de confianza. INCIBE describe el fraude del CEO como uno de los tipos más comunes de BEC y de los que más impacto económico generan. Otras variantes del mismo esquema son el fraude de proveedores (cambio de IBAN), ataques a recursos humanos o el robo de información confidencial.
No es un problema menor: INCIBE indica que el fraude del CEO se encuentra entre las diez temáticas más consultadas por empresas en su servicio gratuito Tu Ayuda en Ciberseguridad, y que esa consulta ha ido en aumento. INTERPOL también alerta de las estafas a empresas por correo mediante suplantación de identidad (BEC) a escala internacional.
Cómo operan: correo, Teams, llamada y deepvoice
Antes de escribir, los delincuentes investigan la empresa. INCIBE explica que usan técnicas OSINT: organigrama, nombres y correos de directivos, fechas de vacaciones, proveedores y clientes, perfiles en redes. Buscan quién aprueba pagos y cuándo el responsable no está disponible. En muchos casos pasan semanas dentro de un buzón leyendo correos y creando reglas ocultas antes de pedir el dinero.
Correo spoofed o dominio lookalike
Os llega un mensaje que parece del directivo, pero el dominio tiene una letra cambiada o un TLD distinto (por ejemplo .co en lugar de .com). El nombre que muestra el programa de correo engaña; la dirección completa no. A veces no han entrado en ningún buzón: solo imitan la firma y el estilo.
Correo comprometido
Si han entrado en la cuenta real del directivo o de administración, el mensaje sale de la dirección auténtica. Es más difícil de detectar. Suelen crear reglas de reenvío que esconden conversaciones. Si sospecháis que el buzón de la empresa está abierto, seguid también la guía de qué hacer si han hackeado el correo de la empresa.
Teams, WhatsApp o videollamada
Ya no se limitan al correo. INCIBE documenta un caso real en el que un empleado recibió por el Teams corporativo un mensaje de alguien que aparentaba ser el CEO del grupo: le pedían una compra urgente para una filial por 150.000 euros (cifra que atribuye INCIBE a ese caso), le pasaban el contacto de un supuesto abogado y le enviaban por correo un documento con firmas falsificadas. El trabajador compartió una foto de su DNI y realizó el pago. Después se dio cuenta de que no cuadraba.
Deepvoice: la voz clonada del directivo
INCIBE también documenta un caso de deepvoice: un empleado recibió una llamada que sonaba exactamente igual que la del CEO. En una reunión telemática, el supuesto directivo habló de una auditoría inminente y de la necesidad de comprar una máquina, y dio las instrucciones para transferir. Pagaron al terminar la reunión. Días después, al hablar con el CEO real, descubrieron el engaño. INCIBE explica que con inteligencia artificial se puede clonar la voz (y, en otras variantes, la imagen) para hacer más creíble la petición.
Confidencialidad + urgencia + autoridad
El patrón se repite. Frases como las que recoge INCIBE: «Necesito que hagas esta transferencia antes de las 14:00, confío en tu discreción», «Estoy en una reunión y no puedo hablar ahora», «Este pago es confidencial, no informes a nadie». Juegan con el miedo a desobedecer a un superior y con el deseo de ayudar. También hay variantes con compra de tarjetas regalo, ingresos en cajeros o cripto, o el «ataque al becario», aprovechando a quien acaba de llegar y aún no conoce los procedimientos.
Señales para pararlo antes de pagar
Ninguna señal sola demuestra el fraude, pero varias juntas son motivo para parar:
- Urgencia extrema («hay que pagarlo hoy», «antes del mediodía») sin margen para el procedimiento habitual.
- Confidencialidad forzada («no digáis nada a nadie», «solo por este canal»).
- Salto de proceso: os piden saltaros la doble firma, el alta de proveedor o la verificación de cuenta.
- Remitente raro: dominio casi igual, perfil de Teams nuevo o número de teléfono que no teníais guardado.
- Canal inusual: el directivo nunca os pide pagos por WhatsApp, Teams o llamada fuera de agenda.
- Presión emocional: «confío en ti», «no me falles», «es una operación delicada».
- Beneficiario nuevo o IBAN que no reconocéis; el banco avisa de que el nombre no coincide con el titular.
- El directivo «no puede» confirmar por teléfono ni presencialmente.
La regla de oro de INCIBE: confirmad cualquier solicitud de pago urgente por un canal alternativo. Llamad al número que ya tuvierais en la agenda o preguntad cara a cara. No uséis el teléfono o el enlace que viene en el propio mensaje sospechoso. Si el origen pudo ser un phishing a un empleado, revisad también ese buzón.
Qué hacer si ya habéis pagado
Que alguien haya autorizado el pago pasa en empresas muy bien organizadas. Lo que marca la diferencia es moverse en las primeras horas.
- Llamad al banco por su teléfono oficial o al gestor. Explicad que es un fraude, dad importe, fecha e IBAN de destino, y pedid que soliciten la devolución al banco receptor y el bloqueo de los fondos. Pedid número de incidencia y confirmadlo por escrito. Con transferencias inmediatas el margen es aún más corto.
- No borréis nada. Guardad el correo (exportado en .eml o .msg con cabeceras), el chat de Teams, el número de la llamada, el justificante de la transferencia, el documento con firmas y cualquier DNI u otro dato que hayáis enviado.
- Denunciad ante la Policía Nacional o la Guardia Civil. La Guardia Civil permite iniciar la denuncia por internet con certificado o Cl@ve. Llevad la cronología, las pruebas y el número de incidencia del banco. Enviad copia de la denuncia al banco: ayuda a pedir el bloqueo. Guía paso a paso en cómo denunciar una estafa online en España.
- Avisad a INCIBE. Las empresas pueden reportar el incidente y consultar gratis en el 017 (Tu Ayuda en Ciberseguridad). Si el correo falso es evidencia, INCIBE recomienda enviarlo con cabeceras originales para análisis.
- Cerrad la puerta del correo. Cambiad contraseñas desde un equipo de confianza, activad la verificación en dos pasos y revisad reglas de reenvío, filtros, usuarios nuevos y accesos raros. Documentad las reglas antes de borrarlas: son pruebas.
- Si se han visto datos personales (buzón abierto, DNI enviado, datos de empleados o clientes), valorad notificar a la AEPD en 72 horas desde que tenéis constancia, salvo que sea improbable el riesgo. Si no notificáis, documentad el motivo.
- Avisad al equipo para que no caigan en un segundo intento con la misma trama.
En el caso de Teams que documenta INCIBE, las pautas reactivas van en esa línea: evidencias, denuncia, reclamación al banco con la denuncia, y si hace falta el Banco de España; si compartisteis el DNI, informad a las autoridades, renovadlo y monitorizad usos indebidos.
Cómo blindar la empresa
No hace falta un departamento enorme. INCIBE resume diez medidas prácticas; estas son las que más cortan este fraude:
- Doble control en pagos. Dos personas autorizan transferencias por encima de un importe. Nadie paga solo porque «lo ha dicho el jefe» por un único canal.
- Canal alternativo obligatorio. Toda orden urgente de un directivo se confirma por teléfono conocido, presencialmente o por un chat interno ya verificado. INCIBE recomienda incluso una palabra o frase interna para operaciones sensibles.
- Verificación del beneficiario. Desde el 9 de octubre de 2025, los bancos de la zona euro deben ofrecer gratis un servicio que comprueba si el nombre del beneficiario coincide con el titular del IBAN. Si sale «no coincidente» o «casi coincidente», parad. El Banco de España indica que para pagos en fichero el servicio es opcional para no consumidores: pedid a vuestro banco tenerlo activado.
- Procedimientos claros para cuentas nuevas, cambios de IBAN y pagos excepcionales (incluido «no autorizar solo por teléfono»).
- Formación corta y frecuente a quien paga y a quien acaba de llegar (becarios incluidos). Diez minutos con ejemplos reales de INCIBE valen más que un manual largo.
- Limitar la información pública de directivos: organigramas detallados, viajes y estructuras en la web o en redes facilitan el engaño.
- Filtros de correo con alertas de dominios similares y de mensajes externos que simulan nombres internos; SPF, DKIM y DMARC en el dominio.
- Plan de respuesta: si detectáis un intento o ya habéis pagado, banco + denuncia + 017, sin perder horas discutiendo.
Si queréis revisar cómo se aprueban los pagos, quién tiene acceso al correo y qué formación necesita administración, en Kironic ayudamos con una auditoría de ciberseguridad para empresas.
Cuándo pedir ayuda profesional
Si el importe es alto, si el banco no consigue bloquear los fondos, si no sabéis si entraron en el correo, si compartisteis el DNI u otros datos, o si os están presionando con una segunda «orden» del mismo estilo, merece la pena una valoración profesional cuanto antes.
Contamos con un equipo de abogados y peritos especializados en estafas online, fraude a empresas y delitos informáticos, y cada caso lo atiende siempre un abogado o un perito. Envíanos lo que tengáis: el correo o el Teams, el justificante de la transferencia y quién autorizó el pago. Lo revisamos gratis y te decimos qué pedir al banco, cómo denunciar y cómo revisar el buzón. En muchos casos se puede recuperar el dinero o congelar fondos, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.
Un último aviso: después de un fraude así, a veces aparecen empresas que garantizan recuperar el dinero al 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlas en cómo detectar falsas empresas de recuperación.
