¿Qué es el fraude del CEO y en qué se diferencia del BEC?
BEC (Business Email Compromise, compromiso del correo empresarial) es el nombre del conjunto de fraudes que usan el correo corporativo para desviar pagos o robar información. El fraude del CEO es la variante más conocida: alguien suplanta a un directivo y pide a una persona con acceso a pagos una transferencia urgente y confidencial.
La diferencia práctica está en el origen del correo. En una suplantación, el atacante escribe desde un dominio parecido o con un nombre visible falso. En un compromiso real, escribe desde el buzón legítimo de un directivo o de un proveedor al que ha accedido, y responde en hilos auténticos. El segundo caso es mucho más difícil de detectar a simple vista.
| Variante | Quién parece pedirlo | Qué pide | Señal típica |
|---|---|---|---|
| Fraude del CEO | Dirección general o financiera | Transferencia urgente y confidencial | Prisa, secreto, paso a WhatsApp |
| Cambio de IBAN de proveedor | Un proveedor habitual | Pagar facturas en una cuenta nueva | Cambio de cuenta por correo, a veces en un hilo real |
| Suplantación de asesor o abogado | Un despacho externo | Pago para una operación sensible | Presión y confidencialidad |
| Desvío de nóminas | Un empleado | Cambiar la cuenta donde cobra | Petición solo por correo |
| Robo de datos | Un directivo | Datos fiscales o de la plantilla | Petición inusual a RR. HH. o administración |
Para dimensionarlo: el centro de denuncias de internet del FBI (IC3), que recibe sobre todo denuncias de Estados Unidos, registró en 2025 24.768 denuncias de BEC con pérdidas declaradas de 3.046 millones de dólares. Es la segunda categoría de fraude con más pérdidas de su informe, por detrás del fraude de inversión.
¿Cómo detectar un intento de fraude del CEO?
INCIBE describe que los atacantes estudian antes el organigrama, los nombres y correos de los directivos y sus fechas de vacaciones, y que a menudo pasan varias semanas dentro del correo de la víctima esperando el momento. Estas señales deberían parar cualquier pago:
- Urgencia con hora límite: el pago tiene que salir antes de las 14:00.
- Petición de confidencialidad: no lo comentes con nadie.
- Intento de pasar la conversación a WhatsApp o a un teléfono nuevo.
- Un dominio del remitente con una letra cambiada, o una dirección de respuesta distinta de la del remitente.
- Cambio de IBAN de un proveedor comunicado por correo.
- El supuesto solicitante no está localizable: de viaje, en una reunión, sin cobertura.
- Primer pago a ese banco o a ese país.
- Llamadas o audios con la voz del directivo pidiendo saltarse el procedimiento. INCIBE advierte del uso de voces y vídeos falsos generados con IA.
¿Qué hacer si ya has hecho la transferencia?
Cada hora cuenta. En su informe de 2025, el IC3 insiste en que, si detectas una transferencia fraudulenta, debes contactar de inmediato con tu entidad y pedir que solicite la devolución de los fondos. INCIBE da el mismo orden: banco, denuncia y 017.
- Llama a tu banco ahora, por teléfono, y pide que bloqueen o retrocedan la transferencia y que contacten con el banco receptor. Ten a mano fecha, importe, IBAN de destino y referencia.
- Denuncia ante Policía Nacional o Guardia Civil con toda la documentación. El banco y la aseguradora pueden pedírtela.
- Llama al 017 de INCIBE para recibir orientación gratuita y confidencial.
- Conserva las pruebas: no borres los correos y expórtalos con las cabeceras completas, junto con justificantes y conversaciones.
- Avisa al directivo o proveedor suplantado por un canal verificado, con un teléfono que ya tuvieras.
- Revisa si hay un buzón comprometido, tuyo o del proveedor: reglas de reenvío, inicios de sesión y aplicaciones con permisos.
- Informa a tu aseguradora y a tu asesoría jurídica.
¿Se puede recuperar el dinero de un fraude del CEO?
A veces, y depende sobre todo de la rapidez. Los fondos suelen moverse a otras cuentas o a otros países en poco tiempo, y cada salto complica el bloqueo. Como referencia, el equipo de recuperación de activos del IC3 logró en 2025 congelar alrededor del 58 % del importe en los casos que gestionó con su procedimiento de bloqueo rápido, que incluye BEC y otros fraudes. Es un sistema estadounidense, pero la lección es la misma: cuanto antes actúe tu banco, más opciones tienes.
¿Cómo prevenir el fraude del CEO y el BEC?
- Verificación por otro canal: confirma cualquier pago urgente o cambio de cuenta llamando a un número que ya tenías, nunca al que viene en el correo.
- Doble autorización para transferencias por encima de un importe y para cualquier cambio de IBAN.
- Procedimiento escrito para dar de alta o modificar cuentas de proveedores.
- MFA resistente al phishing en las cuentas de dirección, finanzas y tesorería.
- Etiqueta de remitente externo en el correo y detección de dominios parecidos al tuyo.
- SPF, DKIM y DMARC con política de rechazo en tu dominio. Hacen que los servidores que aplican DMARC rechacen el correo que suplanta tu dominio exacto, aunque no frenan los dominios parecidos.
- Formación específica para administración, tesorería y asistentes de dirección.
- Menos información pública sobre agendas y viajes de directivos.
Cómo te ayuda Ciberia frente al BEC
Muchos BEC empiezan con un buzón comprometido días o semanas antes del fraude. Ciberia MDR vigila a cualquier hora la telemetría de correo e identidad que ya tienes, junto con la de endpoint, red y cloud. Sus agentes de IA investigan cada alerta y proponen la respuesta, un analista valida las acciones con impacto y la contención se orquesta sobre tus propias herramientas. El SLA es de 15 minutos desde la alerta crítica hasta la contención inicial.
Ciberia CTM vigila las menciones de tu marca y de tus directivos y las credenciales filtradas de tu plantilla, que los atacantes usan para preparar estos fraudes, y envía alertas con contexto y la acción recomendada.
