Fraude del CEO: la estafa por correo a la administración
"¿Estás en la oficina? Necesito que hagas una transferencia hoy, es confidencial. Después te explico." Un correo así, que parece del dueño o del gerente, es el comienzo del fraude del CEO, la estafa por correo que más dinero cuesta a las empresas. No tiene virus ni enlaces: solo un pedido convincente en el momento justo. Le explicamos cómo funciona y cómo frenarlo.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es el fraude del CEO
El fraude del CEO es una variante del compromiso del correo empresarial (BEC, por Business Email Compromise). El atacante se hace pasar por alguien con autoridad (el dueño, el gerente general, un director) o por un proveedor de confianza, y le pide a quien maneja los pagos una transferencia urgente o un cambio de cuenta bancaria.
Según el informe 2025 del Centro de Denuncias de Delitos en Internet del FBI (IC3), el fraude por correo corporativo causó más de 3.000 millones de dólares en pérdidas reportadas en un solo año, más de lo que dejaron las filtraciones de datos y el ransomware juntos en esas mismas denuncias. Y esas son solo las pérdidas denunciadas.
Las variantes más comunes
El jefe que pide una transferencia
Un correo «del gerente», a veces escrito desde el celular, con urgencia y confidencialidad: «estoy en una reunión, no me llames».
El proveedor que cambia de banco
Un correo, aparentemente del proveedor de siempre, que avisa de una nueva cuenta para los próximos pagos. A veces llega desde la casilla real del proveedor, que fue robada.
La factura «corregida» a un cliente
Sus clientes reciben su factura con otra cuenta para pagar.
Suplantación de identidadEl abogado o el escribano
Una operación «confidencial» (una compra, un acuerdo) que requiere un pago inmediato y que no se puede comentar con nadie.
Las tarjetas de regalo
El «gerente» pide comprar tarjetas de regalo para un cliente y mandar los códigos por correo.
El cambio de cuenta del sueldo
Recursos humanos recibe un correo de un empleado pidiendo depositar el sueldo en otra cuenta.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Cómo preparan el ataque
- 01
Investigan
El sitio web, LinkedIn y las redes de la empresa muestran quién es el gerente, quién paga y quién está de viaje. → Spear phishing
- 02
Consiguen un disfraz
Un dominio parecido al suyo, una cuenta gratuita con el nombre del gerente o, en el peor caso, la casilla real de alguien, robada con un phishing anterior. → Qué hacer si hackearon su correo
- 03
Esperan el momento
Fin de mes, cierre de año, viajes del gerente, una operación en curso. Si tienen acceso a una casilla real, leen las conversaciones durante semanas.
- 04
Piden con urgencia y secreto
La urgencia evita que la víctima piense; el secreto evita que pregunte.
Las señales de alerta
| Señal | Por qué importa |
|---|---|
| Urgencia y confidencialidad («hoy», «no se lo comentes a nadie») | Buscan que no verifique |
| Pedido de saltear el procedimiento habitual | Es exactamente lo que el procedimiento evita |
| Cambio de cuenta bancaria por correo | La forma más común de desviar un pago |
| El remitente no puede atender el teléfono | Porque no es él |
| Dirección de correo levemente distinta o «responder a» otra casilla | El disfraz no es perfecto |
| Tono distinto al habitual de esa persona | Más formal, más informal o con otras palabras |
Cómo frenar el fraude del CEO
- 01
Una regla que no se negocia: verificar por teléfono
Todo pedido de transferencia fuera de lo normal, y todo cambio de datos bancarios de un proveedor, se confirma llamando a un número que ya tenía, nunca al que figura en el correo. El gerente tiene que respaldar esa regla: si él mismo la saltea «porque es urgente», deja de servir.
- 02
Doble aprobación para pagos
Las transferencias por encima de cierto monto, y todos los cambios de cuenta de proveedores, las aprueban dos personas.
- 03
Segunda clave en el correo de todos
Si nadie puede entrar a las casillas reales, el atacante pierde su mejor disfraz.
- 04
Proteger su dominio
Con SPF, DKIM y DMARC en modo de rechazo, nadie puede mandar correos que salgan exactamente de su dominio. → SPF, DKIM y DMARC explicados
- 05
Marcar los correos externos
Un aviso de «remitente externo» en un correo «del gerente» lo delata al instante.
- 06
Hablarlo con quien paga
La persona de administración tiene que saber que puede frenar un pago y preguntar sin consecuencias, aunque el pedido parezca venir del dueño.
Si ya hicieron la transferencia
Llame a su banco de inmediato
En las primeras horas, a veces se puede frenar o recuperar la transferencia. Cada hora cuenta.
No borre nada
Los correos, con sus encabezados, son la evidencia.
Denuncie
Ante la unidad de cibercrimen de la policía o la fiscalía de su país.
Revise las casillas involucradas
Si el correo salió de una cuenta real, está comprometida: cambie la clave, cierre sesiones y revise las reglas de reenvío.
Qué hacer si hackearon su correoAvise a clientes y proveedores
Si el atacante tuvo acceso a conversaciones con ellos.
La parte técnica (dominio, casillas, segunda clave, avisos de correo externo) es nuestro servicio de seguridad del correo corporativo. La parte de procesos es una conversación con su equipo, y vale tanto como la técnica. Para el panorama completo: qué es el phishing y ciberseguridad para pymes.
Servicios relacionados
Preguntas frecuentes
¿Qué es el fraude del CEO?
Es una estafa en la que alguien se hace pasar por el dueño, un directivo o un proveedor para que la empresa haga una transferencia o cambie una cuenta bancaria.
¿Qué es BEC?
Son las siglas en inglés de Business Email Compromise, compromiso del correo empresarial: el conjunto de fraudes que usan correos de empresas, falsos o robados, para desviar pagos.
¿Por qué no lo detecta el filtro de spam?
Porque no tiene enlaces ni adjuntos maliciosos: es un correo corto con un pedido. Y si sale de una casilla real robada, para el filtro es un correo legítimo.
¿Una empresa chica puede ser víctima?
Sí, y es frecuente: las pymes suelen tener menos controles sobre los pagos y menos protección en el correo.
¿Se puede recuperar el dinero?
A veces, si se avisa al banco en las primeras horas. Pasado ese tiempo, es mucho más difícil.
Más sobre phishing y correo
Qué es el phishing y cómo protege una empresa a su equipo
El phishing es un engaño: un mensaje que se hace pasar por alguien de confianza (un banco, un proveedor, el propio jefe)…
LeerTipos de phishing: smishing, vishing, spear phishing y más
El phishing empezó como un correo masivo mal escrito que imitaba a un banco. Hoy llega por SMS, WhatsApp, llamadas, códigos QR…
LeerSpear phishing: el ataque dirigido a su empresa
El phishing común tira la red y espera. El spear phishing apunta con arpón ("spear", en inglés): un correo escrito para una…
Leer¿Su correo corporativo está protegido contra la suplantación?
Lo revisamos desde afuera, sin claves, y le decimos si alguien puede mandar correos como si fuera su empresa.
¿Consulta urgente? WhatsApp 095 283 123