El fraude del CEO —también llamado BEC, Business Email Compromise— no necesita malware, ni vulnerabilidades técnicas, ni acceso a tus sistemas. Solo necesita que alguien del equipo, bajo presión, mueva dinero o envíe documentación sin verificar quién lo está pidiendo de verdad.
Es uno de los fraudes con mayor impacto económico por incidente, y afecta especialmente a empresas donde una sola persona autoriza pagos sin un segundo control.
Cómo funciona en la práctica
El atacante investiga primero: revisa la web de la empresa, LinkedIn y redes sociales para identificar quién es el gerente, quién gestiona los pagos y cuándo suele estar fuera de oficina (viajes, vacaciones). Con esa información, envía un correo —a veces desde un dominio casi idéntico al real, a veces desde una cuenta ya comprometida— haciéndose pasar por el directivo.
El mensaje pide algo urgente y confidencial: una transferencia a un nuevo proveedor, el pago anticipado de una factura o un cambio de cuenta bancaria. Suele incluir una razón que justifica saltarse el proceso habitual: «estoy en una reunión y no puedo llamar», «es confidencial, no lo comentes con nadie todavía».
Por qué funciona incluso en equipos con experiencia
El BEC no explota un fallo técnico, explota tres reflejos humanos:
- Jerarquía. Cuesta cuestionar una orden que parece venir de un superior.
- Urgencia. La presión de tiempo reduce la probabilidad de verificar antes de actuar.
- Confidencialidad. Pedir discreción evita que la víctima consulte con un compañero.
Dato
La pérdida media por incidente de fraude del CEO en pymes supera los 50.000€, y en la mayoría de los casos el dinero no se recupera una vez transferido.
El único control que realmente lo frena
No es la tecnología: es un protocolo simple aplicado sin excepciones.
- Toda transferencia por encima de un umbral definido requiere verificación por un canal distinto al del correo — una llamada al número de teléfono habitual, nunca al que aparece en el propio email.
- Ningún cambio de cuenta bancaria de un proveedor se aplica sin confirmarlo por teléfono directamente con esa persona.
- Ninguna orden por correo, por sí sola, es suficiente para autorizar un pago — siempre hace falta un segundo canal o una segunda persona.
Este protocolo cuesta cero en tecnología y reduce drásticamente el riesgo. Lo difícil no es definirlo, sino que se cumpla también cuando «total, es solo esta vez» — que es exactamente el momento en que un atacante cuenta con que lo saltes.