Un correo del «director general» pidiendo una transferencia urgente y confidencial, una llamada de un proveedor habitual avisando de un cambio de cuenta bancaria, o incluso una videollamada donde la voz y la imagen de tu jefe parecen completamente reales gracias a la inteligencia artificial: así es como opera hoy la estafa del CEO, uno de los fraudes que más dinero hace perder a autónomos y pequeñas empresas en España. Te explicamos cómo funciona, cómo detectarlo y qué hacer si ya has sido víctima.
Qué es la estafa del CEO (fraude BEC)
La estafa del CEO, también conocida internacionalmente como fraude BEC (Business Email Compromise), consiste en que un ciberdelincuente se hace pasar por un directivo, socio comercial o proveedor de confianza de tu empresa para engañar a un empleado —normalmente alguien con capacidad para autorizar pagos— y conseguir que realice una transferencia a una cuenta controlada por el estafador, o que pague una factura falsa haciéndola pasar por legítima.
A diferencia del phishing dirigido a particulares, este fraude suele estar muy bien documentado por los delincuentes: conocen la estructura jerárquica de la empresa, los nombres reales de los directivos, e incluso detalles de proveedores habituales, información que a menudo obtienen de redes sociales profesionales, webs corporativas o filtraciones previas.
Cómo funciona el patrón habitual
- Recopilación de información sobre la empresa. El estafador investiga previamente quién ocupa cargos directivos, quién gestiona los pagos y qué proveedores trabajan habitualmente con la empresa.
- Suplantación del remitente. El correo fraudulento suele usar un dominio muy parecido al real, con una letra o carácter cambiado que pasa fácilmente desapercibido, o directamente accede a la cuenta de correo real del directivo si ha sido previamente comprometida.
- Solicitud de confidencialidad absoluta. El mensaje suele insistir en que se trata de un «asunto muy sensible» (una operación confidencial, una inspección fiscal, una fusión) precisamente para evitar que el empleado consulte con el propio directivo o con un compañero.
- Urgencia y tono autoritario. Se exige actuar de inmediato, apelando a la confianza que la empresa deposita en el empleado o incluso mezclando halagos con cierta presión jerárquica.
- Solicitud de pago que se aparta de los procedimientos habituales. Se pide una transferencia internacional urgente, la compra de tarjetas regalo, o el cambio de cuenta bancaria de un proveedor conocido para el pago de una factura pendiente.
Las variantes más recientes: deepfakes y videollamadas
Con el auge de la inteligencia artificial, el fraude del CEO ha dado un salto cualitativo: los atacantes ya no se limitan a correos electrónicos, sino que utilizan tecnología de clonación de voz e imagen (deepfakes) para simular con gran realismo videollamadas o mensajes de voz de un directivo real, por ejemplo, a través de Microsoft Teams u otras plataformas de videoconferencia. Se han documentado casos de empresas que han sufrido estafas millonarias tras una videollamada donde el supuesto CEO, generado mediante IA, ordenaba directamente la transferencia.
Otra variante habitual es el fraude del proveedor: el estafador suplanta a un proveedor con el que la empresa ya trabaja de forma habitual e informa de un supuesto cambio de cuenta bancaria para el pago de la próxima factura. Si el departamento financiero no verifica ese cambio por un canal alternativo, el dinero llega directamente al estafador en lugar de al proveedor real.
Señales de alarma que deben hacerte sospechar
- Una llamada o correo de un alto cargo con el que normalmente no tienes contacto directo.
- Solicitud de confidencialidad absoluta sobre la operación.
- Presión temporal y carácter de urgencia inusual.
- Petición que se aparta de los procedimientos internos habituales de autorización de pagos.
- Direcciones de correo con pequeñas variaciones respecto al dominio real de la empresa o del proveedor.
- Un aviso de cambio de cuenta bancaria de un proveedor recibido únicamente por correo electrónico, sin confirmación por otro canal.
Por qué es tan difícil recuperar el dinero después
Una vez ejecutada la transferencia, el dinero suele moverse con mucha rapidez a través de varias cuentas intermedias —a menudo gestionadas por «mulas bancarias», personas que ceden su cuenta sin ser plenamente conscientes del fraude— antes de convertirse en criptomonedas o salir del sistema bancario europeo. Esto explica por qué la velocidad de reacción es determinante: cuanto antes se detecte y se comunique el fraude a los bancos implicados, mayores son las posibilidades de bloquear el dinero antes de que se pierda su rastro.
Qué hacer si has sido víctima de la estafa del CEO
1. Actúa en las primeras horas: contacta con ambos bancos
Llama de inmediato a tu banco para solicitar el bloqueo o la retención de la operación si todavía es técnicamente posible, y pide que se contacte con el banco receptor para intentar congelar los fondos antes de que se retiren.
2. Denuncia ante la Policía Nacional o la Guardia Civil
Puedes presentar la denuncia de forma telemática a través de la sede electrónica de la Guardia Civil o de la Policía Nacional. Aporta toda la documentación disponible: correos, capturas de la conversación, datos de la cuenta de destino y cualquier otro detalle relevante.
3. Reclama al banco con la copia de la denuncia
Con el justificante de la denuncia, presenta una reclamación formal a tu banco solicitando que colabore activamente en la recuperación de los fondos, especialmente si la cuenta de destino pertenece a la misma entidad o a un banco con el que existe cooperación establecida.
4. Consulta tu póliza de seguro
Algunas pólizas de seguro para autónomos y pymes incluyen cobertura específica frente a ciberfraude o fraude del CEO. Revisa tu contrato o consulta con tu correduría, ya que podría cubrir parte de la pérdida.
5. Valora la vía legal con un informe pericial
En casos de importe elevado, un informe pericial forense sobre la operativa del fraude puede resultar decisivo tanto para reforzar la denuncia penal como para plantear una acción civil contra el banco receptor de los fondos, especialmente si se puede acreditar que la cuenta de destino carecía de controles adecuados para detectar movimientos de origen fraudulento.
¿Es responsable el banco de algo en este tipo de fraude?
Aquí conviene ser claro sobre un matiz legal importante: al tratarse de una transferencia autorizada por tu propio empleado (aunque fuera engañado), no se aplica el mismo régimen de operación no autorizada del Real Decreto-ley 19/2018 que protege a las víctimas de phishing o clonación de tarjeta. Es tu empresa quien dio la orden de pago, por lo que tu banco, en principio, no está obligado a devolver automáticamente el dinero.
Dicho esto, algunos tribunales españoles sí han reconocido cierta responsabilidad parcial del banco receptor de los fondos cuando se demuestra que no existían controles adecuados para detectar que la cuenta utilizada actuaba como «cuenta mula», recibiendo y redistribuyendo con rapidez fondos de origen claramente sospechoso. Esta vía, sin embargo, requiere normalmente asistencia legal especializada y un análisis pericial detallado de la operativa.
Cómo proteger tu empresa o tu actividad como autónomo
- Establece un protocolo de doble autorización para cualquier transferencia que supere un umbral determinado (por ejemplo, a partir de 10.000 euros), de forma que ningún pago importante dependa de una sola persona.
- Exige una llamada de verificación (callback) a un número de teléfono ya conocido antes de ejecutar cualquier orden de pago inusual o cualquier cambio de cuenta bancaria de un proveedor, nunca al número que aparezca en el propio correo sospechoso.
- Configura correctamente los protocolos SPF, DKIM y DMARC de tu dominio de correo corporativo, en modo de rechazo estricto, para dificultar la suplantación de tu propio dominio.
- Forma periódicamente a tu equipo financiero en el reconocimiento de estas técnicas de fraude, incluyendo las variantes más recientes basadas en deepfakes de voz e imagen.
- Verifica siempre por un canal alternativo cualquier cambio de cuenta bancaria comunicado por un proveedor, llamando directamente a un contacto de confianza ya conocido.
Preguntas frecuentes
¿Puedo recuperar el dinero si actúo rápido? Es posible, especialmente si consigues que el banco bloquee la cuenta de destino antes de que el dinero se retire o se transforme en criptomonedas. Cuanto más tiempo pase, menores son las probabilidades de recuperación.
¿Mi seguro de empresa cubre este tipo de fraude? Depende de la póliza. Revisa si tienes contratada una cobertura específica de ciberriesgo o fraude del CEO, cada vez más habitual en seguros para pymes y autónomos.
¿Es obligatorio denunciar antes de reclamar al banco? No siempre es obligatorio, pero acompañar tu reclamación con la denuncia refuerza considerablemente tu posición y suele ser un requisito práctico para que el banco colabore activamente en la investigación.
¿Qué pasa si el fraude se ejecutó mediante una videollamada con voz clonada? El procedimiento de actuación es el mismo: denuncia, reclamación bancaria y, si el importe lo justifica, informe pericial forense. La sofisticación tecnológica del engaño puede ser relevante, además, a la hora de valorar responsabilidades en un procedimiento judicial posterior.
Conclusión
La estafa del CEO combina ingeniería social, urgencia y, cada vez más, tecnología de inteligencia artificial para engañar incluso a empleados experimentados. La mejor defensa no es solo tecnológica, sino también organizativa: protocolos claros de doble verificación, formación continua del equipo y la costumbre de comprobar siempre por un canal alternativo cualquier solicitud de pago inusual, por muy urgente y confidencial que parezca.
Este artículo tiene un carácter meramente informativo y no sustituye el asesoramiento legal personalizado. Si tu empresa ha sido víctima de una estafa del CEO, se recomienda actuar con la máxima rapidez y consultar con un abogado especializado en derecho bancario y ciberseguridad.
