Imagina que es viernes por la tarde y a la persona de administración le llega un correo de la gerencia: hay que hacer una transferencia hoy mismo, es confidencial y no se lo debe contar a nadie hasta que esté hecha. El jefe está de viaje, no contesta al teléfono y el mensaje insiste en que es urgente. Muchas personas pagarían. Eso es el fraude del CEO, y funciona precisamente porque no depende de ningún fallo técnico.

◢¿Qué es el fraude del CEO y cómo funciona?

También se conoce como estafa del CEO, fraude del director o suplantación de directivos. La persona que lo intenta se hace pasar por alguien con autoridad, normalmente un CEO, un presidente o un director, y pide un pago a una persona que puede hacerlo.

Antes de escribir, los atacantes suelen documentarse. INCIBE explica que investigan a la empresa: el organigrama, las direcciones de correo, los proveedores, las vacaciones de los jefes, lo que se publica en redes sociales. En muchos casos vigilan el correo durante semanas y actúan cuando se espera una factura importante o cuando el directivo está fuera.

El mensaje se apoya en tres palancas: urgencia, confidencialidad y miedo a contrariar a un superior. Ninguna requiere ni una línea de código malicioso.

◢¿Qué señales delatan un fraude del CEO?

Hay patrones que se repiten, y INCIBE los recoge:

• ▹Un pago urgente que se sale del procedimiento habitual.
• ▹La petición de que no se lo cuentes a nadie, con frases del estilo "este pago es confidencial".
• ▹La insistencia en salir del canal normal, por ejemplo pasar del correo a WhatsApp.
• ▹Un remitente con un dominio parecido al real, con una letra cambiada o una terminación distinta.

Ninguna de las señales por sí sola prueba nada. Juntas, deberían hacer que te pares.

◢¿Qué variantes existen?

El esquema del jefe que pide una transferencia es el más conocido, pero INCIBE describe más:

• ▹El pago con tarjetas regalo, con ingresos en efectivo o en cajeros de criptomonedas.
• ▹El whaling, dirigido a altos directivos.
• ▹El llamado ataque al becario, dirigido a personas recién incorporadas que todavía no conocen los procedimientos.
• ▹El fraude BEC (compromiso del correo corporativo), en el que se cambia la cuenta bancaria de una factura legítima.
• ▹La suplantación de la voz o del vídeo de un directivo con inteligencia artificial.

Esta última es la que más conviene tener presente. Si una llamada con la voz del gerente puede ser falsa, una voz conocida deja de ser una comprobación suficiente. Por eso la verificación tiene que apoyarse en un procedimiento y no en una impresión.

◢¿Por qué cae gente espabilada?

Porque la víctima no se equivoca por torpeza, actúa de forma razonable con la información que tiene. Quien paga cree que obedece a su jefe, que hay prisa de verdad y que preguntar sería un fallo. Y el atacante ha elegido un momento en el que nadie puede desmentirlo.

Es parecido a lo que veo cuando analizo cómo entran los atacantes en una empresa: casi siempre empiezan por una persona y no por un servidor. Lo comenté en los ataques no entran por el servidor.

◢Qué hacer para prevenirlo en tu empresa

INCIBE propone diez medidas. Estas son las que mejor funcionan en una pyme:

• ▹Verifica cualquier transferencia urgente por un canal distinto del que ha llegado la petición, con un teléfono que ya tengas guardado y no con el que aparece en el mensaje.
• ▹Revisa el dominio del remitente letra a letra.
• ▹Exige doble autorización a partir de un importe que decidáis.
• ▹Define cómo se da de alta una cuenta nueva y cómo se cambia un IBAN, y que ese cambio siempre se confirme con el proveedor por otra vía.
• ▹Limita la información pública sobre directivos, agendas y procesos internos.
• ▹Desconfía de la urgencia y de la confidencialidad, aunque el mensaje parezca de quien parece.
• ▹Usa filtros de correo que detecten dominios parecidos.
• ▹Mantén actualizado el plan de respuesta a incidentes.

Un detalle que ayuda mucho: que la persona que paga sepa que tiene permiso expreso para dudar. Si en tu empresa preguntar a la gerencia por un pago sale caro, el fraude ya ha ganado la mitad.

◢¿Qué hacer si ya has hecho el pago?

El tiempo cuenta. INCIBE indica que hay que contactar de inmediato con el banco, denunciar ante la Policía o la Guardia Civil y llamar a la línea de ayuda en ciberseguridad, el 017, que atiende de 08:00 a 23:00 todos los días del año.

Avisa también internamente. Quien ha pagado suele sentir vergüenza y tarda en contarlo, y esas horas son las que más perjudican.

◢¿Se puede entrenar a la plantilla?

Se puede, y es lo más rentable. Una norma escrita que nadie ha ensayado se olvida en cuanto llega un correo convincente. Lo que funciona es practicar escenarios reales: qué hago si me escribe la gerencia pidiendo un pago, a quién llamo, qué digo.

Es uno de los temas que trabajo en mis formaciones de ciberseguridad e IA para empresas, pensadas para equipos que no son técnicos.