Ciberseguridad para pymes
Qué es el fraude del CEO, cómo llega por correo, WhatsApp o con la voz clonada del jefe y qué protocolo sencillo protege a tu pyme, sin tecnicismos.
Viernes, 17:20. A Laura, que lleva la administración de una empresa de reformas de quince personas, le llega un WhatsApp con la foto de Javier, el gerente.
“Laura, estoy cerrando una operación con un socio y no puedo hablar. Necesito que hagas una transferencia de 18.400 € antes de las 18:00. Es confidencial, de momento no lo comentes con nadie. Ahora te paso los datos.”
Laura conoce a Javier desde hace años. Sabe que está de viaje. El mensaje suena a él. Y son las cinco y veinte de un viernes.
Lo que Laura no sabe es que Javier está en un avión sin cobertura. Y que ese número no es el suyo.
Eso es el fraude del CEO. No hace falta hackear nada: basta con disfrazarse de jefe durante cinco minutos.
En este artículo
El fraude del CEO, también llamado estafa del CEO o fraude del director, es un engaño en el que alguien se hace pasar por la persona que manda en tu empresa para que alguien del equipo haga un pago urgente.
Piensa en alguien que se pone el abrigo de tu jefe y llama a la puerta de administración. No ha forzado ninguna cerradura. Solo se ha puesto el disfraz adecuado y ha esperado al momento justo.
Es primo hermano del fraude de las facturas falsas por email: allí el disfraz es el de un proveedor, aquí el de tu jefe. Los dos forman parte de lo que en seguridad se llama BEC, el compromiso del correo empresarial. Según el informe anual de delitos en internet del FBI (IC3), este tipo de fraude causó pérdidas de casi 2.800 millones de dólares en 2024, solo en Estados Unidos. En España, el INCIBE lleva años avisando de lo mismo.
No te lo contamos para asustarte. Te lo contamos porque es uno de los engaños más caros que existen y, a la vez, uno de los más fáciles de frenar.
Casi todos los casos siguen el mismo guion. Cuando lo conoces, cuesta mucho que te lo cuelen.
1. Investigan. Miran tu web, LinkedIn, las redes sociales y alguna nota de prensa. Así saben quién manda, quién paga y cómo se habla en tu empresa.
2. Eligen el momento. El jefe de viaje, un viernes por la tarde, el cierre de mes o justo antes de un puente. Momentos en los que comprobar algo cuesta más.
3. Contactan con prisa y secreto. Un correo, un WhatsApp o una llamada. Siempre con dos ingredientes: tiene que ser ya y no se lo puedes contar a nadie.
4. Piden el pago. Una transferencia a una cuenta nueva para una “operación confidencial”, una compra urgente o un proveedor extranjero.
El guion es siempre el mismo. Lo que cambia es el canal.
Llega desde una dirección casi igual a la real, con una letra cambiada u otro dominio. En el peor caso, llega desde la cuenta real del jefe, si alguien consiguió su contraseña. Por eso el segundo cerrojo importa tanto: lo explicamos en doble factor de autenticación: qué es y cómo activarlo.
Es la versión más habitual hoy en las pymes. Un número desconocido con la foto del jefe, sacada de la web o de LinkedIn, y una excusa: “es mi número personal” o “se me ha roto el móvil”. Lo contamos también en ingeniería social: qué es y cómo engañan a tu pyme.
Con unos pocos segundos de audio de una entrevista, un vídeo o una nota de voz, hoy se puede imitar la voz de una persona. No es lo más habitual en una pyme, pero ya ocurre. Si la voz suena a tu jefe pero la petición no encaja con cómo trabaja, fíate de la petición, no de la voz.
Es la versión más sofisticada. En 2024, un empleado de la ingeniería Arup en Hong Kong transfirió unos 25 millones de dólares después de una videollamada en la que todos los “directivos” eran imágenes generadas con inteligencia artificial. Es un caso extremo, pero deja una lección muy útil: ver una cara ya no es prueba suficiente.
Una pyme no es más ingenua que una gran empresa. Simplemente funciona de otra manera, y el fraude del CEO aprovecha justo eso.
Ninguna de estas cosas es un defecto. Es el día a día de una empresa pequeña. Por eso la solución no pasa por desconfiar de todo el mundo, sino por tener una regla clara.
| Señal | Cómo suena | Qué hacer |
|---|---|---|
| Prisa | ”Antes de las 18:00”, “es para hoy” | Frena. Lo urgente también se puede comprobar |
| Secreto | ”No se lo digas a nadie todavía” | Cuéntaselo a alguien. Es justo lo que no quieren |
| Canal nuevo | Un número que no tenías, un correo casi igual | Responde siempre por el canal de siempre |
| Cuenta bancaria nueva | ”Te paso los datos del socio” | Ningún pago a una cuenta nueva sin verificar |
| Saltarse el procedimiento | ”Esta vez hazlo directamente, ya lo firmo luego” | El procedimiento no tiene excepciones |
| Halagos o presión | ”Confío en ti para esto”, “no me falles” | Comprueba igual. Confiar no es lo mismo que no verificar |
Si ves dos de estas señales en el mismo mensaje, no hace falta más: para y comprueba.
¿Tu empresa tiene un procedimiento de pagos que frene este engaño?
En el diagnóstico gratuito revisamos cómo se aprueban los pagos, quién puede hacerlos y si tu correo está protegido contra la suplantación. Son 20 minutos, sin tecnicismos.
La buena noticia es que el fraude del CEO se frena con procesos, no con tecnología cara. Son cinco reglas que caben en un folio.
Ni aunque lo pida el gerente. Ni aunque sea urgente. Si un pago no sigue el camino de siempre, no se hace. Así de simple.
Si la petición llega por WhatsApp, llama al número de siempre. Si llega por correo, llama también. Si llega por teléfono, cuelga y vuelve a llamar tú al número que ya tenías. Nunca respondas por el mismo canal por el que te piden el dinero.
Por encima de un importe que decidáis, por ejemplo 3.000 €, tienen que dar el visto bueno dos personas. Es como una caja fuerte que necesita dos llaves a la vez: con una sola no se abre.
Acordad una palabra o una pregunta que solo conozca el equipo y que nunca se escriba en ningún sitio. Si alguna vez hay una urgencia real por teléfono, se pide. Si quien llama no la sabe, no es tu jefe.
Esta es la más importante. Quien manda tiene que decirlo en voz alta y, si puede, por escrito: “Nunca os voy a pedir un pago saltándonos el procedimiento. Si os llega algo así, aunque parezca mío, comprobadlo. Nunca me voy a enfadar por eso.” Con esa frase, frenar deja de ser una falta de respeto.
Y por la parte técnica, dos cosas ayudan mucho: que el correo de tu empresa tenga el doble factor activado y que tu dominio tenga bien configurado DMARC, para que nadie pueda enviar correos en vuestro nombre. Te lo explicamos en DMARC, DKIM y SPF sin tecnicismos.
Primero, respira. Le pasa a empresas de todos los tamaños, y buscar culpables solo hace perder tiempo. Lo importante ahora es la velocidad.
| Cuándo | Qué hacer |
|---|---|
| En los primeros minutos | Llama a tu banco y pide que intenten frenar o recuperar la transferencia. Cuanto antes avises, más opciones hay |
| Hoy mismo | Presenta denuncia ante la Policía Nacional o la Guardia Civil, con capturas, correos y los datos de la transferencia |
| Hoy mismo | Llama al 017, la línea gratuita de ayuda en ciberseguridad del INCIBE. Te orientan paso a paso |
| Si el mensaje salió del correo real del jefe | Cambia esa contraseña desde otro dispositivo, cierra todas las sesiones y activa el doble factor |
| En los días siguientes | Revisad juntos qué falló en el procedimiento, sin buscar culpables, y ajustadlo |
Si sospechas que alguien ha entrado en vuestras cuentas, tienes el paso a paso completo en Me han hackeado: qué hacer en las próximas 72 horas.
¿Y el banco tiene que devolver el dinero? Cuando la transferencia la ordenó alguien de tu equipo, aunque fuera engañado, la respuesta suele ser distinta a la de un cargo que nadie autorizó. Te lo explicamos en ¿El banco me devuelve el dinero si estafan a mi pyme?.
El fraude del CEO no ataca tus ordenadores. Ataca la confianza entre tu equipo y quien lo dirige, y se aprovecha de la prisa y del secreto.
Se frena con muy poco: ningún pago fuera del procedimiento, verificar siempre por otro canal, dos firmas para los pagos importantes y un jefe que dice en voz alta que comprobar está bien visto.
Un estafador puede copiar la foto, el tono y hasta la voz de tu jefe. Lo que no puede copiar es vuestra forma de trabajar.
Si quieres saber si tu empresa tiene estos procesos bien atados y el correo protegido, el diagnóstico inicial gratuito de CALMA lo revisa contigo. Son 20 minutos, sin compromiso y sin tecnicismos.
Es un engaño en el que alguien se hace pasar por el gerente o un directivo de tu empresa para pedir a alguien del equipo una transferencia urgente y confidencial. No hace falta hackear nada: basta con un correo, un WhatsApp o una llamada convincentes en el momento justo.
Sí, son dos nombres para el mismo engaño. También lo verás como fraude del director o, en inglés, CEO fraud. Forma parte de un grupo más amplio de fraudes llamado BEC, en el que también está el de las facturas falsas con un cambio de cuenta bancaria.
Normalmente desde un número desconocido con la foto de tu jefe, sacada de la web o de LinkedIn. Suele venir con una excusa, como un móvil nuevo o una reunión importante, y con prisa. Antes de hacer nada, llama al número de siempre de esa persona.
Sí. Con unos segundos de audio de un vídeo o una nota de voz se puede imitar una voz. No es lo más habitual en pymes, pero ya pasa. Por eso conviene tener una palabra clave interna y verificar cualquier pago volviendo a llamar tú al número de siempre.
Las personas que pueden mover dinero: administración, contabilidad o quien tenga acceso a la banca online. En una pyme suele ser una sola persona, y eso la convierte en el objetivo perfecto. Por eso ayuda tanto que los pagos importantes necesiten el visto bueno de dos personas.
Llama a tu banco en ese mismo momento para que intente frenarla o recuperarla, porque las primeras horas son clave. Después presenta denuncia ante la Policía Nacional o la Guardia Civil y llama al 017 del INCIBE, que te orienta gratis paso a paso.
No siempre. Si la transferencia la hizo alguien de tu empresa, para el banco la orden era válida y no está obligado a devolverla. Lo que sí puede hacer es intentar frenarla o pedir su devolución al banco de destino. Por eso avisar en los primeros minutos marca la diferencia.
Con cinco reglas que caben en un folio: ningún pago fuera del procedimiento, verificar siempre por otro canal, dos personas para los pagos importantes, una palabra clave para las urgencias y un jefe que diga en voz alta que comprobar está bien visto.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
