Fraude del CEO: cómo funciona, cómo detectarlo y qué procesos lo frenan

Por Kike Gandia · Co-Fundador y CEO, OSCP

El fraude del CEO es una estafa en la que un delincuente se hace pasar por un directivo, un proveedor o un asesor de confianza para que alguien con capacidad de pago haga una transferencia urgente a una cuenta que controla él. Es la forma más conocida del BEC (Business Email Compromise) y no necesita malware: basta un correo o una llamada convincentes en el momento adecuado. Por eso se frena sobre todo con procesos de pago que nadie se salta, aunque quien presione parezca el consejero delegado. Aquí verás sus variantes, cómo se prepara, las señales de alerta, los controles que funcionan, qué aporta la verificación del beneficiario y qué hacer si el dinero ya ha salido.

Qué es el fraude del CEO y por qué sigue funcionando

El fraude del CEO es la variante más conocida de lo que el FBI y la industria llaman BEC (Business Email Compromise): una estafa dirigida a empresas que trabajan con proveedores o hacen transferencias con frecuencia, en la que el atacante suplanta a alguien de confianza —por correo, por teléfono o por videollamada— para desviar un pago. No hay un exploit ni un virus que detectar: el empleado que ordena la transferencia lo hace con sus credenciales legítimas, convencido de que cumple una instrucción real.

Dos datos para dimensionarlo:

El informe anual 2025 del IC3, el centro de denuncias de ciberdelitos del FBI, recoge 24.768 denuncias por BEC y 3.046 millones de dólares en pérdidas declaradas, la segunda categoría con más pérdidas después del fraude de inversión. Son denuncias presentadas ante el FBI, en su mayoría desde Estados Unidos, así que no miden el problema global.
En España, INCIBE sitúa el fraude del CEO entre las diez temáticas más consultadas por empresas en su línea de ayuda en ciberseguridad.

Funciona porque explota cómo trabaja una empresa normal: jerarquía, prisa, confidencialidad en operaciones sensibles y un equipo de finanzas que paga facturas a decenas de proveedores. La defensa, por tanto, tiene que estar en el proceso de pago, no solo en el filtro de correo.

Las variantes: falso directivo, falso proveedor y otras

Bajo el mismo nombre se agrupan guiones distintos. Conviene conocerlos todos, porque cada uno llega a una persona diferente de la empresa:

Variante	A quién suplantan	Qué piden	A quién se dirige
Falso directivo	Consejero delegado, director financiero o socio	Una transferencia urgente y confidencial, a menudo a una cuenta en el extranjero	Finanzas, tesorería, administración
Falso proveedor (cambio de IBAN)	Un proveedor real con facturas en curso	Pagar las próximas facturas en una cuenta bancaria nueva	Cuentas a pagar
Falso abogado u operación confidencial	Un despacho, auditor o asesor de una supuesta compra o fusión	Un pago para cerrar la operación sin comentarlo con nadie	Dirección financiera
Desvío de nómina	Un empleado	Cambiar la cuenta donde cobra la nómina	Recursos humanos, gestoría
Robo de información	Un directivo	Datos de empleados, listados de clientes o facturas pendientes, como paso previo a otro fraude	Administración, recursos humanos

El falso proveedor suele ser el más difícil de detectar: no exige que el empleado desobedezca ningún procedimiento, solo que actualice un dato bancario, y la factura que paga es real, por un importe esperado y en la fecha prevista. El falso directivo, en cambio, depende de que la víctima se salte el proceso por presión jerárquica, y se combate sobre todo con cultura: que nadie sea reprendido por verificar una orden del jefe.

Cada vez más, el primer contacto por correo se refuerza con una llamada o un audio con la voz del directivo, a veces generada con IA. Esa parte la tratamos en detalle en la guía de vishing y deepfakes de voz.

Cuenta comprometida, dominio parecido o nombre falsificado

La pregunta técnica que más condiciona la defensa es desde dónde llega el mensaje fraudulento. Hay cuatro situaciones, y en cada una sirven controles distintos:

Origen del correo	Cómo se ve	Qué lo frena
Nombre visible falsificado	El nombre del directivo, pero con una dirección personal de Gmail u Outlook	Etiqueta de remitente externo, formación básica
Dominio parecido	empresa-sl.com en lugar de empresa.com, o una letra cambiada (rn por m)	Detección de dominios parecidos, revisar la dirección completa, verificación fuera de banda
Suplantación del dominio exacto	Aparenta salir de tu propio dominio o del de tu proveedor	DMARC en p=reject y una pasarela de correo que aplique DMARC al correo entrante
Cuenta real comprometida	La dirección auténtica, dentro de un hilo real, con el tono y la firma de siempre	Solo la verificación fuera de banda; en tus cuentas, MFA resistente al phishing y alertas de reglas de buzón

El último caso desmonta el consejo de «fíjate en el remitente». Cuando el atacante ha entrado en el buzón de un proveedor —o en el de tu propio director financiero—, el correo sale de la cuenta legítima, responde a una conversación auténtica y adjunta una factura que parece correcta. INCIBE describe que en la mayoría de casos los delincuentes pasan varias semanas dentro del correo de la víctima, observando las conversaciones y creando reglas para que no vea lo que no le interesa. Por eso ningún control basado en el correo basta por sí solo: el dato bancario se confirma por otro canal o no se cambia.

Si la cuenta comprometida es una de las tuyas, las reglas de reenvío y de bandeja de entrada son la huella que hay que buscar; lo explicamos en el recurso sobre reglas de reenvío maliciosas en Exchange Online.

Cómo se prepara un ataque de fraude del CEO

Un fraude del CEO bien ejecutado es un trabajo de inteligencia previo, no un correo masivo. Estas son sus fases típicas:

Reconocimiento (OSINT): la web corporativa, LinkedIn, las notas de prensa, el BORME y las redes sociales dan el organigrama, quién firma los pagos, quiénes son los proveedores y clientes principales y cómo se escriben los nombres y cargos. Las firmas de correo y las respuestas automáticas de «fuera de la oficina» completan el cuadro: dicen quién está de viaje, hasta cuándo y a quién dirigirse en su ausencia.
Preparación de la infraestructura: registro de un dominio parecido, creación de una cuenta de correo con el nombre del directivo o, en la variante más elaborada, acceso a un buzón real mediante phishing de credenciales.
Elección del momento: vacaciones o viajes del directivo suplantado, cierre de trimestre o de ejercicio, cuando finanzas va con prisa, días antes de un pago grande ya conocido, o justo después de una noticia corporativa —una adquisición, una ronda, un cliente nuevo— que hace creíble una operación confidencial.
Ejecución: un primer mensaje corto para comprobar que la víctima responde («¿estás en la oficina? necesito que me gestiones algo discreto»), el traslado a WhatsApp o a un teléfono personal y, solo entonces, la petición del pago, a veces repartida en varios importes.

Cuanta más información publica una empresa sobre quién decide y cómo paga, más barato le sale al atacante preparar el guion. Revisar qué se publica también es defensa, y es justo lo que mide un ejercicio de OSINT ofensivo antes de una simulación.

Señales de alerta de un fraude del CEO

Ninguna señal aislada prueba un fraude, pero la combinación de varias debería parar cualquier pago:

Urgencia con hora límite: el pago tiene que salir hoy, antes de que cierre el banco o de una reunión.
Secreto: «no lo comentes con nadie», «es una operación confidencial», «yo hablo luego con el director financiero».
El directivo no está localizable: está en un vuelo, en una reunión o en el extranjero, y pide que no le llamen.
Cambio de canal: la conversación salta del correo corporativo a WhatsApp, a un móvil desconocido o a un correo personal.
Cambio de datos bancarios: un proveedor de siempre comunica una cuenta nueva, a menudo en otro país o a nombre de otra sociedad, con una excusa como una auditoría, un cambio de banco o una filial.
Excepciones al procedimiento: piden saltarse la doble firma, pagar fuera de la remesa habitual o no registrar todavía la factura.
Pequeñas incoherencias: un dominio con una letra distinta, un tono más formal o más cercano de lo normal, una firma sin el teléfono de siempre, un PDF de factura con un formato ligeramente diferente.
Halagos y presión jerárquica: «confío en ti para esto», «no me falles».

Las tres primeras son el núcleo del guion del falso directivo; la quinta, el del falso proveedor. Ante cualquiera de ellas, la respuesta no es investigar el correo, sino aplicar el procedimiento de verificación.

Los procesos que frenan el fraude del CEO

Es la parte más importante de esta guía. Los controles técnicos reducen el número de intentos que llegan; los procesos deciden si un intento que llega acaba en pérdida. Estos son los que funcionan, siempre que estén escritos, aprobados por la dirección y se cumplan también cuando quien presiona es un directivo:

Proceso	Qué frena	Cómo implantarlo
Verificación fuera de banda	Falso directivo, falso proveedor, cuenta comprometida	Llamada a un teléfono que ya estaba en tus registros, nunca al que aparece en el correo o en la factura
Doble firma	Pagos urgentes ordenados por una sola persona	Dos personas autorizan toda transferencia por encima de un umbral, configurado en la banca electrónica y no solo en un manual
Regla de cambio de IBAN	Falso proveedor, desvío de nómina	Ningún cambio de cuenta se acepta por correo: se confirma por teléfono con un contacto conocido y lo registra en el ERP alguien distinto de quien aprueba los pagos
Periodo de espera para nuevos beneficiarios	Pagos urgentes a cuentas recién dadas de alta	Un plazo fijo entre el alta o el cambio de una cuenta y el primer pago, salvo verificación reforzada
Palabra clave	Llamadas o audios que imitan la voz del directivo	Una palabra o pregunta acordada en persona para validar órdenes de pago que se salen del proceso habitual
Verificar no es desconfiar	Presión jerárquica	La dirección declara por escrito que nadie será reprendido por retrasar un pago para verificarlo

Algunos matices que marcan la diferencia en la práctica:

El teléfono de verificación sale del maestro de proveedores o del directorio interno, no de la firma del correo que pide el cambio. Si el atacante controla el buzón del proveedor, también controla esa firma.
La llamada la inicia tu empresa. Una llamada entrante que «confirma» el cambio no vale: puede ser del propio atacante.
El umbral de la doble firma tiene que quedar por debajo de los importes habituales de las facturas grandes, o el atacante simplemente partirá el pago en varios.
El periodo de espera puede ser de uno o varios días hábiles. La cifra la decide cada empresa según su ritmo de pagos, pero tiene que existir y aplicarse también a las urgencias.
Los cambios de cuenta de empleados para la nómina siguen la misma regla que los de proveedores.

Además, algunas pólizas de ciberriesgo condicionan la cobertura del fraude por ingeniería social a que existiera un procedimiento de verificación de cambios de cuenta bancaria.

Controles técnicos que reducen la exposición

Ningún control técnico detiene por sí solo un fraude del CEO, pero varios reducen mucho los intentos que llegan a la bandeja de entrada y cortan la variante más dañina, la de la cuenta comprometida:

DMARC en p=reject, con SPF y DKIM bien alineados: impide que alguien envíe correo que aparente salir exactamente de tu dominio. Protege sobre todo a tus clientes y proveedores frente a correos falsos en tu nombre; para protegerte a ti, tu pasarela de correo tiene que aplicar la política DMARC de los dominios que te escriben. No frena dominios parecidos ni cuentas reales comprometidas.
Detección de dominios parecidos: vigilar el registro de dominios similares al tuyo y a los de tus proveedores clave (letras cambiadas, guiones, otras extensiones). Herramientas libres como dnstwist generan y comprueban esas variantes, y algunas pasarelas de correo marcan los dominios recién registrados.
Etiqueta o banner de remitente externo: un aviso visible en cada correo que llega de fuera de la organización. Delata el caso más simple, el del «CEO» que escribe desde una dirección externa con su nombre.
MFA resistente al phishing (llaves FIDO2, passkeys o autenticación basada en certificado) para el correo, empezando por dirección y finanzas. El MFA por SMS o por notificación push se puede saltar con phishing de tipo adversary-in-the-middle, que roba la sesión ya autenticada.
Alertas de reglas de buzón y reenvío externo: bloquear el reenvío automático a dominios externos salvo excepción aprobada y alertar cuando se crea una regla que reenvía, mueve o borra correos. Es la huella más fiable de un buzón comprometido.
Control de cambios en el ERP: registro y alerta de cualquier modificación de los datos bancarios del maestro de proveedores y de empleados, con segregación de funciones entre quien cambia y quien paga.

En Microsoft 365 y Google Workspace casi todo esto es configuración, no producto nuevo. Comprobar que está activo, y que nadie ha abierto excepciones con el tiempo, forma parte de cualquier auditoría de seguridad de la plataforma de correo.

La verificación del beneficiario: qué aporta y dónde se queda corta

Desde el 9 de octubre de 2025, los bancos y demás proveedores de servicios de pago de los países de la zona euro están obligados a ofrecer la verificación del beneficiario (Verification of Payee) antes de que el ordenante autorice una transferencia en euros. La impone el artículo 5 quater que el Reglamento (UE) 2024/886, el de las transferencias inmediatas, añadió al Reglamento (UE) n.º 260/2012. Se aplica a transferencias ordinarias e inmediatas, por cualquier canal, y es gratuita. En los Estados miembros que no usan el euro, la fecha es el 9 de julio de 2027.

Cómo funciona: el banco del ordenante consulta al del beneficiario si el nombre que has escrito corresponde al titular del IBAN y, antes de que autorices, te muestra uno de estos resultados:

Resultado	Qué significa	Qué hacer
Coincide	El nombre corresponde al titular de la cuenta	Seguir el proceso habitual
Casi coincide	Se parece, y el banco te muestra el nombre real del titular	Comprobar ese nombre antes de seguir
No coincide	El titular de la cuenta es otro	No pagar sin verificar fuera de banda
No se ha podido verificar	La comprobación no se ha completado	Tratarlo como no verificado

Es un avance real contra el falso proveedor más burdo: si el atacante pide pagar la factura de una sociedad en una cuenta que está a nombre de una persona física, el banco avisará. Pero tiene límites que conviene conocer:

No detecta una cuenta a nombre del estafador si le das ese nombre. Si el correo dice «a partir de ahora pagad a nuestra sociedad de factoring» y escribes el nombre que te facilita, el resultado será «coincide»: la cuenta existe y está a ese nombre. La verificación comprueba que el nombre corresponde al IBAN, no que el beneficiario sea quien crees.
Un aviso no bloquea el pago. El reglamento deja claro que el ordenante puede autorizar la transferencia igualmente; el banco solo debe advertirle de que el dinero puede acabar en una cuenta que no es del beneficiario previsto. Un guion bien preparado se adelanta al aviso («el banco os dará un aviso con la cuenta nueva, es normal»).
Las empresas pueden renunciar a ella en los pagos por lotes. Los usuarios que no son consumidores pueden desactivar la verificación cuando envían varias órdenes como un paquete, como una remesa de pagos a proveedores. Si tu empresa paga así, comprueba si la ha desactivado y, en ese caso, asegúrate de que el control se hace al dar de alta o cambiar el IBAN.
La obligación cubre transferencias en euros dentro de la UE. Un pago a una cuenta fuera de la Unión o en otra divisa no tiene por qué pasar por esta comprobación, y es justo a donde apuntan muchos guiones del falso directivo.

En resumen: la verificación del beneficiario es una red de seguridad útil, no un sustituto de la regla de cambio de IBAN ni de la llamada a un teléfono conocido.

Qué hacer si ya se ha hecho la transferencia

Si el dinero ya ha salido, cada hora cuenta: cuanto antes se actúa, más probable es que los fondos sigan en la cuenta de destino. En este orden:

Llamar al banco en ese momento, no escribir un correo. Pide que intente la retrocesión de la transferencia (recall) y que avise al banco de destino. Según el artículo 59 del Real Decreto-ley 19/2018, una transferencia ejecutada con el IBAN facilitado se considera correctamente ejecutada, pero el banco del ordenante debe esforzarse razonablemente por recuperar los fondos y el del beneficiario tiene que colaborar. Eso no garantiza la devolución: si el dinero ya se ha movido a otras cuentas, recuperarlo es muy difícil.
Denunciar ante la Policía Nacional, la Guardia Civil o la policía autonómica competente, con todos los datos de la operación: importes, fechas, IBAN y banco de destino y copia de las comunicaciones. Conviene tener la denuncia también para el banco y para la aseguradora.
Llamar al 017, la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE, que también orienta a empresas en estos casos.
Conservar las evidencias: no borrar los correos, guardarlos con las cabeceras completas, exportar los mensajes de WhatsApp o los audios y anotar la cronología. Si se reinstala o limpia un equipo antes de analizarlo, se pierde información.
Averiguar si hubo una cuenta comprometida, propia o del proveedor: revisar inicios de sesión, reglas de reenvío y aplicaciones con acceso al buzón, cerrar sesiones y cambiar credenciales. Si la cuenta comprometida es la del proveedor, avísale por teléfono: el resto de sus clientes puede estar recibiendo el mismo correo.
Valorar las obligaciones de notificación: si el atacante tuvo acceso a un buzón con datos personales, puede tratarse de una brecha que haya que notificar a la AEPD en un máximo de 72 horas desde que se conoce, salvo que sea improbable que suponga un riesgo para las personas.
Avisar a la aseguradora si tienes póliza de ciberriesgo. La cobertura de fraude por ingeniería social, cuando existe, suele tener un sublímite propio y plazos de comunicación que conviene no dejar pasar.

La guía sobre qué hacer si un empleado cae en un phishing detalla la respuesta técnica paso a paso cuando el origen fue un clic.

Cómo poner a prueba los procesos antes de que lo haga un atacante

Un procedimiento de verificación que nunca se ha probado es una suposición. La forma de saber si tu equipo de finanzas lo aplica bajo presión es simular el ataque en condiciones controladas:

Spear phishing dirigido a finanzas y administración: correos que imitan a un directivo o a un proveedor real pidiendo un cambio de IBAN o un pago urgente, enviados desde un dominio parecido registrado para el ejercicio. No se mide solo quién hace clic, sino quién responde, quién escala y quién aplica el procedimiento.
Vishing: una llamada que se presenta como el directivo o como el proveedor y pide confirmar o acelerar un pago. Es la prueba que más dice sobre la cultura de verificación, porque la presión es en tiempo real.
Prueba del proceso de cambio de IBAN: una solicitud simulada de cambio de cuenta de un proveedor, para comprobar si alguien llama al teléfono del maestro, si el cambio lo registra una persona distinta de quien paga y si se respeta el periodo de espera.
Ejercicio de mesa con dirección y finanzas: recorrer un caso realista («el director financiero está de viaje y llega esta petición») y comprobar que todos saben qué harían, a quién llamarían y qué pasaría si la transferencia ya hubiera salido.

Estos ejercicios se pactan por escrito con la dirección, se limitan a lo necesario y no sirven para señalar a nadie: el objetivo es encontrar el punto donde el proceso se rompe, no al empleado que cayó. Antes de lanzarlos conviene repasar los requisitos de protección de datos y laborales de una simulación de phishing con empleados.

FAQ

¿Qué diferencia hay entre el fraude del CEO y el BEC?

BEC (Business Email Compromise) es el término que usan el FBI y la industria para las estafas que desvían pagos suplantando a alguien de confianza por correo u otros canales. El fraude del CEO es su variante más conocida, la del falso directivo, aunque en España el nombre se usa a menudo para todo el conjunto, incluido el falso proveedor que pide un cambio de IBAN.

¿El banco me devolverá el dinero?

No hay garantía. Si la transferencia se ejecutó con el IBAN que dio la empresa, se considera correctamente ejecutada; la obligación del banco es esforzarse razonablemente por recuperar los fondos, y eso depende de que sigan en la cuenta de destino. Por eso hay que llamar al banco en cuanto se detecta el fraude, no al día siguiente.

¿La verificación del beneficiario evita el fraude del cambio de IBAN?

Ayuda contra los casos burdos, en los que la cuenta nueva está a nombre de alguien distinto del proveedor. No detecta una cuenta abierta a nombre del propio estafador si el correo te da ese nombre, no bloquea el pago si decides seguir tras el aviso y las empresas pueden desactivarla en los pagos por lotes. No sustituye a la llamada de verificación.

Si tenemos DMARC en p=reject, ¿estamos protegidos?

Frente a una parte del problema: nadie podrá enviar correo que aparente salir exactamente de tu dominio. Pero DMARC no frena los dominios parecidos ni los correos enviados desde la cuenta real de un proveedor o directivo comprometido, que son las variantes más eficaces. Es necesario, pero no suficiente.

¿Qué hago si un proveedor nos pide cambiar su cuenta bancaria?

No lo cambies por correo. Llama al proveedor a un teléfono que ya tuvieras registrado —no al del correo ni al de la factura—, confirma el cambio con un contacto que conozcas y haz que lo registre en el ERP alguien distinto de quien aprueba los pagos. Después, aplica el periodo de espera antes del primer pago a la cuenta nueva.

¿Lo cubre el seguro de ciberriesgo?

Depende de la póliza. El fraude por ingeniería social a menudo no forma parte del paquete base o tiene un sublímite bajo, y algunas pólizas exigen que existiera un procedimiento de verificación de cambios de cuenta. Conviene comprobarlo por escrito antes de necesitarlo.

¿Cómo sé si mi equipo de finanzas caería?

Probándolo. Una simulación de spear phishing y vishing dirigida a finanzas, con pretextos realistas de falso directivo y falso proveedor, muestra quién verifica, quién escala y dónde se rompe el proceso. Es bastante más fiable que preguntar si el procedimiento se cumple.