Fraude del CEO (BEC): cómo protegerse

Las variantes más comunes

Más allá del escenario clásico de la transferencia urgente, se han desarrollado varias variantes:

• La factura falsa de proveedor —el atacante se hace pasar por un proveedor habitual y comunica un cambio de datos bancarios, desviando así los pagos legítimos futuros.
• La petición de datos sensibles —en lugar de una transferencia, el correo pide información confidencial (nóminas, datos fiscales de los empleados), explotados después para otros fraudes.
• La urgencia de RR. HH. —un correo que parece venir de un directivo pidiendo a un departamento de RR. HH. que modifique discretamente los datos bancarios de la transferencia de salario de un «empleado», en realidad los del atacante.

Cada variante reutiliza el mismo cimiento psicológico —urgencia, confidencialidad, autoridad— aplicado a un contexto distinto, lo que explica por qué la formación más eficaz enseña a reconocer ese cimiento en vez de una lista fija de escenarios.

Una evolución merece señalarse: las señales de alerta clásicas basadas en una escritura torpe pierden su fiabilidad. Las herramientas generativas permiten ahora a los atacantes producir mensajes en un español impecable, calcado del tono del directivo suplantado a partir de sus intervenciones públicas o de sus publicaciones en LinkedIn. Una formación que enseña sobre todo a detectar las faltas de ortografía prepara para los ataques de la década anterior. Las señales que sobreviven a esta evolución son las señales estructurales —urgencia, confidencialidad, petición de saltarse un procedimiento— porque son inherentes al fraude mismo: el atacante puede pulir el estilo indefinidamente, pero no puede retirar la petición.

Las defensas técnicas

DMARC en política de aplicación (p=quarantine o p=reject) elimina la variante más directa: el correo que usa exactamente el dominio de la empresa suplantada. Si el ataque se apoya en un From: direccion@ejemplo-empresa.es falsificado, DMARC bloquea el mensaje antes de que llegue a la víctima. Es una defensa estructural, no una simple vigilancia individual —ver protegerse de la suplantación de identidad de correo para la pila completa de defensas técnicas.

Pero DMARC no cubre los dominios parecidos ni las cuentas comprometidas —los otros dos vectores frecuentes del fraude del CEO. Por eso las defensas técnicas por sí solas nunca bastan del todo contra este ataque específico; reducen la superficie, sin eliminarla por completo, lo que hace que las defensas organizativas descritas más adelante sean igual de indispensables.

Las defensas organizativas

Es aquí donde se juega lo esencial de la protección frente a las variantes que DMARC no cubre:

• La verificación por un segundo canal, sistemática. Toda petición de transferencia inusual o de cambio de datos bancarios debe confirmarse por un canal distinto del utilizado para la petición —una llamada telefónica a un número conocido de antemano, nunca el proporcionado en el propio correo sospechoso.
• El umbral de doble validación. A partir de cierto importe, ninguna transferencia debería poder ejecutarla una sola persona, sea cual sea la presión ejercida.
• La formación específica de los equipos financieros y administrativos sobre las señales de alerta precisas: urgencia artificial, petición de confidencialidad, cambio repentino de datos bancarios, faltas de estilo inusuales en un remitente habitualmente riguroso, o petición explícita de saltarse un procedimiento de validación existente.
• Una cultura que valora la verificación, en lugar de una cultura donde hacer una pregunta a un directivo se percibe como una falta de confianza. A menudo es el cambio más difícil de operar, por lo mucho que toca la cultura de gestión de la organización, pero es también el más determinante a largo plazo.

El coste real de un fraude exitoso

Los importes en juego justifican de sobra la inversión en estas defensas. Un fraude del CEO exitoso se cifra comúnmente en decenas de miles de euros para una pyme, y puede alcanzar importes mucho más altos para una gran empresa —algunos casos mediáticos han superado varios millones. Más allá de la pérdida financiera directa, se añaden el coste de la investigación, el impacto sobre la confianza interna (el empleado que ejecutó la transferencia carga a menudo con un peso psicológico desproporcionado), y a veces consecuencias jurídicas si no se respetaron obligaciones de diligencia —en particular frente a las aseguradoras, que a menudo exigen la prueba de procedimientos de control razonables para cubrir este tipo de siniestro.

Un caso tipo, descompuesto

Para anclar estos principios, así se desarrolla un caso típico en una empresa de tamaño medio. Un viernes por la tarde, el departamento de contabilidad recibe un correo firmado con el nombre del director financiero, actualmente de viaje (información espigada en LinkedIn unos días antes). El mensaje explica que una adquisición confidencial está a punto de cerrarse y que una transferencia de 45 000 € debe salir antes del cierre de los mercados, hacia una cuenta indicada en el mensaje. El tono es profesional, retoma giros que el verdadero director suele emplear, y la dirección de envío se parece lo bastante a la real como para no llamar la atención en una lectura rápida —un carácter sustituido, invisible en la mayoría de las pantallas.

La contable, acostumbrada a tramitar las peticiones de su jerarquía sin cuestionarlas, prepara la transferencia. Un detalle, no obstante, la hace dudar: este tipo de operación pasa habitualmente por una validación con dos firmas, un procedimiento que el correo pide explícitamente saltarse «para ir más rápido, excepcionalmente». Es precisamente ese salto de procedimiento —presentado como una excepción justificada por la urgencia— lo que constituye la señal de alerta más fiable en esta clase de escenario. Una política clara, conocida por todo el equipo, que enuncie que ninguna excepción de procedimiento se acepta jamás por correo, habría detenido este intento antes incluso de verificar la dirección de envío.

En este ejemplo, una simple llamada al director financiero a su número habitual —no el indicado en el correo— habría revelado la anomalía en menos de un minuto. Es esa etapa de verificación, simple y rápida, la que más a menudo falta en las organizaciones víctimas, no por negligencia individual sino porque ningún procedimiento la impone sistemáticamente.

Qué hacer una vez consumado el fraude

Si un fraude del CEO acaba de descubrirse, la rapidez de acción cuenta enormemente:

1. Contactar de inmediato con el banco emisor para intentar una devolución de la transferencia —las probabilidades de éxito disminuyen drásticamente con el tiempo, a menudo en cuestión de unas horas, antes de que los fondos queden definitivamente fuera de alcance.
2. Presentar denuncia rápidamente, lo que a veces desencadena procedimientos de cooperación internacional entre bancos.
3. Documentar el incidente en detalle (correos, marcas de tiempo, importes) para la investigación y los eventuales trámites con el seguro.
4. Analizar la brecha que permitió el ataque —qué dominio se suplantó, por qué canal, qué procedimiento interno se saltó— para corregirla antes de que se repita bajo una forma ligeramente distinta.

En resumen

El fraude del CEO prospera sobre la confianza jerárquica y la urgencia artificial, no sobre una sofisticación técnica. La defensa más eficaz combina dos capas: DMARC en aplicación para eliminar la suplantación directa del dominio, y procedimientos organizativos rigurosos —verificación por segundo canal, doble validación, formación específica— para cubrir lo que la técnica por sí sola no puede alcanzar.

Para comprobar que un dominio no está expuesto a la forma más directa de este fraude, basta pasarlo por el analizador DMARC gratuito. Es la primera línea de defensa, gratuita y rápida de implantar, antes incluso de revisar los procedimientos internos —ambos frentes se refuerzan mutuamente, pero este no cuesta nada empezar hoy.