Un viernes por la tarde, la administrativa de una empresa recibe un correo de su gerente. El tono es el habitual, la firma es la de siempre y el asunto es urgente: hay que pagar hoy mismo a un proveedor nuevo antes del cierre bancario, es confidencial porque está relacionado con una operación en marcha, y no puede atender llamadas porque está reunido. La cuenta destino es distinta a la de costumbre. Se hace la transferencia. El lunes, el dinero ya no está y nadie en la empresa envió ese correo.
Esto es el fraude del CEO, también conocido como estafa BEC (Business Email Compromise). No hay virus, no hay ficheros cifrados y ningún antivirus salta: el atacante no rompe la tecnología, rompe la confianza y los procesos internos. Es, junto al ransomware, una de las formas de ciberdelincuencia que más dinero mueve en empresas europeas, y afecta especialmente a organizaciones pequeñas donde una sola persona puede ordenar un pago.
Por qué las pymes canarias son un objetivo cómodo
Nos encontramos con frecuencia el mismo patrón en empresas de Tenerife y Gran Canaria: plantillas reducidas, mucha confianza personal entre compañeros y procedimientos de pago que viven en la costumbre más que en un documento escrito. Eso, que es una virtud en el día a día, es exactamente lo que explota este fraude.
A ello se suman factores propios de nuestro tejido empresarial:
- Gerencia muy accesible pero muy ocupada. Que el responsable escriba pidiendo algo «para ya» no llama la atención de nadie.
- Dispersión geográfica. Con sedes o clientes en varias islas, es normal resolver por correo sin verse en persona, y el atacante lo sabe.
- Estacionalidad y picos de trabajo. En hostelería, comercio o servicios turísticos hay temporadas en las que se factura y se paga a toda velocidad; las prisas son el mejor aliado del estafador.
- Información pública abundante. Organigramas en la web, perfiles de LinkedIn, notas de prensa y hasta el patrocinio de un evento local dan al atacante nombres, cargos y contexto suficiente para sonar creíble.
Cómo funciona realmente la estafa
El fraude del CEO no es un correo aleatorio enviado a mil direcciones. Es un trabajo preparado, y suele seguir estas fases:
- Reconocimiento. El atacante estudia la empresa: quién dirige, quién lleva administración, con qué proveedores trabaja y cómo se comunican.
- Preparación del canal. Aquí hay dos variantes. En la más simple, registra un dominio casi idéntico al tuyo (cambiando una letra, añadiendo un guion o usando otra extensión) y escribe desde ahí. En la más peligrosa, ha conseguido acceso real a un buzón de la empresa —normalmente por una contraseña reutilizada o un phishing previo— y escribe desde la cuenta legítima.
- Espera y observación. Si tiene acceso al buzón, puede pasar semanas leyendo correo sin tocar nada, aprendiendo el tono, los importes habituales y el calendario de pagos. A menudo crea reglas ocultas en el correo para desviar las respuestas y que nadie note la conversación paralela.
- Ejecución. Llega la petición: una transferencia urgente, un cambio de cuenta bancaria de un proveedor de siempre, o la compra de tarjetas regalo. Siempre con urgencia, confidencialidad y una excusa para no hablar por teléfono.
- Desaparición del dinero. Los fondos se mueven en cadena por varias cuentas en cuestión de horas. Si no se bloquea muy rápido, la recuperación es difícil.
Las señales que delatan el intento
Conviene que todo el personal que toca pagos o datos bancarios conozca este listado:
- Urgencia y confidencialidad combinadas («no comentes esto con nadie»).
- Presión para saltarse el procedimiento habitual de aprobación.
- Cambio de número de cuenta de un proveedor conocido, comunicado solo por correo.
- Dirección del remitente casi correcta: revisa el dominio carácter a carácter, no el nombre que muestra el cliente de correo.
- Campo Responder a (Reply-To) distinto del remitente.
- Excusas para evitar la voz: «estoy en una reunión», «tengo mala cobertura», «escríbeme solo por correo».
- Peticiones fuera de horario, en viernes por la tarde o en vísperas de festivo o de vacaciones.
Defensa técnica: lo que hay que tener configurado
La parte tecnológica no evita por sí sola el fraude, pero elimina las variantes más fáciles y detecta el buzón comprometido:
- SPF, DKIM y DMARC bien configurados en tu dominio, con DMARC en política de rechazo cuando el despliegue esté maduro. Impide que alguien envíe correo haciéndose pasar por tu dominio.
- Doble factor de autenticación (MFA) obligatorio en todo el correo corporativo, sin excepciones para dirección. Es la medida que más ataques BEC corta de raíz.
- Etiquetado automático de correo externo, con un aviso visible en los mensajes que llegan de fuera de la organización.
- Registro defensivo de dominios parecidos al tuyo, o al menos monitorización de nuevos registros similares.
- Revisión periódica de reglas de buzón y reenvíos automáticos. Una regla que mueve correos a «Elementos eliminados» es una señal de compromiso clásica.
- Alertas de inicio de sesión sospechoso y revisión de accesos desde ubicaciones o dispositivos inhabituales.
Defensa de proceso: la que de verdad para el pago
Ningún filtro sustituye a un procedimiento claro. Y la buena noticia es que estas medidas no cuestan dinero, solo decisión:
- Verificación por segundo canal, siempre. Cualquier alta o cambio de cuenta bancaria y cualquier pago fuera de lo habitual se confirma por teléfono, usando el número que ya tenías en tu ficha de proveedor, nunca el que aparece en el correo sospechoso.
- Doble firma por encima de un importe. Fija un umbral realista para tu empresa y que ningún pago por encima salga con una sola aprobación.
- Regla explícita de «la urgencia no salta el control». Y que lo diga la dirección en voz alta: nadie será reprendido por retrasar un pago media hora para verificarlo.
- Ficha de proveedor con datos bancarios bloqueados, cuya modificación requiere validación documental y aprobación de una segunda persona.
- Formación breve y periódica, con ejemplos reales del sector. Media hora al trimestre rinde más que un curso anual de tres horas.
- Protocolo escrito de qué hacer si el pago ya salió, con los teléfonos a mano.
Si ya has transferido el dinero
El tiempo lo es todo. En orden: llama de inmediato a tu banco para solicitar la retrocesión o el bloqueo de los fondos; cambia las contraseñas del correo afectado y revisa reglas y sesiones activas; conserva los correos originales con sus cabeceras completas sin borrar nada; denuncia ante la Policía Nacional o la Guardia Civil; y valora si el incidente supone una brecha de datos personales notificable a la AEPD en 72 horas. Avisa también a tu proveedor informático para que revise si el buzón sigue comprometido: muchas empresas cambian la contraseña y dan por cerrado el asunto mientras el atacante mantiene el acceso por otra vía.
En resumen
El fraude del CEO se combate con una mezcla de configuración correcta del correo y procedimientos que resistan la prisa. Las empresas que no caen no son las que tienen la tecnología más cara, sino aquellas donde una persona de administración puede decir «espera, que lo confirmo por teléfono» sin que nadie se moleste.
En Xenic Technology llevamos años ayudando a pymes de Tenerife, Gran Canaria y el resto del archipiélago a blindar su correo corporativo y a poner por escrito los controles que evitan este tipo de estafas. Si quieres saber cómo está hoy tu dominio y dónde están tus puntos débiles, puedes solicitar una auditoría gratuita con nuestro equipo y revisamos contigo, sin compromiso, la configuración de tu correo y tus procesos de pago.