Fraude del CEO y BEC: 8 controles antes de pulsar aceptar transferencia
1. Introducción
El Fraude del CEO es la modalidad más conocida del Business Email Compromise (BEC): un mensaje aparentemente enviado por la dirección ordena una transferencia urgente, y la víctima la ejecuta. Pero el BEC es mucho más que ese clic final: es un fraude industrializado que en 2024 superó en daño económico directo al ransomware, según las estadísticas del FBI IC3, y que se cobra principalmente sobre el proceso de pagos de la empresa.
En este artículo explicamos cómo funciona, por qué el correo corporativo es el escenario del fraude y qué ocho controles debe tener tu empresa antes de que un empleado pulse «aceptar transferencia». El objetivo es práctico: que la organización sepa exactamente qué verificaciones hacer, quién las hace y en qué orden, antes de mover un euro.
2. BEC y Fraude del CEO en cifras
El FBI IC3 registró en 2024 pérdidas superiores a 2.770 millones de dólares por BEC solo en Estados Unidos, con más de 21.000 denuncias, por encima del ransomware en daño económico directo. El importe medio de una transferencia fraudulenta ronda los 128.980 dólares, y la mayoría de los fraudes no se detecta en el momento de la transferencia, sino semanas después, cuando el proveedor real reclama su pago.
La dificultad del Fraude del CEO es que no rompe ninguna barrera tecnológica: rompe la confianza. El atacante no explota una vulnerabilidad de la pasarela de pagos, explota la jerarquía, la urgencia y la falta de un procedimiento de verificación. La IA agrava el cuadro: la clonación de voz necesita solo unos segundos de audio y los deepfakes en videollamada ya han conseguido fraudes de 25 millones de dólares, como el caso de Hong Kong de febrero de 2024 con un CFO falso.
3. Las 5 modalidades del FBI
El IC3 agrupa el BEC en cinco modalidades reconocibles. Conocerlas es la primera defensa, porque cada una ataca un eslabón distinto de tu organización:
| Modalidad | Quién suplanta | Objetivo |
|---|---|---|
| Fraude del CEO | Dirección o ejecutivo | Transferencia urgente aprobada por jerarquía |
| Fraude del proveedor (VEC) | Proveedor habitual | Desvío de una factura real a su IBAN |
| Cambio de datos bancarios | Proveedor en comunicaciones | Actualización fraudulenta del IBAN archivado |
| Suplantación de abogado | Bufete en operaciones, herencias o juicios | Pagos bajo presión legal |
| Fraude W-2 | Dirección hacia RR.HH. | Datos fiscales y de nómina de toda la plantilla |
Fig. 1 – Las cinco modalidades de BEC definidas por el FBI IC3.
Las dos primeras son las más rentables: el Fraude del CEO presiona con autoridad y confidencialidad, mientras que el fraude del proveedor interviene en el hilo legítimo de una factura real ya esperada. La variante del cambio de datos bancarios merece atención especial porque no exige urgencia: el proveedor real termina pagando a otra cuenta durante meses.
4. EAC vs BEC: el buzón comprometido precede a la transferencia
Todo fraude con cuenta comprometida implica una fase técnica previa que el FBI denomina EAC (Email Account Compromise): el atacante entra en el buzón —por phishing, credential stuffing, fuerza bruta sobre OWA o IMAP sin MFA, infostealers o apps OAuth maliciosas— y opera en silencio durante semanas. No todo BEC requiere EAC, porque algunas modalidades usan dominios similares (typo-squatting), pero cuando hay EAC la fase silenciosa es la que decide el éxito del fraude.
En esa fase el atacante aprende: identifica a quién aprueba pagos, qué proveedores tienen facturación recurrente, cuándo se cierran los ciclos mensuales y cuál es el flujo de aprobación interno. Después crea reglas de reenvío automático hacia una cuenta externa, mueve correos a carpetas ocultas y espera a la factura real entrante para intervenir el hilo en el momento justo. Puedes ver en detalle lo que sucede cuando una cuenta corporativa cae en manos de un atacante en nuestro artículo sobre qué puede pasar si nos roban las cuentas corporativas.
5. Los 8 controles antes de pulsar aceptar
La prevención del Fraude del CEO no es solo técnica: es un sistema de controles que se sostienen entre sí. Estos son los ocho que recomendamos implantar, y que describimos con detalle en el libro «Protocolos y procedimientos prácticos de ciberseguridad» (Confemetal, 2026):
- MFA resistente al phishing en el correo y en las cuentas que aprueban pagos: SMS, TOTP y push caen ante ataques AiTM; FIDO2/passkeys no.
- DMARC p=reject con SPF strict y DKIM firmado: elimina la suplantación directa del dominio propio, también la de proveedores si adoptan el estándar.
- Protección avanzada del correo: sandbox de adjuntos, reescritura de URLs, detección de dominios similares y banner de remitente externo visible.
- Control de apps OAuth: bloquear el consentimiento de usuarios para aplicaciones de terceros y aprobar cada concesión desde administración.
- Verificación fuera de banda de cualquier cambio de datos bancarios: llamada al número archivado en el sistema, nunca al del correo.
- Aprobación dual de transferencias por encima de un umbral, con segregación de funciones entre quien crea y quien valida.
- Reglas SIEM activas: reenvíos automáticos sin intervención, viajes imposibles, inicios desde geografías inusuales y apps OAuth desconocidas disparan alerta.
- Política de urgencias: «urgente y confidencial» es indicador de fraude, no excepción al procedimiento, con conciliación bancaria periódica.
Fig. 2 – Los ocho controles anti-BEC que debe tener implantados una empresa.
El control nueve, el único que puede impedir la pérdida aunque toda la capa técnica haya fallado, es el proceso: que la verificación se haga siempre, en todas las transferencias, y que ningún cargo ni mensaje permita saltarla. Los controles técnicos reducen la probabilidad del ataque; el proceso reduce la probabilidad del daño.
6. Verificación fuera de banda: el control que más dinero ahorra
La verificación fuera de banda es la pieza más específica del endurecimiento del proceso de pago. La norma es simple: ninguna actualización de datos bancarios se acepta desde el propio correo, ni desde un documento adjunto, ni desde una llamada entrante. Se llama al proveedor al número oficial ya archivado en el ERP o CRM; si el correo llega del CEO ordenando «urgencia máxima», se aplica el mismo procedimiento con el contacto registrado de la dirección.
# Checklist de verificación fuera de banda ante un cambio de IBAN
1. Localizar el IBAN archivado en el ERP/CRM (nunca el del correo)
2. Llamar al número oficial ya registrado del proveedor
3. Confirmar verbalmente: nuevo IBAN, titular, importe y fecha
4. Registrar la llamada: fecha, hora, interlocutor y resultado
5. Aprobar el cambio solo si la verificación confirma el dato
6. Si no se obtiene confirmación clara, vincular el pago
Fig. 3 – Procedimiento mínimo de verificación fuera de banda para cambios de datos bancarios.
El procedimiento se ritualiza: dos personas para pagos sobre umbral, registros de verificación auditable y umbrales decrecientes durante periodos de exposición, como cambios de entidad bancaria o auditorías externas. La conciliación bancaria periódica cierra el círculo: detecta el desvío cuando el proveedor real reclama, y esa detección temprana es la que permite recuperar dinero.
7. Detección técnica: siemes y salvaguardas
La detección temprana exige visibilidad sobre el buzón y el directorio. Las reglas SIEM más rentables son las que reflejan comportamiento anómalo: la creación de reglas de reenvío sin intervención, una concesión OAuth de una app desconocida con permisos de lectura de correo, inicios de sesión desde geografías incompatibles — un viaje imposible Madrid-Vietnam en cinco minutos — o búsquedas masivas de «factura», «IBAN» o «pago» en el buzón. El vaciado de la papelera y la activación de protocolos IMAP/POP3 sin antecedentes son también señales típicas de cuentas preparadas para el fraude.
Recuerda que un token OAuth malicioso sobrevive al cambio de contraseña hasta su revocación manual, así que la revisión de consentimientos es parte rutinaria de la higiene del buzón. Cuando una cuenta cae, el procedimiento de respuesta está documentado: revocar todas las sesiones, rotar credenciales, reinscribir MFA y auditar qué se vio, se buscó y se descargó, tal como explicamos en las acciones tras el secuestro o pérdida de credenciales.
8. Respuesta cuando la transferencia ya se ha ejecutado
Si el fraude se consuma, el tiempo es el único recurso que importa: la mayoría de las recuperaciones exitosas se consiguen en las primeras 24-72 horas. La secuencia de actuación es: notificar inmediatamente al banco con la cuenta destino, el importe, la fecha y el concepto, solicitando anulación o bloqueo si la transferencia no se ha compensado; denunciar de inmediato ante Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos), que solo pueden bloquear cuentas de forma viable en las primeras horas; y activar la Financial Fraud Kill Chain del FBI si la cuenta destino pasa por Estados Unidos.
En paralelo se realiza forense del buzón para determinar el alcance del EAC, se avisa a la aseguradora dentro de los plazos contractuales — las pólizas de Crime, Social Engineering Fraud y Computer Fraud cubren estos supuestos — y se prepara la notificación a la AEPD en 72 horas si hay datos personales implicados (art. 33 RGPD y, en su caso, NIS2). Desde el punto de vista penal, estamos ante una estafa informática del artículo 248 del Código Penal.
9. Conclusión
El Fraude del CEO y el BEC en general son el fraude más caro que puede sufrir una empresa española por la vía del correo, y el único control que garantiza impedirlo es un proceso de pago endurecido con verificación fuera de banda y aprobación dual. Los otros siete controles reducen la probabilidad de que el ataque llegue a ejecutarse; ese octavo convierte el error humano en un incidente menor.
Las ocho piezas del sistema son conocidas y asequibles: MFA FIDO2, DMARC p=reject, protección del correo, gobierno OAuth, verificación fuera de banda, doble aprobación, reglas SIEM y política de urgencias. Lo que separa a las víctimas de las no víctimas no es la sofisticación de la tecnología, sino la disciplina de aplicar los controles cada día, también cuando el mensaje dice «urgente y confidencial».
¿Necesitas ayuda con Fraude del CEO?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.
