El fraude del CEO es un engaño en el que alguien se hace pasar por un directivo de la empresa para que un empleado haga una transferencia, cambie una cuenta bancaria o entregue información. No hace falta romper ningún sistema. Hace falta un mensaje creíble, un nombre conocido y una urgencia que no deje tiempo para pensar.
Lo escribo desde el lado incómodo: el directivo cuyo nombre usan soy yo. Y casi nunca soy el que recibe el mensaje.
¿Cómo funciona un fraude del CEO?
Casi siempre hay tres tiempos. Primero, el atacante estudia. Quién firma los pagos, quién es el director financiero, cuándo viaja el director general, qué proveedores hay y cómo se escriben entre ellos. Buena parte de eso está en LinkedIn, en la web de la empresa y en las notas de prensa.
Después, el contacto. Un correo desde una dirección que se parece mucho a la real, o desde la real si alguien ya robó la contraseña del buzón. Un mensaje de WhatsApp con la foto del directivo. Cada vez más, una nota de voz o una llamada.
Y por último, la presión. Una operación confidencial, una adquisición que nadie puede saber todavía, un pago que tiene que salir hoy porque mañana se cae el acuerdo. La confidencialidad sirve para que la víctima no lo comente con nadie que pudiera frenarla.
¿En qué se diferencia del phishing?
El phishing es una red echada al agua. Miles de mensajes iguales y un enlace falso. El atacante se conforma con que pique un porcentaje pequeño.
El fraude del CEO es un anzuelo hecho a mano para una sola persona. Lleva nombres reales, operaciones reales y un tono que suena al de la casa. Muchas veces no trae enlace ni adjunto, así que los filtros que buscan código malicioso no encuentran nada que marcar. El arma es una petición.
Hay otra diferencia práctica. Al phishing se le combate con tecnología y formación general. Al fraude del CEO se le combate con un procedimiento: una regla interna que nadie se salta, ni siquiera cuando quien la pide parece ser el jefe.
¿Es lo mismo que el BEC?
Es una de sus formas. El FBI llama BEC (compromiso del correo empresarial) a la familia completa: el directivo suplantado, el proveedor que de pronto cambia de cuenta bancaria, el abogado falso que presiona para cerrar una operación. Su definición incluye también los números de teléfono y las aplicaciones de videollamada.
Por eso sus cifras no separan el fraude del CEO del resto. Lo que sí dicen es el tamaño de la familia. Según el informe anual 2025 del IC3, el centro de denuncias de delitos en internet del FBI, el BEC acumuló 24.768 denuncias y 3.046 millones de dólares en pérdidas durante 2025. Solo el fraude de inversión le ganó en dinero perdido entre los fraudes en línea.
Son denuncias presentadas en Estados Unidos. Lo que pasa en México no aparece ahí.
¿Qué cambia con la inteligencia artificial?
Dos cosas. La primera es la redacción. Los correos de antes se delataban por la ortografía; hoy un generador de texto escribe en el tono exacto de un director general. El propio informe del IC3 lo menciona y registra más de 30 millones de dólares perdidos en 2025 en casos de BEC con inteligencia artificial de por medio.
La segunda es la voz. En mayo de 2025 el FBI publicó un aviso sobre mensajes de voz generados con IA que suplantaban a altos funcionarios. Recordaba que una voz clonada puede sonar casi idéntica a la real. Lo que vale para un funcionario vale para un director general que da entrevistas o sube videos.
La conclusión es incómoda: reconocer la voz ya no sirve como prueba.
Cómo se lee un mensaje así (ejemplo inventado)
“Ana, estoy entrando a una reunión con el consejo y no puedo hablar. Necesito que hoy salga una transferencia a un despacho por la compra que estamos cerrando. Es confidencial, no lo comentes con nadie del área hasta el lunes. Te paso los datos por aquí.”
- No puede hablar: corta el canal por el que usted lo comprobaría.
- Hoy: la prisa reemplaza al procedimiento.
- Confidencial: aísla a la persona de quien podría frenarla.
- Una cuenta nueva que nadie ha validado antes.
¿Cómo se protege una empresa?
La defensa que funciona no es tecnológica. Es un acuerdo interno, escrito y firmado desde arriba: ninguna transferencia ni cambio de cuenta sale por un mensaje, por urgente que suene. Se confirma por un segundo canal que no eligió quien pide el dinero. Si el correo dice “llámame a este número”, se llama al número que ya estaba en la agenda.
Esa regla solo aguanta si el director general la respeta en público. Si yo me salto el procedimiento una vez porque tengo prisa, le enseño a todo el equipo que la prisa del jefe es una excepción válida. Que es exactamente lo que el atacante necesita.
Después vienen las capas técnicas. Proteger los buzones de directivos y de finanzas con autenticación multifactor, porque un buzón robado hace el engaño casi perfecto. Configurar SPF, DKIM y DMARC para que nadie pueda enviar correos haciéndose pasar por su dominio. Revisar a los proveedores, porque el cambio de cuenta bancaria es el primo hermano de este fraude y entra por el riesgo de terceros.
Y tener decidido de antemano qué se hace en la primera hora si el dinero ya salió: llamar al banco para intentar detener la transferencia, aislar el buzón y conservar la evidencia. Eso va en un playbook de respuesta a incidentes, no en la improvisación del momento. Un SOC 24/7 ayuda a ver lo que viene antes, como un inicio de sesión raro en el correo del director financiero o una regla que reenvía mensajes fuera.
Preguntas frecuentes
¿Solo les pasa a empresas grandes?
¿Qué hago si recibo un mensaje sospechoso de mi jefe?
¿Se puede recuperar el dinero?
¿Lo cubre un ciberseguro?
¿Una palabra clave interna sirve?
La regla que vale más que cualquier herramienta
El fraude del CEO funciona porque nadie quiere ser la persona que le hizo esperar al jefe. La solución es quitarle ese peso a quien recibe el mensaje y ponerlo en una regla.
Si quiere saber cómo están hoy los buzones de dirección y de finanzas, empiece por la evaluación de seguridad gratuita. Y si algún término le sonó extraño, el glosario lo explica.
