Fraude del CEO y facturas falsas: cómo suplantan el correo de tu empresa

Una gestoría recibe un jueves por la mañana el correo de un proveedor de toda la vida. Llega dentro de la conversación de siempre, con los mensajes anteriores citados debajo, la firma correcta y el mismo tono de los últimos dos años. Solo cambia una cosa: la factura adjunta trae un número de cuenta nuevo, "por un cambio de banco". Se paga. Tres semanas después llama el proveedor de verdad preguntando por su dinero.

Ahí no ha habido virus, ni un adjunto raro, ni una contraseña robada en la gestoría. Ha habido un correo bien escrito en el momento justo. Esa es la forma del fraude del CEO y de su variante más rentable en una PYME, la factura falsa con el número de cuenta cambiado.

¿Qué es el fraude del CEO?

El fraude del CEO es un engaño en el que alguien se hace pasar por un directivo, un proveedor o un cliente para conseguir que una persona de administración haga una transferencia o cambie unos datos bancarios. No lleva software malicioso dentro: todo el ataque es texto, contexto y prisa. En España lo recoge INCIBE en su guía sobre el fraude del CEO, donde también aparece con su nombre técnico, whaling, porque el señuelo es siempre alguien con firma.

La víctima habitual no es el director, es la persona que paga las facturas. Y suele ser alguien competente haciendo justo lo que le han enseñado, atender rápido una petición que viene de arriba.

Cómo funciona el ataque, paso a paso

Antes del correo hay semanas de trabajo. Los atacantes miran la web, el registro mercantil y LinkedIn, y sacan de ahí el organigrama, quién firma, quién paga y cuándo se va de vacaciones el gerente. Todo eso es público.

El dominio que se parece

El truco más barato es registrar un dominio casi idéntico al vuestro o al del proveedor. Una letra doblada, un .es que pasa a .com, una "rn" que de lejos parece una "m". En una bandeja con cuarenta correos sin leer nadie compara letra a letra el remitente, y en el móvil Outlook enseña por defecto solo el nombre para mostrar: si el atacante pone "Dirección", eso es todo lo que se ve.

El hilo real secuestrado

La versión cara es otra. El atacante entra de verdad en un buzón, casi siempre con una contraseña robada en un phishing anterior, y se queda mirando. No borra nada ni llama la atención. Lee, aprende cómo escribís, ve qué facturas están al caer y espera. Cuando llega el momento, responde dentro de un hilo auténtico.

Ese buzón comprometido puede ser el vuestro o el del proveedor. Da igual, el resultado es idéntico: un mensaje que llega desde una dirección legítima, dentro de una conversación legítima, con el histórico correcto debajo. Muchas veces el atacante deja además una regla en el buzón que mueve a una carpeta oculta, o borra directamente, los correos que contengan palabras como "factura", "IBAN" o el nombre del proveedor. Así, cuando el proveedor de verdad escribe extrañado, el titular del buzón no ve nada.

La urgencia, el silencio y la cuenta nueva

El mensaje siempre trae las mismas dos piezas. Prisa, porque hay que cerrar la operación hoy antes de las dos. Y discreción, porque es confidencial y no se comenta con nadie del equipo. Las dos juntas tienen un solo objetivo, que la persona que paga no levante la cabeza y pregunte en voz alta.

Y al final, el único dato que importa de verdad, la cuenta nueva. A veces viene como una factura adjunta con el IBAN modificado, a veces como un aviso de cambio de entidad. El dinero sale de la empresa por una transferencia que hizo alguien de la casa, voluntariamente y con todos los permisos en regla.

¿Por qué el antivirus y el filtro antispam no lo paran?

Porque no hay nada que detectar. El antivirus busca ficheros maliciosos y el filtro antispam busca patrones de correo basura, enlaces conocidos, adjuntos peligrosos, envíos masivos. Aquí hay un mensaje de texto, escrito a mano, dirigido a una sola persona y enviado desde un dominio limpio y recién registrado que todavía no está en ninguna lista negra.

Cuando el ataque va por un buzón secuestrado, es peor. El correo sale de un servidor legítimo, pasa todas las comprobaciones de autenticación y viene de una dirección con la que lleváis años escribiéndoos. No es que el filtro falle, es que no hay nada anómalo que ver. Por eso esto no se resuelve comprando una herramienta más, se resuelve cambiando quién puede entrar en los buzones y cómo se aprueba un pago.

Los cinco controles que sí lo paran

1. Doble factor en todos los buzones

El MFA, o autenticación multifactor, consiste en pedir algo más que la contraseña para entrar, normalmente una aprobación en el móvil. Corta en seco la versión cara del ataque, la del hilo secuestrado, porque una contraseña robada deja de servir por sí sola. En Microsoft 365 se activa sin coste adicional.

2. SPF, DKIM y DMARC bien configurados

Son tres registros en el DNS de tu dominio, que es la agenda pública de internet. SPF lista los servidores autorizados a enviar en tu nombre. DKIM firma cada mensaje para que el destinatario vea que nadie lo ha manipulado. DMARC le dice al servidor de destino qué hacer cuando algo no cuadra.

Lo importante es el último. Un DMARC en modo p=none solo observa y no bloquea nada, y ahí es donde se han quedado casi todas las PYMEs que "ya lo tienen puesto". Lo que protege de verdad es llegar a p=reject, y Microsoft recomienda hacerlo por fases, empezando en none y subiendo a quarantine y a reject según se comprueba que no se cae ningún envío legítimo.

Un matiz importante: esto impide que suplanten tu dominio hacia fuera, no que suplanten a un proveedor hacia dentro. Por eso hacen falta los otros cuatro.

3. Aviso de remitente externo

Es una etiqueta que Outlook añade a los mensajes que vienen de fuera de la organización. Suena a poca cosa y es de lo más eficaz que hay, porque el correo que imita al gerente llega desde fuera y llega marcado. Lo activa el administrador sobre Exchange Online y tarda entre 24 y 48 horas en verse en todos los buzones. Eso sí, explica antes qué significa: si la gente no lo sabe, en dos días deja de mirarla.

4. Doble verificación para cambios de datos bancarios

Este es el control que de verdad decide si se pierde el dinero. La regla es sencilla y no admite excepciones: ningún cambio de cuenta bancaria se aplica por correo. Se verifica llamando por teléfono al proveedor, a un número que ya teníais en la ficha, nunca al que viene en el mensaje.

Ponlo por escrito y añade dos cosas. Un segundo par de ojos para transferencias por encima de un importe que decidáis vosotros. Y permiso explícito para parar un pago y preguntar, aunque el correo venga firmado por el jefe. Sin esa autorización por escrito, la presión jerárquica gana siempre.

5. Formación de quien paga

No hace falta un curso de ciberseguridad. Hace falta que las tres o cuatro personas que manejan pagos reconozcan el patrón: urgencia, más confidencialidad, más cambio de datos bancarios. Media hora al año, con correos reales.

¿Qué hacer en las primeras horas si ya has pagado?

Las primeras horas deciden si se recupera el dinero. Lo primero es llamar al banco, no escribirle, y pedir la retrocesión de la transferencia: si el pago es del mismo día o del anterior, hay opciones reales de bloquearlo antes de que salte a otra cuenta. Después toca cerrar la puerta por la que entraron, en este orden:

1. Llama al banco y pide bloquear y retroceder la transferencia. Pide también los datos de la cuenta de destino, te los van a pedir en la denuncia.
2. Denuncia. Policía Nacional, Guardia Civil o, en Catalunya, los Mossos d'Esquadra. Sin denuncia no hay reclamación al seguro ni gestión entre entidades bancarias. Si necesitas orientación inmediata, INCIBE atiende en el 017, gratuito.
3. Revisa las reglas del buzón afectado. Es el paso que casi todo el mundo se salta. Busca reenvíos automáticos a direcciones externas y reglas que muevan o borren correos por palabras clave. Si aparece alguna que nadie de la empresa ha creado, ya sabes que el buzón estaba comprometido.
4. Cambia las contraseñas y revoca las sesiones activas. Cambiar la contraseña no basta: si no cierras las sesiones, el atacante sigue dentro con el acceso que ya tenía concedido.
5. Activa el doble factor ya, si no lo tenías. Empieza por dirección y administración, que es por donde sale el dinero.
6. Mira los accesos de las últimas semanas. Desde dónde se ha entrado a ese buzón, con qué aplicaciones y a qué horas. Ahí se ve el alcance real y desde cuándo estaban leyendo.
7. Avisa al proveedor de verdad y a cualquier cliente con el que ese buzón haya intercambiado facturas. Si a ti te han secuestrado un hilo, puede haber más hilos abiertos.
8. Valora la notificación por RGPD. Si el buzón contenía datos personales de clientes o empleados, y en una gestoría los contiene casi siempre, tienes 72 horas para notificarlo a la Agencia Española de Protección de Datos.

Si al revisar los accesos aparece algo más que lectura de correo, trátalo como un incidente completo y no solo como un fraude. El guion es el mismo que contamos en qué hacer ante un ransomware: aislar, no destruir evidencias y llamar antes de tocar nada.

Lo que queda después

Un buzón comprometido no se arregla solo cambiando la contraseña. Hay que saber qué se llevaron, y para eso hacen falta los registros de acceso y una copia del correo tal y como estaba. Conviene recordar que la licencia de Microsoft 365 no incluye copia de seguridad y que sus plazos de retención se cuentan en días. Si el atacante borró correos y nadie se dio cuenta a tiempo, esos correos no vuelven.

Empieza por saber quién puede entrar en tu correo

Lo incómodo del fraude del CEO es que casi todo se previene con configuración, no con inversión. Doble factor, tres registros en el DNS, una etiqueta en Outlook y un procedimiento de dos líneas para los cambios de cuenta bancaria. Lo que cuesta no es el dinero, es sentarse una tarde a hacerlo.

Así que dos preguntas concretas. ¿Tienen doble factor todos los buzones, incluido el del gerente? ¿Y qué pasa hoy si llega un correo pidiendo cambiar la cuenta de un proveedor, hay alguien obligado a llamar por teléfono antes de pagar?

Si a alguna has respondido "creo que sí", ahí tienes por dónde empezar. En una auditoría de continuidad informática revisamos cómo está protegido tu correo, qué se ve desde fuera y qué haría falta para que el jueves de la factura no sea el tuyo.