El departamento de administración recibe un correo del gerente: transferencia urgente, antes de que acabe el día, confidencial. La dirección es la correcta. El tono es el correcto. No hay nada que sospechar. Se hace el pago.

Lo que nadie sabe es que la cuenta de correo del gerente fue comprometida hace tres semanas. Alguien lleva ese tiempo leyendo todo: los proveedores, los ritmos de pago, la forma de escribir. Cuando llegó el momento, envió el correo desde la cuenta real. Es el llamado fraude del CEO, una de las formas del BEC (Business Email Compromise). Y no es la que más dinero está moviendo hoy.

Qué es el BEC y por qué no lo detecta ningún antivirus

No hay un virus, ni un enlace, ni un adjunto. Es un engaño que usa tu propio proceso de pagos: todo parece normal salvo el destino del dinero. Por eso no salta ningún filtro y por eso la defensa no es técnica, es de procedimiento.

Las tres variantes más habituales

1. Dominio falso: una letra de diferencia

El atacante registra un dominio casi idéntico al real (gerente@empresa-sl.com en lugar de gerente@empresa.com) o falsea el nombre visible para que parezca el de un directivo o un proveedor. El importe, los plazos y los nombres son correctos porque ha hecho los deberes. La versión «del jefe» usa urgencia y secreto para que actúes sin pensar. La versión «del proveedor» no necesita urgencia: la factura parece una más.

2. Cuenta del directivo comprometida

Alguien se hace con el correo del gerente o del director financiero, por phishing, por contraseñas reutilizadas de una filtración anterior o engañando a soporte para cambiar la clave. No actúa de inmediato: lee. Crea reglas en la bandeja de entrada para archivar ciertas conversaciones y que el titular no vea las respuestas, aprende quién aprueba qué y, en el momento justo, da la instrucción desde la cuenta real. Todas las comprobaciones habituales dicen que el correo es auténtico, porque lo es. Lo que no es auténtico es quién lo escribe.

3. Compromiso del proveedor: la que más dinero mueve

Según los datos que recoge la newsletter de ciberseguridad Go Phish, esta variante ya supone alrededor del 61 % de los ataques BEC. El atacante entra en la cuenta de correo de uno de tus proveedores y espera, a veces semanas, leyendo cada conversación con tu empresa. Aprende la numeración de las facturas, los plazos, los importes. Desvía tus respuestas a una carpeta oculta para que el proveedor real nunca vea el hilo y, cuando una factura está a punto de vencer, envía un mensaje correcto en todo: remitente, hilo, importe, fecha. Solo cambia una cosa: el IBAN.

Por qué funciona

El BEC no rompe tu proceso, lo aprovecha. La variante del proveedor no es un ataque informático, es vigilancia: semanas dentro de una bandeja de entrada ajena aprendiendo tu negocio. Y cuando sale mal, sale rápido. La mayoría de estas estafas se cobran por transferencia y el dinero suele desaparecer en cuestión de horas. Recuperarlo es posible, pero exige actuar de inmediato, hablar con el banco y presentar denuncia, y la mayoría de las veces no vuelve.

Casos reales

• Google y Facebook (2013-2015): un atacante envió facturas haciéndose pasar por Quanta Computer, un proveedor de hardware real de ambas compañías. En dos años consiguió transferencias por más de 100 millones de dólares. Los pagos se procesaron sin sospecha porque encajaban con una relación comercial real.
• La compra de una vivienda: el comprador recibe del notario o la gestoría las instrucciones para transferir el pago. La cuenta del remitente estaba comprometida y el IBAN había sido cambiado. El dinero sale y nadie se da cuenta hasta que es tarde.
• La escala del problema: el FBI (informe IC3) recibió en 2025 unas 24.768 denuncias por BEC con pérdidas declaradas de 3.050 millones de dólares, por encima de los 2.770 millones del año anterior. Y no es solo cosa de grandes empresas: en torno al 28 % de las víctimas son pymes.

Señales de alerta

• Una petición de pago o transferencia urgente, confidencial o «para antes de hoy».
• Un proveedor que comunica un cambio de IBAN fuera de su ciclo normal de facturación o sin una conversación previa.
• Un dominio que parece el correcto pero difiere en un carácter: hay que leer la dirección completa, no solo el nombre.
• Una factura que encaja perfectamente en importe y fechas pero llega con datos de pago nuevos.
• Un directivo que pide saltarse los pasos normales de aprobación.
• Cualquier instrucción de no comentar el pago con el resto del equipo.

Cómo no caer

No hace falta llamar cada vez que pagas la factura habitual de un proveedor al mismo IBAN de siempre. El truco está en saber cuándo hay que verificar.

Llama siempre cuando…

• Cambian los datos bancarios de un proveedor, aunque sea por poco y aunque el correo traiga una explicación convincente.
• Es el primer pago a un proveedor o a una cuenta nueva.
• Un directivo pide por correo una transferencia urgente y confidencial.
• Se pide saltarse la aprobación habitual.
• Algo no encaja, aunque sea un detalle.

Cinco medidas que funcionan

1. Llama a un teléfono que ya tengas, el de tu agenda, la web oficial o un documento anterior. Nunca el que aparece en el correo. Un proveedor real lo confirma al momento y un atacante no puede atender esa llamada.
2. Comprueba la dirección real del remitente, no solo el nombre visible, en cualquier correo que hable de pagos o de cambios de cuenta.
3. Doble aprobación en las transferencias a partir de un importe: una persona recibe la instrucción y otra distinta la aprueba, sin compartir el mismo hilo de correo.
4. Protege las cuentas de correo: verificación en dos pasos en todas, sin excepciones, y alertas cuando se crea una regla de reenvío o archivado automático.
5. Revisa las reglas de la bandeja de entrada: una regla que archiva o elimina correos sin que el titular lo sepa es una señal clásica de cuenta comprometida. Conviene revisarlas de forma periódica.

Y tu dominio, ¿se puede suplantar?

Una parte del fraude empieza falsificando tu propio dominio para escribir a tus clientes y proveedores en tu nombre. Con SPF, DKIM y DMARC bien configurados se corta de raíz. Si no sabes cómo está el tuyo, comprueba en 30 segundos si tu dominio es suplantable.

Cómo te ayudamos en simtec

En simtec revisamos la seguridad del correo de tu empresa en Microsoft 365: verificación en dos pasos, reglas de bandeja de entrada sospechosas, alertas de inicios de sesión inusuales y configuración de DMARC. También te ayudamos a documentar un procedimiento de verificación de pagos sencillo, que es lo que de verdad frena este fraude.

La defensa es una llamada, a un número que ya tenías, antes de que salga el dinero. Siempre. Sin excepciones.

¿Qué pasaría en tu empresa si mañana llegara una factura con un IBAN nuevo?

v.1.0.0 20261112