Cómo funcionan las dos variantes
Ambas estafas persiguen lo mismo: que alguien de su empresa haga una transferencia legítima a una cuenta que controla el delincuente. Cambia el personaje que suplantan.
| Fraude del CEO | Falso cambio de IBAN | |
|---|---|---|
| A quién suplantan | Al gerente, a un socio o a un directivo | A un proveedor habitual |
| Qué piden | Una transferencia urgente y confidencial, a menudo para una «operación» que no puede comentarse | Que las próximas facturas se paguen en una cuenta nueva |
| Cómo llega | Correo desde un dominio parecido o desde el buzón real comprometido; a veces seguido de un mensaje o una llamada | Correo dentro de una conversación real con el proveedor, con facturas auténticas adjuntas |
| Punto débil que explota | La autoridad y la urgencia | La rutina y la confianza |
La segunda variante es especialmente peligrosa porque muchas veces el correo sale del buzón auténtico del proveedor, que ha sido comprometido. El atacante lee las conversaciones durante semanas, espera a que haya una factura grande y responde en el mismo hilo con el tono de siempre.
Por qué el correo no basta para desconfiar
Las guías antiguas decían «revise el remitente». Hoy no es suficiente. Un atacante puede registrar un dominio que se diferencia en una letra (una «rn» en lugar de una «m», un guion añadido) o usar directamente la cuenta robada del proveedor. El texto está bien escrito, la firma es la de siempre y el PDF adjunto es una factura real con el IBAN cambiado.
Por eso la defensa principal no es técnica, sino de procedimiento: ningún cambio de datos bancarios ni ningún pago fuera de lo habitual se aprueba solo por correo.
Las reglas internas que frenan casi todos los intentos
Estas medidas cuestan poco y funcionan porque rompen el guion del estafador:
- Verificación por un canal distinto. Cualquier cambio de IBAN se confirma llamando al proveedor a un número que ya estaba en su ficha, nunca al que aparece en el correo que pide el cambio.
- Doble aprobación. Las transferencias por encima de un importe, por ejemplo 3.000 €, necesitan la firma de dos personas en la banca online.
- Periodo de espera para cuentas nuevas. El primer pago a un IBAN recién dado de alta se retrasa un par de días laborables y se revisa.
- Palabra clave para pagos urgentes. Si la dirección necesita de verdad un pago fuera de proceso, lo pide con una frase acordada que nunca se escribe en el correo.
- Permiso para decir que no. La persona de administración debe saber, por escrito, que nadie la va a reprochar por retrasar un pago para comprobarlo, aunque lo pida el gerente.
Además, compruebe si su banco ofrece la verificación del nombre del beneficiario al ordenar una transferencia. En la zona euro se está extendiendo la comprobación de que el IBAN corresponde al titular indicado; si el banco avisa de que no coinciden, trátelo como una alarma, no como un trámite.
Ajustes técnicos en el correo corporativo
Las reglas internas son la base, pero el correo se puede configurar para que el engaño sea más difícil y más visible:
- SPF, DKIM y DMARC en su dominio. Impiden que alguien envíe correos haciéndose pasar exactamente por su dirección. Con DMARC en modo de rechazo, los servidores que respetan la norma descartan esos mensajes.
- Aviso de remitente externo. Una etiqueta visible en los correos que vienen de fuera de la organización ayuda a detectar el «gerente» que escribe desde un dominio parecido.
- Detección de dominios similares. Microsoft Defender para Office 365 y otras soluciones permiten proteger contra la suplantación de nombres de directivos y de dominios parecidos a los suyos.
- Doble factor en todos los buzones. Muchos falsos cambios de IBAN empiezan con una contraseña robada. Con doble factor y acceso condicional, una contraseña sola no sirve.
- Vigilancia de reglas de reenvío. Un atacante dentro de un buzón suele crear reglas que reenvían o esconden correos. Alertar sobre reglas nuevas y bloquear el reenvío automático a direcciones externas cierra esa puerta.
Estas medidas protegen su buzón, no el del proveedor. Si el correo del proveedor está comprometido, solo le salvará la verificación por otro canal.
Ningún cambio de cuenta bancaria se acepta por correo electrónico, venga de quien venga. Esa sola regla, aplicada sin excepciones, detiene la mayoría de estas estafas.
Un caso para reconocer el patrón
Pongamos una distribuidora de productos de limpieza de Alicante con quince personas. Un martes, la responsable de pagos recibe un correo de su proveedor de envases, en el mismo hilo de siempre: «Hemos cambiado de banco, les adjunto el certificado de titularidad. Por favor, abonen la factura de este mes en la nueva cuenta». El PDF lleva el logotipo correcto y el importe cuadra con el pedido.
Si la empresa tiene la regla de verificación, la responsable llama al número de la ficha del proveedor y descubre que nadie ha cambiado de banco. Si no la tiene, paga 18.400 € a una cuenta de otro país que, una semana después, ya está vacía.
Si el pago ya se ha hecho
El tiempo es lo que más importa. Actúe en este orden:
- Llame de inmediato a su banco y pida que intente retener o recuperar la transferencia. Cuantas menos horas pasen, más opciones hay.
- Presente denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica que corresponda, con los correos originales.
- Avise al proveedor suplantado por un canal seguro: probablemente su buzón está comprometido y otros clientes corren el mismo riesgo.
- Revise su propio correo: accesos recientes, reglas de reenvío, aplicaciones autorizadas. Cambie contraseñas y fuerce el cierre de sesiones.
- Pida orientación a INCIBE a través de su línea de ayuda en ciberseguridad, el 017, y valore con su asesor si hay datos personales afectados que obliguen a notificar.
El paso práctico
Empiece por lo gratis: escriba hoy mismo la regla de verificación de cambios de IBAN y la de doble aprobación, y explíquelas a todo el equipo de administración. Después, revise la configuración técnica.
En Apply revisamos en remoto la protección de su correo corporativo (SPF, DKIM, DMARC y reglas de reenvío) y el control de acceso y la seguridad de endpoints, con doble factor y acceso condicional. Para que las reglas se cumplan de verdad, una sesión práctica de formación para empresas con ejemplos reales de estos correos suele marcar la diferencia.
Redacción Apply
Ciberseguridad