Actualidad

Phishing y fraude del CEO: cómo reconocerlos y qué protocolo seguir

Señales del fraude del CEO y del phishing, protocolo de verificación de pagos y qué hacer si ya se ha pagado: banco, denuncia en Andorra y Cataluña.

Publicado el Por BDR Group8 min de lectura

El fraude del CEO es una variante del phishing en la que alguien se hace pasar por un directivo o un proveedor para conseguir un pago urgente. Se reconoce por la prisa, la confidencialidad y el cambio de canal. Se neutraliza con una regla: ningún pago nuevo o modificado se hace sin confirmarlo por un segundo canal que ya conozcas.

Qué es cada cosa

El phishing es el engaño para que alguien haga clic en un enlace, dé credenciales u obedezca una petición falsa. INCIBE describe el fraude del CEO como una modalidad de phishing en la que un empleado con capacidad de hacer transferencias recibe un mensaje que parece de su superior (CEO, presidente o director) y le pide una operación financiera urgente y confidencial. Los Mossos d’Esquadra distinguen la modalidad por teléfono y la modalidad por correo, y la variante en la que se suplanta a un proveedor y se comunica una cuenta nueva para pagar facturas.

No es un riesgo menor. El informe Threat Landscape 2025 de ENISA, la agencia de ciberseguridad de la UE, analiza cerca de 4.900 incidentes entre julio de 2024 y junio de 2025 y sitúa el phishing (con vishing, correo basura y publicidad maliciosa) como la vía de entrada principal, con alrededor del 60% de los casos. Añade que la IA se utiliza para redactar correos más convincentes y para suplantar con voz y vídeos falsos.

Cómo se reconoce

Señales de alerta, según INCIBE y los Mossos:

  • Urgencia: "hay que hacer la transferencia antes de las 14:00".
  • Confidencialidad: "no se lo cuentes a nadie".
  • Excusas para no hablar: "estoy en una reunión y no puedo llamar".
  • Cambio de canal: se pide continuar por WhatsApp.
  • Momento elegido: el directivo está de vacaciones o no se le puede localizar.
  • Remitente que engaña: un dominio casi igual, con una letra cambiada.
  • Formas de pago extrañas: tarjetas regalo, efectivo o ingresos en cajeros de criptomonedas.
  • Cuenta nueva: transferencia a una cuenta distinta de la habitual, a menudo en países con cierta opacidad fiscal (Mossos).

En Andorra, la Policía alertó el 4 de febrero de 2026 de nuevos casos por teléfono con perjuicios de 700 a 3.000 euros. Los estafadores llaman a un establecimiento haciéndose pasar por el responsable o por un proveedor, con datos reales del negocio, y apremian al trabajador para que entregue dinero con urgencia: de las cajas o de la caja fuerte, de su bolsillo o comprando tarjetas de prepago y enviando los códigos por fotografía. Empiezan pidiendo poco y, si ven disposición, piden más, y pueden imitar la voz con IA. Según la Policía, afecta a distintos establecimientos, servicios e instituciones.

Protocolo de verificación de pagos

Salen de las recomendaciones de INCIBE, los Mossos y la Policía de Andorra, y caben en una página:

  1. Confirma por un segundo canal. Llama a un número que ya tengas, nunca al del mensaje ni al que te den al llamar. Aplícalo a cualquier petición de pago urgente o fuera del procedimiento habitual.
  2. Verifica los cambios de cuenta. Un cambio de IBAN de un proveedor no se hace sin confirmarlo por teléfono con el contacto conocido.
  3. Doble autorización. Las transferencias por encima de un importe fijado las aprueba una segunda persona.
  4. Define quién puede ordenar pagos y cómo. Con un protocolo escrito, un organigrama y unos contactos oficiales.
  5. Nadie paga de su bolsillo ni compra tarjetas por encargo. Ningún procedimiento de la empresa lo pide, y todos los trabajadores deben saberlo.
  6. Permite dudar. Verificar la orden de un directivo es una obligación, no desconfianza: los estafadores cuentan con el miedo de quien la recibe.
  7. Filtros de correo. Configura alertas para dominios parecidos al de la empresa y para correos externos que imitan nombres internos.

Qué hacer si ya se ha pagado

El tiempo cuenta, porque cuando se detecta el fraude las cuentas receptoras a menudo ya no están operativas (Mossos).

  1. Avisa al banco enseguida, desde un teléfono o canal oficial, y pídele que intente detener o recuperar la operación.
  2. Conserva las pruebas. No borres el correo ni el mensaje, haz capturas de la suplantación y anota horas, números y cuentas.
  3. Denuncia. En Andorra, ante la Policía de Andorra: su web indica urgencias y denuncias las 24 horas los 365 días del año, en el 110 o en el +376 872 000. En Cataluña, ante los Mossos d’Esquadra, con el correo recibido y las pruebas. En el resto de España, ante la Policía Nacional o la Guardia Civil.
  4. Llama a INCIBE (017) si estás en España: es un servicio gratuito y confidencial para ciudadanos, empresas y profesionales, todos los días de 8 a 23 h (también por WhatsApp, en el 900 116 117).
  5. Valora si hay datos personales comprometidos. Si los atacantes han entrado en un buzón o un sistema, puede tratarse de una violación de la seguridad de los datos personales. El RGPD (artículo 33) y la Llei 29/2021 de Andorra (artículo 36) obligan a notificarla a la autoridad de control sin dilación indebida y, si es posible, en 72 horas, salvo que sea improbable que suponga un riesgo para las personas.
  6. En Andorra, la Llei 22/2022 permite notificar voluntariamente ciberamenazas e incidentes al CSIRT-AD, también a las entidades fuera de su ámbito (artículo 16).

Formación: qué debe saber todo el mundo

El protocolo solo funciona si lo conoce quien recibe la llamada. Conviene formar a todo el personal, no solo a finanzas, y en especial a quien accede a cajas, a la facturación o al buzón de la dirección. Recomendamos sesiones cortas, con ejemplos reales y repetidas cada año, que incluyan la llamada telefónica: no todo llega por correo.

Dónde tenemos interés

En BDR Group ofrecemos formación y concienciación en ciberseguridad y respuesta a incidentes con TutumSec, de modo que tenemos interés en este tema. El protocolo de arriba se puede poner en marcha sin contratar nada.

Qué hacer ahora

  1. Escribe en una página el protocolo de pagos y cambios de cuenta, y haz que llegue a todo el personal.
  2. Fija el importe a partir del cual hacen falta dos aprobaciones.
  3. Deja claro que nadie paga ni compra tarjetas por orden de una llamada.
  4. Anota el teléfono del banco y el de la Policía o los Mossos, y quién avisa si pasa.
  5. Programa una sesión de formación de 30 minutos y repítela cada año.

Preguntas frecuentes

¿Puede ser una llamada, no solo un correo?

Sí. La alerta de la Policía de Andorra de febrero de 2026 describe casos por teléfono, con datos reales del negocio y posible uso de voz imitada con IA. Los Mossos describen una modalidad por teléfono y otra por correo.

¿Se puede recuperar el dinero?

No hay garantía. Los Mossos advierten de que a menudo es imposible recuperar el dinero, porque la cuenta receptora deja de estar operativa. Por eso avisar al banco enseguida es el primer paso.

¿Hace falta denunciar si el importe es pequeño?

Las fuentes que citamos recomiendan denunciar y no fijan ningún importe mínimo. Los casos de la alerta andorrana eran de entre 700 y 3.000 euros.

Fuentes

¿Quieres revisar cómo protege tu empresa los pagos?

Si quieres una opinión externa sobre procedimientos, formación y respuesta a incidentes, empieza por la ficha del servicio: Ciberseguridad para empresas

Volver a Actualidad

Actualidad

Otros artículos