Fraude del CEO: escenario tipo y doble validación

El fraude del CEO es una estafa en la que quien llama se presenta como el directivo de la empresa o como un proveedor. Pide una transferencia urgente y confidencial a una cuenta que controla. En Francia se la vincula a las falsas órdenes de transferencia (FOVI). Para los equipos de contabilidad y tesorería, la defensa se resume en una regla: ninguna transferencia imprevista ni cambio de datos bancarios sin una validación independiente.

Este artículo describe un escenario tipo, las variantes, el procedimiento de doble validación y las frases que hay que decir a quien llama.

¿Qué es el fraude del CEO?

Cybermalveillance.gouv.fr, el organismo público francés de ayuda a las víctimas de ciberdelitos, define la estafa de las falsas órdenes de transferencia como un engaño que busca que se realice una transferencia no prevista. Utiliza la persuasión, las amenazas o diversas presiones. Cuando la petición se presenta como procedente de un directivo, con un carácter «urgente y confidencial», se habla de fraude del CEO (arnaque au Président, en Francia).

La ficha del organismo precisa que esta estafa se realiza por lo general por teléfono, por mensajes electrónicos o por ambos. Afecta a todo tipo de organizaciones. La cuenta bancaria del estafador suele estar en el extranjero.

En su informe de actividad 2025, Cybermalveillance.gouv.fr señala que los fraudes por transferencia se intensifican (+170 %). Se han extendido a la facturación electrónica y a la gestión de nóminas.

Un escenario tipo de fraude del CEO por teléfono

Este es un escenario construido para ilustrar el mecanismo. No describe ningún caso real.

Imaginemos a una contable de proveedores, un viernes a las 16:30. Suena su teléfono. Quien llama se presenta como el director general, de viaje: «Estoy en una reunión confidencial, hay una adquisición en curso. Necesito una transferencia hoy, antes de que cierre el banco. Le envío los datos por correo electrónico.»

Añade: «No se lo diga a nadie, tampoco al director financiero. Cuento con usted.» Unos minutos después llega un correo con los datos bancarios y un falso acuerdo.

Están todas las palancas:

• la autoridad del directivo;
• la urgencia de la hora de cierre;
• la confidencialidad, que aísla a la víctima de sus compañeros;
• la adulación: «cuento con usted».

Estos resortes se analizan en nuestro artículo sobre las palancas de la ingeniería social.

Las variantes: falso proveedor, cambio de IBAN, falso empleado

La ficha de Cybermalveillance.gouv.fr describe otras dos modalidades.

• El falso proveedor: el estafador suplanta la identidad de un proveedor para comunicar nuevos datos bancarios, en los que hay que hacer un pago.
• El falso empleado: el estafador suplanta la identidad de un empleado para pedir el cambio de los datos bancarios donde se ingresa su nómina.

El falso proveedor suele ser más discreto que el falso CEO. La llamada es banal: «Hemos cambiado de banco, este es nuestro nuevo IBAN.» Nada es urgente, nada es confidencial. Es la rutina la que adormece la vigilancia.

En ciertos casos, el fraude sigue al pirateo del correo de la persona suplantada, lo que hace el intercambio muy creíble. El teléfono sirve entonces para confirmar la petición, apoyándose en información real.

El procedimiento de doble validación

La ficha recomienda un procedimiento de validación jerárquica interna sin excepciones. Se aplica a las peticiones de transferencia imprevistas y a los cambios de datos bancarios. Esta es una forma de desarrollarlo.

1. Calificar la petición. Toda transferencia imprevista, todo cambio de IBAN y toda petición «confidencial» activan el procedimiento.
2. Devolver la llamada. El contable llama de nuevo al solicitante a un número que la organización ya conoce, nunca al que da quien llama ni al que figura en el correo recibido.
3. Hacer validar por una segunda persona. Otro empleado autorizado controla la petición antes de ejecutarla, incluso si procede de un directivo.
4. Dejar constancia. Se anotan la hora, el número que aparecía, el nombre dado y lo que se ha pedido.
5. Ejecutar o rechazar. En caso de duda, se suspende y se avisa al responsable de seguridad.

Por su parte, la CNIL, la autoridad francesa de protección de datos, recomienda contactar por teléfono o en persona con los contactos conocidos de la empresa que hace la petición. También aconseja recordar con regularidad los procedimientos a los equipos, porque una regla olvidada deja de aplicarse.

La devolución de la llamada es el gesto central. Se explica en detalle en nuestro artículo sobre el procedimiento de devolución de llamada por un canal independiente.

Las señales que deben activar el procedimiento

Ninguna de estas señales prueba el fraude. Juntas, justifican pasar a modo verificación.

• La transferencia no estaba prevista y no tiene un pedido asociado.
• El beneficiario es nuevo, o la cuenta está en el extranjero sin motivo aparente.
• La petición es «urgente y confidencial» y excluye del circuito a los compañeros habituales.
• Quien llama se niega a que se le devuelva la llamada o propone seguir en línea durante la operación.
• El correo que acompaña la petición procede de una dirección parecida a la habitual, pero no idéntica.

La CNIL describe el mismo esquema en el correo electrónico: una petición urgente, supuestamente validada desde las altas esferas. El dominio suele parecerse al de la empresa.

Por qué ceden contables con experiencia

No es falta de competencia. El contable que recibe la llamada se encuentra en una posición incómoda. Debe negarse ante un directivo, arriesgarse a retrasar una operación estratégica y decidir solo. El estafador explota precisamente ese miedo a hacerlo mal.

La confidencialidad exigida es la clave del montaje. Impide que la víctima hable con un compañero, que quizá habría reconocido la estafa en treinta segundos. De ahí se deriva una regla simple: toda petición que prohíbe hablar de ella debe compartirse con el responsable.

Para que esta regla se sostenga, la dirección debe decirlo con claridad. Un mensaje del tipo «nadie en la empresa, yo incluido, puede pedirle una transferencia fuera de procedimiento» protege a los equipos. Les da permiso para negarse antes incluso de que llegue la llamada.

Qué decir a quien llama sin ofenderle

La dificultad es social. Resulta delicado negarse ante un directivo, sobre todo por teléfono. La regla debe, pues, dar al empleado una frase que no ponga en cuestión a la persona.

«Para cualquier transferencia fuera de procedimiento, tengo que hacer una doble validación. Le devuelvo la llamada en cinco minutos a su línea habitual.»

«Entiendo la urgencia. La regla se aplica a todas las transferencias, y la fijó la dirección.»

«Para un IBAN nuevo, necesito una confirmación por escrito y una llamada a su contacto habitual.»

Un directivo auténtico aprueba estas frases, puesto que ha firmado el procedimiento. Un estafador protesta, adula o amenaza. Nuestro artículo sobre cómo decir no por teléfono bajo presión desarrolla estas técnicas.

Si la transferencia ya ha salido

Cada hora cuenta. Cybermalveillance.gouv.fr recomienda los gestos siguientes.

1. Identificar todas las transferencias ejecutadas, pendientes o futuras hacia el estafador, y avisar a la jerarquía y al servicio de contabilidad.
2. Pedir la suspensión de la transferencia si aún no se ha ejecutado.
3. Alertar al banco para solicitar la devolución de los fondos. El banco puede exigir una denuncia.
4. Conservar las pruebas: números de teléfono, mensajes, órdenes de transferencia, facturas.
5. Cambiar la contraseña del correo si pudo ser pirateado.
6. Presentar una denuncia en la comisaría o en el cuartel de la gendarmería.

Para saber qué retener de la llamada mientras tiene lugar, véase nuestra tabla de notificación de un incidente de seguridad.

Entrenar a los equipos de contabilidad para mantener el procedimiento

Un procedimiento escrito no garantiza que se aplique bajo presión. El empleado que oye «el director general» al otro lado de la línea actúa de forma distinta a cuando lee la instrucción. La práctica oral cubre esa distancia.

Con Face Up, un formador escribe el escenario a partir de sus casos reales. El alumno habla con un personaje que interpreta al falso directivo, con sus insistencias, y debe aplicar el procedimiento en directo. El informe de evaluación recoge sus propias frases. Puede volver a jugar hasta mantener la negativa. Este enfoque se describe en nuestra guía de formación en ciberseguridad.

Preguntas frecuentes

¿Cuál es la diferencia entre fraude del CEO y falso proveedor?

En el primer caso, el estafador suplanta a un directivo y crea urgencia. En el segundo, suplanta a un proveedor y pide un cambio de IBAN, a menudo sin urgencia aparente. El resultado es idéntico: una transferencia a una cuenta del estafador.

¿Basta con una doble validación?

Es eficaz si el segundo validador controla realmente la petición por un canal independiente. Si las dos personas se fían del mismo correo o de la misma llamada, la doble validación se convierte en un simple sello.

¿Se castiga el fraude del CEO?

Sí. Según Cybermalveillance.gouv.fr, en Francia la estafa se castiga con cinco años de prisión y 375 000 euros de multa. La tentativa se castiga con las mismas penas (artículos 313-1 y 313-3 del Código Penal francés).

Para hacer practicar este procedimiento a sus equipos de tesorería y contabilidad, solicite una demostración de Face Up.