Fraude del CEO

Un email del CEO que cuesta 4 millones de euros

En marzo de 2024, una empresa tecnológica española recibió un email aparentemente firmado por su consejero delegado. El mensaje era breve, urgente y confidencial: ordenaba una transferencia de 4 millones de euros para cerrar una adquisición secreta. La directora financiera ejecutó la orden sin sospechar. El dinero salió de la cuenta corporativa y, en menos de 72 horas, había rebotado por tres países hasta evaporarse en cuentas controladas por una red criminal.

El fraude del CEO no es un ataque sofisticado desde el punto de vista técnico. No necesita explotar vulnerabilidades zero-day ni desplegar malware avanzado. Su arma principal es mucho más antigua y eficaz: la confianza ciega en la jerarquía corporativa. Según el FBI, las pérdidas globales acumuladas por fraude BEC (del que el fraude del CEO es la variante estrella) superaron los 55.000 millones de dólares entre 2013 y 2024, con 2.770 millones solo en 2024. En España, INCIBE registró un aumento del 25% en este tipo de estafas durante 2025, afectando especialmente a PYMES sin protocolos de doble verificación.

Qué es el fraude del CEO

El fraude del CEO (también conocido como CEO fraud, whaling o fraude del directivo) es una modalidad específica de BEC (Business Email Compromise) en la que un atacante suplanta la identidad del máximo directivo de una empresa (CEO, consejero delegado, director general o presidente) para engañar a un empleado con capacidad de autorizar pagos y conseguir que realice una transferencia bancaria urgente a una cuenta controlada por los delincuentes.

A diferencia del phishing masivo que lanza millones de emails genéricos, el fraude del CEO es un ataque quirúrgico: el delincuente investiga la empresa durante días o semanas, identifica las relaciones jerárquicas, conoce los nombres reales del equipo directivo y financiero, y construye un escenario tan creíble que el empleado actúa sin cuestionar la orden.

Características definitorias:

• Suplantación de autoridad máxima: Siempre imita al CEO, director general u otro cargo de alto nivel
• Urgencia extrema: El mensaje exige acción inmediata, sin tiempo para verificar
• Confidencialidad impuesta: El atacante prohíbe explícitamente consultar con terceros
• Transferencia bancaria: El objetivo final es siempre mover dinero a una cuenta externa
• Ingeniería social pura: No requiere malware ni hacking técnico (aunque puede combinarse)

Casos reales documentados en España

Las operaciones policiales en España han destapado redes organizadas especializadas en fraude del CEO. La siguiente tabla recoge casos documentados públicamente por Policía Nacional, Guardia Civil y medios de comunicación:

Nota: Los datos de la tabla proceden de comunicados oficiales de las fuerzas de seguridad y medios de comunicación. Las cantidades corresponden a las cifras publicadas en los comunicados de las operaciones policiales.

Anatomía del ataque: cómo se ejecuta paso a paso

Diferencia entre fraude del CEO, BEC y phishing

Los tres conceptos están relacionados pero no son sinónimos. Esta tabla clarifica las diferencias:

En resumen: todo fraude del CEO es BEC, pero no todo BEC es fraude del CEO. El BEC incluye otras modalidades como el fraude de factura (invoice fraud), la suplantación de abogado o el robo de datos. El fraude del CEO es la variante más lucrativa porque explota directamente la cadena de mando.

Señales de alarma para empleados

Caso práctico: PYME española pierde transferencia por fraude del CEO

Nota: El siguiente caso está basado en patrones reales de ataques documentados en España durante 2024-2025. Los datos específicos (nombres, empresa, cantidades exactas) han sido modificados para proteger la confidencialidad de los afectados, preservando los aspectos técnicos relevantes para fines educativos.

Empresa: Distribuidora alimentaria, 85 empleados, facturación anual 12 millones EUR, sede en Andalucía.

Actores involucrados:

• CEO real: “Antonio R.” (viaje de negocios a Alemania, publicado en LinkedIn)
• Víctima: “Laura M.”, directora financiera, 8 años en la empresa
• Atacante: Red criminal con base operativa en Europa del Este

Timeline del ataque

Semanas 1-2: Reconocimiento

• El atacante identifica la empresa a través de licitaciones públicas (plataforma de contratación del Estado)
• LinkedIn revela estructura directiva: CEO, CFO, 3 directores de área
• Publicación del CEO en LinkedIn: “Rumbo a Hannover Messe. Gran semana por delante”
• Web corporativa lista proveedores principales y clientes sectoriales

Viernes 14 de junio, 17:42h: El email

De: Antonio R. <[email protected]>
    (dominio real: distribuidora-alimentaria.com — atacante usa .es)
Para: Laura M. <[email protected]>
Asunto: Transferencia urgente - CONFIDENCIAL

Laura,

Estoy en Alemania cerrando la compra de una línea de envasado.
Necesito que transfieras 285.000 EUR a la cuenta del vendedor
antes del cierre bancario de hoy. Es condición para reservar
la maquinaria.

IBAN: DE89 3704 0044 0532 0130 00
Beneficiario: Technik Verpackung GmbH

Por favor, no comentes esto con nadie hasta que formalicemos
la operación el lunes. Es una oportunidad que no podemos perder.

Gracias por la gestión.

Antonio
Enviado desde mi iPhone

Viernes, 17:55h: Laura duda brevemente pero recuerda que Antonio mencionó su viaje a Alemania. El IBAN es alemán (coherente). La firma “Enviado desde mi iPhone” es la que Antonio usa siempre en sus emails móviles. Inicia la transferencia.

Viernes, 18:15h: Transferencia ejecutada. 285.000 EUR salen de la cuenta.

Lunes 17 de junio, 09:05h: Antonio regresa y pregunta por los presupuestos de la semana. Laura menciona la transferencia. Antonio responde: “Yo no he ordenado ninguna transferencia”.

Lunes, 09:30h: Llamada urgente al banco. El dinero ya ha sido retirado de la cuenta alemana y redirigido a una cuenta en Lituania.

Resultado: Pérdida de 285.000 EUR. La empresa presenta denuncia ante la Policía Nacional y encarga un informe pericial forense.

Análisis forense de un fraude del CEO

El perito informático forense investiga un fraude del CEO mediante un protocolo estructurado que abarca desde las cabeceras del email hasta la trazabilidad bancaria. El objetivo es doble: (1) acreditar técnicamente la suplantación para el procedimiento judicial, y (2) identificar vectores de ataque para prevenir futuras incidencias.

1. Análisis de cabeceras del email (headers)

El primer paso es examinar las cabeceras completas del email fraudulento:

Return-Path: <[email protected]>
From: "Antonio R." <[email protected]>
Reply-To: [email protected]
Received: from mail.vps-atacante.ru (91.234.XX.XX)
  by mx.distribuidora-alimentaria.com; Fri, 14 Jun 2026 17:42:11 +0200
X-Mailer: RoundCube Webmail/1.6.5
Authentication-Results: mx.distribuidora-alimentaria.com;
  spf=fail (sender IP 91.234.XX.XX not permitted)
  dkim=none
  dmarc=fail (p=none)

Hallazgos forenses:

• Dominio suplantado: distribuidora-alimentaria .es (el legítimo es .com)
• SPF fail: La IP de origen (91.234.XX.XX, servidor ruso) no está autorizada por el registro SPF del dominio
• DKIM none: El email carece de firma digital
• DMARC fail (p=none): La política DMARC de la empresa estaba configurada en modo “none” (solo monitoriza, no rechaza). Si hubiera estado en “reject”, el email habría sido bloqueado
• Reply-To sospechoso: Las respuestas se redirigen a una cuenta Protonmail, no al dominio corporativo
• X-Mailer: RoundCube (webmail) en lugar de Outlook/Exchange corporativo

2. Análisis del dominio fraudulento

El perito investiga el dominio .es utilizado por el atacante:

• WHOIS: Registrado 5 días antes del ataque, datos de registro anonimizados (registrador extranjero)
• DNS: Sin registros MX propios; correo enrutado a través de VPS en Europa del Este
• Certificado SSL: Let’s Encrypt gratuito emitido 4 días antes (consistente con preparación reciente)

3. Reconstrucción del timeline

El perito correlaciona múltiples fuentes de evidencia para establecer la cronología exacta:

• Logs del servidor de correo: Hora de recepción del email fraudulento
• Logs de la banca online: IP, dispositivo y hora exacta de la autorización de la transferencia
• Registros del banco destino: Movimientos de la cuenta receptora (mediante requisitoria judicial)
• OSINT del atacante: Momento en que el CEO publicó su viaje (correlación con inicio del ataque)

4. Informe pericial para el juzgado

El informe pericial incluye:

• Certificación de la cadena de custodia del email original (.eml preservado con hash SHA-256)
• Análisis técnico de cabeceras demostrando la suplantación
• Timeline de eventos con evidencias cruzadas
• Valoración del perjuicio económico
• Conclusiones sobre las medidas de seguridad que habrían prevenido el ataque (SPF/DKIM/DMARC en modo reject, protocolo de doble autorización)

Marco legal: delitos aplicables en España

Código Penal

Artículos 248 y 249 CP - Estafa

El fraude del CEO encaja en el tipo penal de estafa del artículo 248.1 CP: “Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.”

La pena base es de 6 meses a 3 años de prisión. Cuando la cuantía supera los 50.000 EUR (lo habitual en fraude del CEO), se aplica el artículo 250 CP (estafa agravada) con penas de 1 a 6 años de prisión y multa de 6 a 12 meses. Si el fraude afecta a un gran número de personas o reviste especial gravedad por el importe, las penas pueden incrementarse hasta su mitad superior.

Artículo 301 CP - Blanqueo de capitales

Las “cuentas mula” y las transferencias en cascada utilizadas para ocultar el dinero defraudado constituyen blanqueo de capitales. La pena es de 6 meses a 6 años de prisión y multa del tanto al triplo del valor de los bienes. Las mulas bancarias, incluso las que colaboran por “desconocimiento”, pueden ser imputadas como cooperadores necesarios.

Artículo 197 CP - Descubrimiento y revelación de secretos

Si el atacante accedió previamente a la cuenta de email real del directivo (account takeover), incurre en el delito del artículo 197.1 CP (acceso ilícito a datos reservados), con penas de 1 a 4 años de prisión.

LECrim - Obtención de evidencia digital

Artículo 588 sexies LECrim: El registro de dispositivos informáticos y la obtención de datos electrónicos requieren autorización judicial. El informe pericial debe documentar la cadena de custodia del email original, la preservación de logs del servidor y la integridad de las evidencias mediante hash criptográfico (SHA-256).

Artículo 588 ter LECrim: La interceptación de comunicaciones electrónicas (si se investiga al atacante) requiere autorización judicial motivada, con plazo máximo de 3 meses prorrogable.

RGPD - Implicaciones para la empresa víctima

Si el fraude implicó acceso a datos personales (por ejemplo, compromiso del buzón del CEO con acceso a nóminas, datos de clientes o información de empleados), la empresa debe notificar a la AEPD en un plazo de 72 horas (artículo 33 RGPD). El incumplimiento puede acarrear sanciones de hasta 20 millones de euros o el 4% de la facturación global anual.

Preguntas frecuentes

¿El fraude del CEO solo afecta a grandes empresas?

No. Según datos del FBI (IC3), el 47% de los fraudes BEC (incluido el fraude del CEO) afectan a PYMES con menos de 50 empleados. Las empresas pequeñas son objetivos preferentes precisamente porque suelen carecer de protocolos de doble autorización, tienen menos capas de verificación y una sola persona puede autorizar transferencias de alto importe. En España, INCIBE ha alertado repetidamente de que las PYMES son el principal objetivo de estas estafas.

¿Un buen antivirus o filtro de email detiene el fraude del CEO?

Parcialmente. Los filtros avanzados de email pueden detectar dominios typosquatting, emails sin firma DKIM o con SPF fail. Sin embargo, si el atacante ha comprometido la cuenta real del directivo (account takeover), el email pasa todas las verificaciones técnicas. Además, el fraude del CEO es fundamentalmente un ataque de ingeniería social que explota la confianza humana, no una vulnerabilidad técnica. La defensa más eficaz es el protocolo de callback: llamar al directivo a un número conocido antes de ejecutar cualquier transferencia inusual.

¿Se puede recuperar el dinero tras un fraude del CEO?

Depende de la velocidad de reacción. Según datos de Europol y el FBI:

• Primeras 24 horas: Probabilidad de recuperación del 45% si el banco bloquea la cuenta destino
• 24-48 horas: Probabilidad del 22% (requiere cooperación bancaria internacional)
• Más de 48 horas: Probabilidad inferior al 8% (el dinero ya ha salido de la UE o se ha convertido en criptomonedas)

El informe pericial forense es fundamental para respaldar la denuncia y la acción civil urgente contra el banco receptor. En algunos casos, los tribunales españoles han reconocido responsabilidad parcial de la entidad bancaria cuando no existían controles adecuados en la cuenta mula.

¿Qué medidas debe implementar una empresa para prevenirlo?

Las medidas esenciales son:

1. Protocolo de doble autorización para transferencias superiores a un umbral (por ejemplo, 10.000 EUR)
2. Callback obligatorio a número conocido para cualquier orden de pago inusual
3. Configuración correcta de SPF, DKIM y DMARC en modo “reject” (no “none”)
4. Formación periódica del personal financiero en reconocimiento de fraude del CEO
5. Periodo de espera de 24 horas para cuentas bancarias nuevas o cambios de IBAN de proveedores

Conceptos relacionados

• BEC (Business Email Compromise) - Categoría general que incluye al fraude del CEO
• Spear Phishing - Técnica de phishing dirigido que a menudo precede al fraude del CEO
• Ingeniería Social - Técnicas de manipulación psicológica que sustentan el ataque
• Suplantación de Identidad Digital - Delito base: hacerse pasar por otra persona online
• Cabeceras Email - Headers del email, evidencia clave en el análisis forense
• SPF/DKIM/DMARC - Protocolos de autenticación de email que previenen el spoofing

Referencias y fuentes

1. FBI IC3. (2024). “Business Email Compromise: The $55 Billion Scam”. ic3.gov - Pérdidas acumuladas BEC: 55.000 millones USD; 2.770 millones USD solo en 2024
2. Europol. (2025). “Internet Organised Crime Threat Assessment (IOCTA)”. europol.europa.eu - Análisis de redes de fraude CEO en la UE, trazabilidad bancaria y cooperación internacional
3. INCIBE. (2025). “Fraude del CEO: cómo proteger tu empresa”. incibe.es - Guía de prevención para PYMES españolas
4. Policía Nacional. (2024). “Operación Lavairon: desarticulada red de fraude CEO con 6 millones en estafas”. policia.es - Comunicado operación policial
5. SpiderLabs. (2025). “BEC Email Trends: Attacks up 15% in 2025”. levelblue.com - Tendencias y estadísticas BEC actualizadas
6. Eftsure. (2025). “20 Business Email Compromise Statistics 2025”. eftsure.com - BEC representa el 73% de incidentes de ciberseguridad reportados
7. APWG. (2025). “Phishing Activity Trends Report Q2 2025”. apwg.org - Estadísticas globales de phishing y BEC
8. Código Penal español: Arts. 197 (descubrimiento de secretos), 248-250 (estafa y agravantes), 301 (blanqueo de capitales)
9. LECrim: Arts. 588 sexies (registro dispositivos), 588 ter (interceptación comunicaciones electrónicas)
10. RGPD: Art. 33 (notificación de brecha en 72 horas), Art. 83 (régimen sancionador)

Aviso legal: Los casos prácticos presentados en este artículo están basados en patrones reales de ataques de fraude del CEO documentados en España y Europa. Los datos específicos (nombres, empresas, cantidades exactas) han sido anonimizados o modificados para proteger la confidencialidad de los afectados. Las estadísticas proceden de fuentes oficiales citadas. Este contenido tiene finalidad informativa y educativa, y no constituye asesoramiento legal.

Sobre el autor: Jonathan Izquierdo, perito informático forense, ex-CTO y 5x AWS Certified, con metodología de trabajo basada en ISO 27037 para la preservación y análisis de evidencia digital. Especializado en análisis forense de fraudes BEC, trazabilidad de transferencias y elaboración de informes periciales para procedimientos judiciales.

Última actualización: 16 de febrero de 2026 Categoría: Ciberataques (ATK-026) Nivel técnico: Intermedio