Fraude del CEO y cambio de cuenta del proveedor: cómo verificar antes de pagar

El mensaje suele llegar por correo y pedir ayuda con una operación financiera urgente y confidencial. Si la persona que lo recibe no detecta la suplantación, puede responder con datos muy sensibles y hacer el pago que le piden.¹

Una variante, el fraude BEC, va más lejos: el delincuente compromete una cuenta de correo real y envía mensajes de cobro con una cuenta bancaria distinta, para que la transferencia llegue a una cuenta que él controla. Por eso el INCIBE recomienda incluir pasos de verificación para las cuentas de pago nuevas y para los cambios de cuenta de los proveedores.²⁴

Desconfíe de los mensajes que piden actuar con urgencia o mantener el asunto en secreto. El INCIBE explica que la presión por tiempo es una táctica clásica de ingeniería social y que el atacante suele indicar que el asunto es confidencial para evitar consultas internas.⁵

Revise la dirección completa del remitente, letra por letra. Según el INCIBE, los delincuentes pueden cambiar una sola letra del dominio o usar dominios muy parecidos al de la empresa o al del proveedor.⁴

Confirme cualquier solicitud de pago por otro canal: el INCIBE menciona una llamada telefónica, un mensaje instantáneo o cualquier otra herramienta de trabajo del equipo.³

Al confirmar, use un teléfono que ya tenga registrado del jefe o del proveedor, nunca el que aparece en el mismo mensaje que pide el pago: si el correo es falso, ese número también puede serlo.

El INCIBE recomienda además la regla de doble control: que dos personas autoricen las transferencias que superen un monto definido por la empresa. Y que todo el equipo sepa qué es el fraude del CEO y cómo identificarlo, porque la prevención es trabajo de todos.⁴⁵

Actúe de inmediato. Si detecta un intento o ya realizó la transferencia, el INCIBE indica contactar de inmediato con su banco. Cuanto antes se avise, más opciones hay de actuar.⁶

Si sospecha que alguien entró a una cuenta de correo de la empresa, o si nadie revisa quién tiene acceso a las cuentas desde las que se envían cobros, conviene una revisión técnica: el fraude BEC parte justamente de una cuenta de correo comprometida.²

1. 1

   [1] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme. 3 de julio de 2025. Consultado el 27 de octubre de 2026.

   “El fraude del CEO es una modalidad de phishing en la que un empleado con capacidad para realizar transferencias o con acceso a recursos económicos, recibe un correo de su supuesto superior, bien el CEO, presidente o director de la empresa en el que le pide ayuda para realizar una operación financiera con carácter urgente y confidencial. Si el usuario no detecta que se trata de una suplantación de identidad, puede responder al correo revelando datos de extrema sensibilidad y realizando la operación solicitada.”

   Abrir documento ↗
2. 2

   [2] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme. 3 de julio de 2025. Consultado el 27 de octubre de 2026.

   “Fraude BEC (Business E-mail Compromise o correo electrónico corporativo comprometido): es un tipo de fraude contra empresas que realizan transferencias electrónicas de dinero. El ciberdelincuente compromete la cuenta de uno de nuestros superiores y envía correos de facturación que nos envía, cambiando la cuenta del banco donde realizar los pagos, de manera que hagamos una transferencia a una cuenta controlada por ellos.”

   Abrir documento ↗
3. 3

   [3] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Historias reales: suplantaron a mi jefe y nuestro dinero desapareció. 5 de enero de 2021. Consultado el 27 de octubre de 2026.

   “Verificar las peticiones de envío de fondos por un canal alternativo. La vía más eficaz para evitar este tipo de fraudes es verificar la solicitud por un canal alternativo, como puede ser una llamada telefónica, un mensaje instantáneo o cualquier otra herramienta colaborativa.”

   Abrir documento ↗
4. 4

   [4] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme. 3 de julio de 2025. Consultado el 27 de octubre de 2026.

   “Revisa la dirección de correo completa: Comprueba letra a letra el dominio del remitente. Los ciberdelincuentes pueden cambiar una letra o utilizar dominios muy similares. Aplica la regla de doble control en pagos: Establece que dos personas autoricen transferencias superiores a un importe determinado. Define procedimientos de pago claros: Incluye pasos de verificación para nuevas cuentas de pago y cambios de IBAN de proveedores.”

   Abrir documento ↗
5. 5

   [5] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme. 3 de julio de 2025. Consultado el 27 de octubre de 2026.

   “Forma a tu equipo: Explica a todos los empleados qué es el fraude del CEO y cómo identificarlo. La prevención es trabajo de todos. Presta atención a mensajes que soliciten confidencialidad: El atacante suele indicar “es confidencial” para evitar consultas internas. Sospecha de mensajes que requieran actuar con urgencia: La presión por tiempo es una táctica clásica de ingeniería social.”

   Abrir documento ↗
6. 6

   [6] Instituto Nacional de Ciberseguridad de España (INCIBE). Fuente oficial. Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme. 3 de julio de 2025. Consultado el 27 de octubre de 2026.

   “Si detectas un intento o has realizado una transferencia, contacta de inmediato con tu banco”

   Abrir documento ↗