La estafa del CEO: cómo los delincuentes suplantan directivos para robar dinero

Khrystyna Kozmenko recibió una llamada durante la pandemia que parecía venir de su jefa directa. La voz en el otro lado del teléfono pertenecía a Marina Moya, directora ejecutiva de Bolsalea, la empresa alicantina donde trabaja Kozmenko como responsable comercial. La petición era urgente: necesitaban fondos para adquirir productos sanitarios para los empleados. Sin pensarlo demasiado, Kozmenko autorizó una transferencia. Fue solo después, cuando logró cancelarla a tiempo, que comprendió lo que había sucedido: alguien se había hecho pasar por su CEO.

Un año más tarde, la misma empresa volvió a ser blanco de los estafadores. Esta vez, un empleado recién incorporado recibió un correo electrónico que aparentaba venir de Moya solicitando la compra de varias tarjetas de regalo. Pero la experiencia anterior había dejado cicatrices. El equipo estaba en alerta. Detectaron el engaño antes de que el dinero saliera de las cuentas de la empresa. Bolsalea, especializada en la fabricación de bolsas corporativas sostenibles, había sido víctima de lo que los expertos llaman la estafa del CEO: un fraude que explota la jerarquía corporativa y la confianza para robar dinero.

Esta modalidad de delito funciona de manera deceptivamente simple. Los estafadores estudian la estructura de una empresa, identifican a sus directivos y luego suplantaban su identidad a través de correos electrónicos, llamadas telefónicas o, cada vez más, videollamadas. El objetivo es convencer a un empleado para que realice una transferencia a una cuenta ajena, modifique datos bancarios de proveedores, revele información confidencial o compre tarjetas de regalo que después pueden ser utilizadas para compras en línea. En algunos casos, los delincuentes interceptan directamente las comunicaciones con proveedores y modifican ellos mismos los datos bancarios para desviar los pagos.

Daniel de la Fuente, psicólogo e investigador de la Universitat Oberta de Catalunya, ha estudiado los mecanismos mentales que hacen que esta estafa funcione. Según su análisis, el fraude está diseñado para afectar a cualquier tipo de trabajador, pero ciertos perfiles son más vulnerables. Los empleados con una fuerte predisposición a obedecer la autoridad caen con mayor facilidad. También son susceptibles aquellos que atraviesan un estado emocional frágil: el cansancio, el estrés, la ansiedad. Un trabajador agotado tiene menos capacidad de cuestionarse una orden que aparentemente viene de arriba. La estafa funciona, paradójicamente, porque obliga a la víctima a romper con el protocolo. El empleado leal antepone la petición urgente del supuesto superior a los procedimientos establecidos. Siente presión por demostrar eficacia y competencia. Desobedecer una orden parece más arriesgado que ejecutarla.

La ingeniería social detrás del fraude se apoya en cuatro pilares psicológicos. Primero, la autoridad: suplantar a un CEO o presidente coloca al delincuente en una posición jerárquica que genera obediencia automática. Segundo, la urgencia: apremiar al empleado para que actúe rápidamente reduce el tiempo para reflexionar o verificar. Tercero, la discreción: solicitar que la operación se mantenga en secreto, argumentando que se trata de una transacción delicada e imprevista, aísla al empleado de sus colegas y de los mecanismos de control. Cuarto, el halago: frases como "eres la única persona del equipo que puede resolverlo ahora" refuerzan la identidad del trabajador como alguien competente y de confianza, lo que lo hace más proclive a actuar sin verificar.

Begoña García, responsable global de seguridad de la información en BBVA, advierte sobre una amenaza emergente: la inteligencia artificial. Los sistemas de IA permiten crear imágenes y audios convincentes que pueden suplantar la identidad de personas reales. Ver u oír a alguien ya no es garantía de que realmente sea esa persona. Las videollamadas falsas, los audios deepfake, las imágenes generadas por máquinas: todo esto amplifica exponencialmente el riesgo. La estafa del CEO, que comenzó como un fraude de correo electrónico, ahora puede llegar a través de canales que parecen más seguros porque involucran la voz o la cara del supuesto jefe.

Para protegerse, las empresas deben implementar medidas concretas. Contactar directamente con la persona que supuestamente envió el mensaje, usando su número de teléfono habitual, es el primer paso. Verificar que los datos bancarios de los proveedores coincidan con los acordados previamente es esencial. Establecer palabras clave de seguridad interna para validar comunicaciones sospechosas añade una capa de protección. La autenticación de dos factores en correos electrónicos y sistemas corporativos es fundamental. No descargar archivos adjuntos de correos no solicitados, revisar cuidadosamente el dominio del remitente y el tono del mensaje, no compartir información sobre el organigrama interno: todas estas prácticas reducen la superficie de ataque. Y cuando se detecta un intento de fraude, alertar inmediatamente al equipo de seguridad refuerza la vigilancia para toda la organización. La estafa del CEO prospera en el silencio y la prisa. La defensa está en la verificación y la comunicación.