El fraude del CEO ya usa IA: la estafa que va a intentar entrar en tu empresa este año y cómo montar la defensa antes de que cuele
Un viernes a las 13:40, la responsable de administración recibe un correo del CEO: “Estoy cerrando una operación confidencial, necesito que hagas hoy una transferencia de 18.400 euros a esta cuenta. No lo comentes hasta el lunes.” El correo suena exactamente como escribe él. Diez minutos después entra un audio de WhatsApp con su voz confirmándolo. Todo es falso, y el dinero sale igual.
Esto no es una película. Es el fraude del CEO, lleva años funcionando, y la IA acaba de quitarle lo único que lo delataba: las faltas de ortografía, el tono raro, el español de traductor automático. Hoy el atacante mete tres publicaciones tuyas de LinkedIn y dos correos filtrados en un modelo de lenguaje y saca un mensaje que escribe como tú. Con veinte segundos de un vídeo tuyo en YouTube, clona tu voz.
Por qué tu pyme es el objetivo, no el banco
El atacante no va a por quien más dinero tiene. Va a por quien menos fricción pone entre una orden y una transferencia. Y ahí la pyme gana por goleada: el jefe pide las cosas por WhatsApp, administración ejecuta sin doble firma, y cuestionar una orden directa del dueño se percibe como desconfianza.
La estafa no explota un fallo informático. Explota tu organigrama. Funciona precisamente porque en tu empresa las órdenes del jefe se cumplen rápido y sin preguntas, que es lo que siempre has querido. Por eso ningún antivirus la para: técnicamente, ese correo no tiene nada malo. El malware eres tú.
Las tres variantes que van a llegarte
- La transferencia urgente y confidencial. Suplantan al CEO o al director financiero. Siempre hay prisa, siempre hay secreto. La prisa desactiva la verificación; el secreto desactiva el comentario en voz alta que lo destaparía.
- El cambio de cuenta del proveedor. Un correo del proveedor de siempre avisando de que han cambiado de banco y que la próxima factura se pague en la cuenta nueva. La factura es real; la cuenta, del atacante. Esta es la que más cuela porque no pide nada raro.
- La credencial regalada. Un correo de Microsoft, del banco o de la asesoría pidiendo revalidar el acceso. Un empleado mete su contraseña en una página clonada y el atacante ya está dentro leyendo tu correo real durante semanas, estudiando cómo escribís, esperando la factura buena para colar su cuenta.
La defensa: proceso primero, IA después
Lo primero no cuesta dinero, cuesta una decisión. Ninguna orden de pago ni cambio de cuenta bancaria se ejecuta por el mismo canal por el que llegó. Si entra por correo, se confirma por teléfono al número de siempre, no al que venga en la firma del mensaje. Si el CEO lo pide por WhatsApp, se confirma en persona o por llamada. Sin excepciones, y con el propio CEO dando ejemplo cuando le toque esperar diez minutos.
Tres reglas más de proceso:
- Doble aprobación por encima de un umbral. A partir de la cifra que decidas —3.000, 5.000 euros—, dos personas distintas aprueban el pago. Aburrido y eficaz.
- Los datos bancarios de proveedores solo se cambian con verificación telefónica al contacto histórico. Nunca respondiendo al correo que pidió el cambio.
- La urgencia es una señal de alarma, no un motivo para saltarse el proceso. Cualquier mensaje que combine prisa, secreto y dinero se trata como sospechoso por defecto.
Dónde entra la IA en tu defensa
La misma tecnología que afina el ataque puede vigilar tu bandeja de entrada mejor que cualquier persona. Un agente de IA revisando el correo entrante detecta lo que un empleado con prisa no ve: que el dominio del remitente tiene una letra cambiada, que ese proveedor nunca había escrito a esa hora ni con ese tono, que la cuenta bancaria del PDF no coincide con la de las doce facturas anteriores, que el enlace apunta a un dominio registrado hace tres días.
No hace falta un proyecto de seis meses. Empieza por lo concreto: un filtro con IA que marque y retenga los correos que mencionen pagos, cambios de cuenta o credenciales cuando vengan de dominios nuevos o parecidos a los habituales, y una comprobación automática que cruce el IBAN de cada factura entrante contra el histórico del proveedor. Solo esas dos piezas desactivan las dos variantes que más dinero se llevan.
Qué hacer esta semana
Reúne a las dos o tres personas que pueden mover dinero en tu empresa y cuéntales las tres variantes con ejemplos. Quince minutos. Después escribe la regla del segundo canal en un papel y firmadla todos, tú el primero. Y encarga la prueba: que alguien de confianza envíe un correo falso razonablemente bueno pidiendo un pago, y mira qué pasa.
Si cuela en la prueba, has comprado el aprendizaje por cero euros. Si cuela en real, el precio medio son varias decenas de miles, y casi nunca se recupera. El fraude del CEO no se para con tecnología ni con desconfianza: se para con un proceso que nadie puede saltarse, ni siquiera el CEO. Sobre todo el CEO.