Phishing, fraude del CEO y fraude de facturas
Módulo 1: Por qué usted es un objetivo · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá reconocer el funcionamiento del phishing, el fraude del CEO y el fraude de facturas (BEC), y establecer un procedimiento de pago con verificación mediante llamada de vuelta.
Conceptos clave: phishing, spear phishing, fraude del CEO, fraude de facturas, Business Email Compromise, principio de cuatro ojos, llamar de vuelta a un número conocido
Tres formas de la misma trampa
Los tres ataques de esta lección funcionan mediante el engaño. No se trata de entrar en un ordenador; se trata de convencer a alguien para que haga algo por sí mismo: hacer clic en un enlace, introducir una contraseña, transferir dinero. Esto se llama ingeniería social. Funciona porque apela a reacciones humanas normales: usted quiere ayudar a su jefe, pagar a un proveedor a tiempo, resolver un problema rápidamente.
| Forma | Qué quiere el atacante | Mensaje típico |
|---|---|---|
| Phishing | Credenciales de acceso, datos de pago o un clic en software malicioso | "Su buzón está lleno, inicie sesión para conservar sus mensajes" |
| Fraude del CEO | Un pago urgente | "Estoy en una reunión, ¿puede transferir esto hoy mismo? No lo comente con nadie" |
| Fraude de facturas | Pago de una factura real en una cuenta equivocada | "Atención: nuestro número de cuenta ha cambiado" |
El fraude del CEO y el fraude de facturas se agrupan bajo el término en inglés Business Email Compromise (BEC): fraude en el que se abusa del correo empresarial y un estafador se hace pasar por otra persona.
Phishing y spear phishing
El phishing es un mensaje que se hace pasar por un remitente de confianza, para que usted haga algo que de otro modo no haría. Generalmente se trata de un enlace a una página de inicio de sesión falsificada, por ejemplo de rnijnbank.example (con "rn" en lugar de "m"), o un archivo adjunto con software malicioso. El phishing normal se envía a grandes cantidades de personas a la vez, con una historia genérica.
En el spear phishing, el mensaje está adaptado a usted. El atacante utiliza su nombre, su cargo, el nombre de un compañero o proveedor real, un proyecto en el que está trabajando. Esa información la encuentra en su sitio web, LinkedIn, el Registro Mercantil o en un buzón de correo filtrado anteriormente. Como el mensaje coincide con lo que usted espera, llama mucho menos la atención.
Las faltas de ortografía ya no son una característica fiable. Con programas de traducción y generadores de texto con IA, un estafador escribe un español impecable. En el módulo 3 aprenderá a reconocer el phishing por cosas que un estafador no puede imitar: el dominio real de un enlace y el remitente técnico de un correo.
Fraude del CEO
En el fraude del CEO, alguien que realiza pagos recibe un mensaje que parece venir del director o propietario. La Línea de Ayuda en Ciberseguridad de INCIBE describe las características habituales:
- Autoridad: es una orden, no una pregunta.
- Confidencialidad: "no comente esto todavía con nadie, se trata de una adquisición."
- Presión de tiempo: tiene que ser hoy, antes de que cierre el banco.
- Un remitente que casi coincide: por ejemplo
directie@example-com.example, que a primera vista se parece al propio dominio, o una dirección personal "porque estoy de viaje".
A veces se recurre a un "abogado" o "asesor" que confirma el encargo; esa persona forma parte de la trama de los estafadores. También las asociaciones y pequeñas empresas son abordadas de este modo: el tesorero recibe un correo de "el presidente".
¿Por qué funciona? Porque en una pequeña empresa todos se conocen y confían entre sí. El empleado quiere ayudar, y la confidencialidad hace que no lo consulte con un compañero. El secreto es precisamente el objetivo del estafador.
Fraude de facturas: solo cambia el IBAN
El fraude de facturas es más difícil de reconocer, porque la factura suele ser auténtica. Importe, número de pedido, logotipo, formato: todo es correcto. Solo ha cambiado el número de cuenta. Según la Línea de Ayuda en Ciberseguridad de INCIBE, esto ocurre de varias maneras: se intercepta y modifica la factura, llega una carta aparte que dice "nuestro número de cuenta ha cambiado", o la propia empresa ha sido hackeada y el estafador envía el correo desde el buzón real.
Este último punto es importante de entender. Si el buzón de su proveedor leverancier.example ha sido tomado, el correo llega realmente desde la dirección correcta. Todos los controles técnicos (SPF, DKIM, DMARC, vistos en el módulo 4) se superan sin problema. El estafador a veces lleva semanas leyendo el buzón, sabe qué facturas están pendientes y envía su mensaje justo en el momento adecuado, dentro de la misma conversación. Comprobar la dirección del remitente no sirve de nada en este caso.
Un detalle doloroso: si ha pagado al estafador, en principio sigue debiendo el importe al proveedor real.
Un ejemplo
Panadería Example encarga un horno nuevo a leverancier.example. El presupuesto, la confirmación del pedido y la factura llegan todos correctamente. Dos días después, en la misma conversación de correo, llega esto:
Estimada Petra, debido a un cambio de banco, nuestro número de cuenta ha cambiado con efecto inmediato. ¿Puede transferir el importe de la factura del horno al nuevo número? El número antiguo se dará de baja la próxima semana. Atentamente, Joost
La dirección es correcta, el nombre de Joost es correcto, el número de pedido coincide. Lo único que delata el fraude es la propia petición: un cambio de número de cuenta. Ese es siempre un momento para comprobar, nunca un momento para confiar únicamente en el correo.
El procedimiento de pago que lo detiene
No puede reconocer todos los correos falsos. Pero sí puede asegurarse de que un correo falso no sea suficiente para realizar una transferencia. Esto se consigue con unos cuantos acuerdos fijos.
- Llamar de vuelta a un número conocido. Ante cualquier cambio de número de cuenta, y ante cualquier solicitud de pago inusual, llame al remitente. No al número que aparece en el correo o en la factura, porque también puede ser falso, sino a un número que ya tenía: de su propia contabilidad, del contrato o del sitio web oficial que usted mismo escribe.
- No responder al correo. Si quiere comprobarlo por correo, escriba usted mismo la dirección. Con "responder" puede acabar llegando al estafador, por ejemplo mediante un campo Reply-To que apunta a otra dirección (lección 3.3).
- El principio de cuatro ojos. Los pagos por encima de un importe fijo, los nuevos beneficiarios y los cambios de número de cuenta son comprobados por dos personas. En una empresa unipersonal, esto significa: un tiempo de espera fijo y llamar de vuelta antes de pagar.
- Sin excepciones por correo o chat. El director nunca pide por correo o WhatsApp saltarse el procedimiento. Acuerden esto, precisamente también con el propio director. Así todos saben que un mensaje con "esta vez fuera del procedimiento normal" es sospechoso por definición.
- Registrar los datos. El número de cuenta de un proveedor está en su contabilidad. Compare el número de cada factura con el que ya tenía. Desde octubre de 2025, los bancos de la zona euro comprueban en una transferencia si el nombre que usted introduce coincide con el número de cuenta (en inglés, Verification of Payee). Tome en serio una advertencia de este tipo. Pero un resultado positivo solo indica que el nombre y la cuenta coinciden, no que el destinatario sea honesto.
| Situación | Acción |
|---|---|
| Nuevo número de cuenta de un proveedor existente | Llamar de vuelta a un número conocido, aprobación de una segunda persona |
| Pago urgente solicitado por la dirección | Llamar o preguntar en persona, seguir el procedimiento normalmente |
| Nuevo proveedor, primera factura | Comprobar los datos en una fuente oficial, aprobación de una segunda persona |
| Factura con un aspecto distinto al habitual | Preguntar antes de pagar |
Si aun así sale mal
¿Ha pagado y ya no confía en el remitente? Entonces cada hora cuenta.
- Llame inmediatamente a su banco y pregunte si el pago puede bloquearse o recuperarse.
- Consulte o notifique el fraude a la Línea de Ayuda en Ciberseguridad de INCIBE (017) y presente una denuncia ante la Policía.
- Avise al proveedor: si su buzón ha sido tomado, otros clientes también recibirán mensajes falsos.
- Si el mensaje salió de su propio buzón o del de un compañero, es posible que haya sido comprometido. Cambie la contraseña, revoque las sesiones y revise las reglas de reenvío (lecciones 2.5 y 3.5).
Resumen
- El phishing, el fraude del CEO y el fraude de facturas son ingeniería social: se le convence a usted de hacer algo por sí mismo.
- El spear phishing está adaptado a usted y por eso es mucho más convincente; las faltas de ortografía ya no son una buena señal.
- El fraude del CEO juega con la autoridad, la confidencialidad y la presión de tiempo.
- En el fraude de facturas a menudo solo cambia el IBAN, a veces desde el buzón real y hackeado del proveedor.
- Un procedimiento de pago con llamada de vuelta a un número conocido y el principio de cuatro ojos detiene la mayoría de los fraudes, incluso si no reconoce el correo falso.
Cuestionario
Ejercicio
Ejercicio A1.2: Reconozca el fraude. Recibirá seis mensajes breves. Indique para cada mensaje si se trata probablemente de phishing, fraude del CEO, fraude de facturas o un mensaje normal, y qué acción tomaría. El programa lo corrige y le muestra para cada mensaje las características que podría haber observado.
Ejercicio D1.2: Su propio procedimiento de pago. Escriba el procedimiento de pago de su empresa en una sola hoja A4: cuándo llamar de vuelta, a qué número, quién realiza una segunda comprobación y a partir de qué importe. Coméntelo con todas las personas que realizan pagos.
Ejercicio D1.2: Su propio procedimiento de pago
Así puede abordarlo: (1) Escriba en una hoja cuándo un pago requiere control adicional: cambio de número de cuenta, nuevo beneficiario, importe por encima de un límite que usted elija, solicitud urgente fuera del procedimiento habitual. (2) Anote cómo debe realizarse la llamada de verificación: solo a un número de su propia administración, del contrato o del sitio web oficial que usted mismo escriba. (3) Designe a una segunda persona que revise el pago (en una empresa unipersonal: un tiempo de espera fijo, por ejemplo una noche). (4) Acuerde con la dirección que el procedimiento nunca se salte por correo o chat. (5) Comente la hoja con todas las personas que realizan pagos y cuélguela en un lugar visible.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.
- ¿Es realmente este correo de WebOké? Cómo reconocer el phishing y utilizar el código de promoción
- Correos de ICANN o del registro sobre su dominio: ¿reales o falsos, y qué debe hacer?
- Línea de Ayuda en Ciberseguridad de INCIBE, fraude del CEO: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
- Línea de Ayuda en Ciberseguridad de INCIBE, el número de cuenta de la factura ha sido modificado: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
- Línea de Ayuda en Ciberseguridad de INCIBE, facturas interceptadas: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad