El fraude del CEO ya clona la voz: así engañan a empleados para pagar

Una llamada urgente, una voz que suena exactamente como la de tu jefa y un correo que llega poco después confirmando la orden. Ese es el guion del llamado fraude del CEO, una estafa que ya no se limita al correo electrónico y que aprovecha la clonación de voz y las videollamadas manipuladas para saltarse los controles internos de las empresas. Lo recuerda un reportaje publicado por El País dentro de una serie divulgativa sobre ciberdelincuencia patrocinada por BBVA.

Dos intentos en la misma empresa

El caso que sirve de hilo conductor es el de Bolsalea, una compañía alicantina dedicada a la fabricación de bolsas corporativas sostenibles. Khrystyna Kozmenko, responsable comercial de 27 años, recibió durante la pandemia una llamada en la que se le pedía el pago de una remesa de material sanitario para la plantilla. La petición encajaba con el contexto de aquellos meses y con su trabajo diario, así que la transferencia llegó a ordenarse. Consiguieron cancelarla a tiempo.

Un año después, los delincuentes volvieron a intentarlo con un compañero recién incorporado: un correo, supuestamente firmado por la directora ejecutiva de la empresa, le pedía comprar varias tarjetas regalo. En esa segunda ocasión la compañía ya estaba sobre aviso y el intento no prosperó. El detalle no es menor: los atacantes eligieron a la persona con menos tiempo en la empresa y, por tanto, con menos referencias para detectar algo raro.

Qué es exactamente esta estafa

En el fraude del CEO el delincuente suplanta la identidad de un directivo, de un proveedor o de cualquier tercero de confianza. El objetivo puede ser una transferencia a una cuenta ajena a la empresa, la modificación de los datos bancarios asociados a facturas recurrentes, la compra de tarjetas regalo —fáciles de convertir en compras por internet y difíciles de rastrear— o simplemente la entrega de información interna que servirá para un ataque posterior.

Existe una variante centrada en los proveedores: los atacantes interceptan la correspondencia por correo electrónico entre dos empresas y alteran ellos mismos el número de cuenta que aparece en las facturas. El pago se realiza con normalidad, solo que a otro destinatario.

Por qué funciona: el factor humano

Daniel de la Fuente, psicólogo e investigador de la Universitat Oberta de Catalunya, explica en el reportaje que el engaño está diseñado para afectar a cualquier perfil, pero que son más vulnerables los empleados con una fuerte tendencia a obedecer a la autoridad y quienes atraviesan un momento emocional delicado. “Si un trabajador está cansado o estresado, se encontrará en un estado más vulnerable y, por tanto, proclive a caer en el engaño”, señala.

La clave es que la estafa empuja a la víctima a saltarse el protocolo precisamente por lealtad: el empleado antepone la petición apremiante de un superior a los procedimientos, siente que debe demostrar eficacia y percibe que desobedecer una orden es más arriesgado que ejecutarla. Begoña García, responsable global de seguridad de la información de las personas en BBVA, lo resume así: “La estafa funciona porque consigue que una persona deje de aplicar temporalmente los mecanismos de comprobación que normalmente utilizaría”.

Los ingredientes se repiten: jerarquía (quien pide es alguien con poder), urgencia (cuanto menos tiempo hay para comprobar, mejor), secreto (“no se lo comentes a nadie, es una operación delicada”) y halago (“eres la única persona que puede resolverlo ahora”).

Qué se puede hacer

Las recomendaciones que recoge el artículo son sencillas y, sobre todo, verificables en segundos:

• Llamar a la persona que supuestamente ha hecho la petición a su número habitual, nunca al que aparece en el mensaje.
• Confirmar por el canal de siempre cualquier cambio en el número de cuenta de un proveedor.
• Acordar internamente una palabra o pregunta clave para validar peticiones sospechosas.
• Activar el doble factor de autenticación en el correo y en los accesos a los sistemas de la empresa.
• No abrir adjuntos no solicitados y revisar el dominio del remitente y el tono del mensaje.
• No difundir el organigrama ni detalles de procesos internos, materia prima para personalizar el engaño.
• Avisar al equipo de seguridad ante cualquier intento, aunque no haya prosperado.

Con herramientas de clonación de voz al alcance de cualquiera, la verificación por un segundo canal deja de ser una formalidad burocrática. En un entorno donde ya se discute abiertamente sobre los riesgos del avance acelerado de la IA, el eslabón más frágil sigue siendo una persona con prisa. Y no está de más revisar también qué canales de comunicación usa la empresa para tratar asuntos sensibles.