Fraude del jefe y cuentas bancarias: cómo funciona y cómo frenarlo
El fraude del jefe (BEC) suplanta a un directivo o proveedor para inducir un pago. No usa archivos maliciosos: usa urgencia y autoridad. Por eso los filtros técnicos solos no bastan; hace falta proceso y personas preparadas. Este artículo explica cómo se construye el engaño, por qué funciona tan bien y los controles concretos que lo frenan, incluyendo un checklist que finanzas y gerencia pueden aplicar desde mañana.
Cómo se construye el engaño
El atacante estudia la organización, identifica quién autoriza pagos y suplanta su correo o el de un proveedor conocido. A menudo usa un dominio casi idéntico al real, con una letra cambiada o una extensión distinta que pasa desapercibida en la prisa.
Pide un cambio de cuenta bancaria o un pago urgente, aprovechando la prisa y la jerarquía. El mensaje parece legítimo y llega en un momento de presión, cuando validar a fondo no parece posible.
El estudio previo es lo que lo hace convincente. El atacante conoce nombres, montos aproximados y plazos, información que obtiene de redes sociales, fugas o correos comprometidos previamente. Cuanto más sabe, más creíble es el engaño.
Por qué funciona
Funciona porque no parece un ataque técnico. Parece un correo normal de alguien con autoridad, y la presión de tiempo impide verificar por un canal alternativo. La urgencia es la herramienta principal del atacante.
El atacante aprovecha que el correo es el canal de validación por defecto: si el correo mismo es el fraude, validar por correo es inútil. El atacante responde 'sí, soy yo' desde la cuenta suplantada o comprometida.
También funciona porque ataca el proceso, no la tecnología. Un filtro de phishing puede no detectar un correo de texto plano sin enlaces ni adjuntos, porque técnicamente no parece malicioso. La defensa tiene que estar en el proceso, no solo en la bandeja de entrada.
Controles que frenan el fraude
Verificar todo cambio de cuenta por teléfono conocido, no por correo. El teléfono debe ser el que ya tenías, no el que llega en el mensaje. Esta sola pausa destruye la mayoría de los engaños.
Configurar SPF, DKIM y DMARC para reducir la suplantación de dominio. No lo elimina por completo, pero cierra la vía más fácil, que es enviar correo desde un dominio que parece el tuyo.
Concienciar a finanzas y gerentes: ellos son el blanco. Un filtro de correo no detecta a un directivo real cuyo correo fue comprometido. La defensa final es que la persona sepa detenerse y verificar.
El factor humano
La simulación de phishing y la formación específica a finanzas reducen la tasa de éxito de estos ataques. El objetivo no es que nadie haga clic nunca, sino que el equipo sepa detenerse y verificar antes de pagar.
Un control simple y poderoso: cualquier pago urgente o cambio de cuenta requiere confirmación por un segundo canal. Esa pausa, de cinco minutos, destruye el engaño que depende de la prisa para funcionar.
También ayuda normalizar la verificación. Si preguntar '¿estás seguro?' es parte del proceso y no una falta de confianza, el equipo lo hace sin sentirse mal, y el atacante pierde su ventaja.
Errores comunes
Asumir que el anti-phishing técnico basta. El BEC no siempre lleva adjuntos ni enlaces; a veces es solo texto que pide un cambio. La técnica no ve la intención, solo el contenido.
Dejar la validación al propio correo. Si el atacante controla la cuenta, responde 'sí, soy yo'. Validar por el canal comprometido es validar con el atacante.
No concienciar a finanzas por considerar que 'no son técnicos'. Precisamente por eso son el blanco: ellos autorizan el dinero, y el atacante busca llegar al dinero.
Checklist anti-BEC
Proceso de doble validación para cambios de cuenta y pagos urgentes.
Directorio telefónico interno confiable, separado del correo.
SPF, DKIM y DMARC configurados y monitoreados.
Simulaciones de phishing dirigidas a finanzas y gerencia.
Regla clara: la urgencia es señal de alerta, no de obediencia.