No hace falta un hacker de película para vaciarle la caja a una empresa. Basta con un correo bien escrito, un poco de paciencia y un dominio sin proteger. Así funciona el fraude del CEO —también llamado fraude de factura o *Business Email Compromise*—, uno de los timos más rentables que existen contra las pymes precisamente porque no requiere romper nada: solo aprovechar que el correo, por defecto, se fía de quien dice ser.
Cómo se monta el engaño
El guion se repite con variantes. Un atacante identifica una empresa y observa. Averigua quién es el gerente, quién lleva administración, con qué proveedores trabaja. Nada de esto es secreto: sale de la web, de LinkedIn, de una firma de correo reenviada.
Con eso montado, envía un correo que parece venir del director a la persona de administración: *»Estoy en una reunión, necesito que hagas esta transferencia hoy, aquí van los datos.»* O al revés: escribe a un cliente haciéndose pasar por la empresa, adjunta una factura real con el número de cuenta cambiado, y añade *»hemos cambiado de banco, por favor actualiza el pago.»*
El detalle que lo hace demoledor: el remitente encaja. Si el dominio de la empresa no está protegido, el atacante puede enviar el correo poniendo la dirección real en el «De:», y el sistema del destinatario lo acepta como legítimo. No hay señal de alarma. Parece el jefe porque, a los ojos del correo, *es* el jefe.
Por qué cuela tan a menudo
Tres factores se combinan:
– Autoridad. Cuesta cuestionar una orden que parece venir de arriba, sobre todo si mete prisa.
– Urgencia. «Hoy», «antes de las 14h», «es para cerrar la operación». La prisa desactiva la verificación.
– Confianza técnica. Si el correo llega con el dominio correcto, el receptor no tiene motivos visibles para dudar.
Y el eslabón que lo hace posible casi siempre es el mismo: un dominio que permite que cualquiera envíe en su nombre. Sin `p=reject`, suplantar la dirección exacta de la empresa es trivial.
El coste real para una pyme
Para una gran corporación, un fraude de este tipo es una cifra en un informe de riesgos. Para una pyme, puede ser existencial: un pago desviado de decenas de miles de euros que no vuelve, un cliente que descubre que «su factura» era falsa y desconfía, semanas de gestiones y de disgusto. El fraude por correo corporativo mueve cifras medias millonarias precisamente porque, cuando funciona, funciona a lo grande.
Y lo más frustrante es que la inversión para evitarlo es ridícula comparada con el daño. No hablamos de un departamento de seguridad: hablamos de cerrar bien tres registros de tu dominio.
Cómo se cierra la puerta
La defensa tiene dos capas que se complementan:
– Técnica: proteger tu dominio con SPF, DKIM y DMARC en `p=reject`, para que nadie pueda enviar correos falsificando tu dirección exacta. Esto elimina la variante más fácil y más usada del ataque.
– Humana: una norma simple en administración —verificar por un segundo canal (una llamada) cualquier cambio de número de cuenta o transferencia inusual recibida por correo, sin importar quién parezca enviarla.
La capa técnica es la que casi nadie tiene y la que más impacto tiene, porque corta el ataque de raíz. Un atacante que no puede usar tu dominio real tiene que recurrir a dominios parecidos, que son más fáciles de detectar y levantan más sospechas.
Comprueba si tu puerta está abierta
Si tu dominio no está en `p=reject`, hoy mismo alguien podría enviar un correo haciéndose pasar por tu director o por tu empresa. Saber en qué punto estás es gratis: en Reliant analizamos tu dominio y te decimos si es vulnerable a este tipo de suplantación y qué hace falta para cerrarlo.
Pide tu diagnóstico gratuito y cierra la puerta antes de que alguien la pruebe.