Fraude del CEO (BEC): el ataque que su antivirus no detiene

Introducción

Son las 16:40 de un viernes. La persona a cargo de los pagos recibe un correo del gerente general: breve, urgente, confidencial. “Necesito que transfieras a un proveedor nuevo antes del cierre bancario. Estoy en una reunión, no puedo hablar. Avísame cuando esté listo.” La firma coincide, el estilo se parece al de siempre. La persona transfiere. El lunes descubre que el gerente nunca escribió ese correo.

Esa es la mecánica del fraude del CEO, uno de los engaños más costosos que existen hoy. Su nombre es engañoso: aunque se lo llama “fraude del CEO”, los atacantes suplantan por igual a gerentes, a proveedores de confianza o a cualquier persona con autoridad para pedir un pago. Para una PyME chilena que gira transferencias a proveedores todas las semanas, el riesgo es concreto y perfectamente rentable para quien lo ejecuta.

El fraude del CEO —conocido técnicamente como BEC (Business Email Compromise o compromiso de correo empresarial)— es una estafa en la que un delincuente se hace pasar por un ejecutivo, proveedor o persona de confianza a través del correo electrónico, para inducir a un empleado a transferir dinero o entregar información sensible. Opera de dos formas: suplantando una identidad con un dominio falso o parecido, o comprometiendo una cuenta de correo real. En ambos casos su fuerza está en explotar la confianza y la urgencia, no en el uso de malware.

¿Cómo funciona un ataque BEC paso a paso?

El fraude del CEO no es improvisado. Sigue una secuencia reconocible:

1. Reconocimiento. El atacante investiga la empresa: organigrama, nombres de ejecutivos, quién maneja finanzas. Mucho de esto está disponible en LinkedIn, la web corporativa o correos filtrados en brechas anteriores.

2. Suplantación. Crea una dirección casi idéntica a la real —cambiando una letra o el dominio— o, en casos más graves, se apodera de la cuenta real de un ejecutivo. El correo se ve legítimo a primera vista.

3. Presión y urgencia. El mensaje suele traer prisa y, muy a menudo, secreto. Frases como “es confidencial, no lo comentes”, “estoy en una reunión, no puedo hablar por teléfono” o “te explico después” no son casuales: están diseñadas para evitar la verificación que expondría el engaño.

4. La transferencia. El empleado, creyendo que cumple una orden legítima, ejecuta el pago a una cuenta controlada por el atacante. Para cuando alguien nota algo raro, el dinero ya salió.

La lección de esta secuencia es clara: cuando una instrucción de pago llega solo por correo —sobre todo si trae urgencia o cambia datos bancarios— merece una segunda mirada, sin importar quién parezca enviarla.

¿Por qué su antivirus no puede detener este fraude?

Porque el ataque no trae nada que el antivirus sepa reconocer. La mayoría de las defensas técnicas —antivirus, EDR, firewalls— están diseñadas para detectar código malicioso, archivos peligrosos o enlaces a sitios infectados. Un correo de BEC suele ser texto plano, redactado con cuidado, que pide algo que suena razonable. No hay archivo que escanear ni enlace que bloquear.

Esto no significa que la tecnología sea inútil frente al BEC. Cuando el ataque compromete una cuenta real, o cuando suplanta el dominio de la empresa, ciertos controles técnicos —que veremos más adelante— sí reducen el riesgo. Pero ninguno de ellos puede decidir, por sí solo, si una instrucción de pago es legítima. Esa decisión sigue estando en manos de una persona, y es justamente ahí donde apunta el atacante.

Conviene ser claro: el antivirus y las herramientas de detección siguen siendo una capa imprescindible frente a muchísimas amenazas. Pero frente al BEC, por sí solos, no alcanzan.

¿Cuánto dinero se pierde realmente por el fraude del CEO?

Las cifras ayudan a dimensionar la capacidad de daño de este fraude. No describen la incidencia puntual en una PyME chilena, pero muestran de qué tamaño es el problema. Según el Informe Anual de Delitos en Internet 2025 del FBI (IC3), publicado en abril de 2026, el BEC generó US$3.046 millones en pérdidas durante 2025, a partir de 24.768 denuncias: un promedio cercano a US$123.000 por caso. Fue el segundo cibercrimen más costoso del año en Estados Unidos, solo detrás del fraude de inversiones.

Dos datos completan el cuadro. Primero, las pérdidas por BEC crecieron respecto a 2024, cuando totalizaron US$2.770 millones: la tendencia va al alza. Segundo, según el mismo reporte, la gran mayoría de los fondos robados se mueve mediante transferencias bancarias, difíciles de revertir una vez ejecutadas. Cuando el dinero sale, recuperarlo es la excepción.

En Chile el patrón se repite con un matiz local: los atacantes ya no solo suplantan al CEO, también se hacen pasar por proveedores para desviar el pago de facturas legítimas. Las empresas medianas de importación y exportación —abundantes en el país— giran transferencias de miles de dólares, lo que vuelve rentable el tiempo invertido en el engaño. La Coordinación Nacional de Ciberseguridad documentó el caso de una empresa del Estado que frustró un BEC precisamente porque una funcionaria se detuvo a mirar la dirección real del remitente y notó errores sutiles de redacción antes de actuar.

¿Cómo puede protegerse su empresa del fraude del CEO?

La buena noticia es que el BEC es, en gran medida, prevenible, y no exige una gran inversión tecnológica. La defensa se sostiene en tres pilares que se refuerzan entre sí: tecnología, procesos y personas.

Pilar 1 — Tecnología: cerrar las puertas que el atacante usa. El objetivo aquí es doble. Evitar que suplanten su dominio: los protocolos de autenticación de correo (conocidos por sus siglas SPF, DKIM y DMARC) permiten que otros servidores verifiquen que un correo que dice venir de su empresa realmente proviene de ella; la clave es configurar DMARC en modo “rechazar”, no solo “monitorear”. Y evitar el robo de cuentas: la autenticación multifactor (MFA) en todo el correo dificulta enormemente que un atacante se apodere de una cuenta real. Una advertencia importante sobre su alcance: DMARC protege su dominio, pero no impide que un atacante use un dominio parecido; y MFA reduce el riesgo de que comprometan una cuenta, pero no lo anula. Estos controles reducen la superficie de ataque; no la eliminan.

Pilar 2 — Procesos: verificar según el riesgo, sin frenar la operación. Aquí está la defensa decisiva, porque ataca el punto débil del fraude: la verificación. No se trata de llamar por cada factura —eso paralizaría la empresa—, sino de exigir una confirmación por un segundo canal (una llamada a un número conocido de antemano, no al del correo) en las situaciones de mayor riesgo: cambios de datos bancarios de un proveedor, beneficiarios nuevos, pagos extraordinarios o montos por sobre un umbral definido. A eso se suman controles financieros que ningún correo puede saltarse: doble aprobación para pagos relevantes, segregación entre quien solicita y quien ejecuta, y confirmación de todo cambio de cuenta bancaria únicamente con contactos previamente registrados. Aplicados por riesgo y monto, protegen sin entorpecer los pagos rutinarios.

Pilar 3 — Personas: un equipo entrenado dentro de un proceso que lo respalda. La tecnología y los procesos funcionan si las personas que manejan pagos conocen estas tácticas, reconocen las frases-gatillo y —esto es clave— trabajan dentro de una cultura que les da el derecho explícito a detener una operación y verificar, sin miedo a “hacer esperar al jefe”. En el caso chileno que frustró el ataque, la diferencia la hizo una funcionaria que pudo detenerse a mirar el correo con calma y verificar antes de actuar.

Vale la pena dejar claro quién impulsa cada pilar: TI protege el dominio y las cuentas, Finanzas diseña los controles de pago, y la Gerencia respalda el derecho a frenar una operación sospechosa. Sin ese respaldo desde arriba, los controles se saltan bajo presión.

¿Qué hacer si el pago ya se realizó?

Si la transferencia ya salió, el tiempo es crítico. Contacte de inmediato a su banco para intentar frenar o revertir la operación —las primeras horas son decisivas—, preserve todos los antecedentes (correos, comprobantes, direcciones del remitente), escale internamente y realice la denuncia por los canales correspondientes. La reacción no recupera siempre el dinero, pero mejora las probabilidades y ordena lo que viene.

¿Su equipo sabría frenar a tiempo un correo fraudulento?

Las personas que manejan pagos son la última línea de defensa, pero solo si el proceso las respalda. Una sesión de concientización, orientada a Finanzas y a quienes autorizan transferencias, ayuda a reconocer estas tácticas antes de que ocurra el daño.

Cómo Redicom puede ayudar

Cada brecha que abre el BEC tiene controles que ayudan a reducirla, y en Redicom trabajamos sobre los tres pilares. En lo técnico, ayudamos a asegurar el correo corporativo —autenticación de dominio (SPF, DKIM, DMARC), protección avanzada sobre plataformas como Microsoft 365 y Sophos, y MFA en toda la organización— para reducir la suplantación y el robo de cuentas. En lo humano, realizamos capacitaciones dirigidas a quienes manejan pagos e información sensible.

Si no sabe por dónde empezar, nuestro Cyber Health Check ofrece una foto ordenada de cómo está hoy su empresa frente a este riesgo: qué controles existen, cuáles faltan y qué priorizar. Es el punto de partida para cerrar las brechas antes de que alguien las use.

Conclusión

El fraude del CEO deja una lección incómoda: la ciberseguridad no es solo un problema de tecnología. Un atacante puede sortear el antivirus más caro con un correo bien escrito, porque su objetivo nunca fue el sistema, sino la confianza de una persona bajo presión.

Por eso la defensa no se compra únicamente en licencias. Se construye con procesos claros que verifican según el riesgo, con controles financieros que ningún correo puede saltarse y con un equipo que sabe que detenerse a confirmar es profesionalismo, no desconfianza. Un buen primer paso, concreto y para esta semana: revise cómo valida hoy su empresa un cambio de datos bancarios de un proveedor. Si la respuesta es “por correo”, ya sabe por dónde empezar.

¿Están bien configuradas las defensas de su correo corporativo?

Muchas empresas creen tener el correo protegido y descubren tarde que su dominio se podía suplantar sin dificultad. Revisemos con su equipo de TI los controles técnicos de autenticación y protección del correo.