Klytic

Inicio›Guías›Seguridad del correo electrónico

Seguridad del correo electrónico · Comprender

Suplantación y fraude del CEO

El fraude del CEO busca una transferencia o un cambio de datos bancarios, no un ordenador. El mensaje suele no llevar adjuntos ni enlaces, y a veces es técnicamente impecable. Un filtro puede detectar un dominio similar, un nombre visible engañoso o un escenario de fraude conocido; la decisión de pagar, en cambio, se verifica por un canal que la empresa ya conoce.

Actualizado en octubre de 20266 minFuentes oficiales citadas

El escenario

La CNIL describe la falsa orden de transferencia, conocida como «fraude del CEO», en varias fases. El estafador se informa sobre la empresa: organigrama, clientes, proveedores. Prepara un nombre de dominio falso parecido al de la empresa o al de un proveedor, o suplanta la identidad de un empleado. Después escribe, o llama, haciéndose pasar por un directivo o un proveedor, con una petición presentada como urgente y validada en las altas esferas.

Las variantes se parecen:

  • una transferencia imprevista, urgente y confidencial, solicitada por un falso directivo o un falso responsable del grupo;
  • un proveedor que anuncia un cambio de cuenta bancaria para las próximas facturas;
  • una factura falsa, con el importe correcto y el formato correcto;
  • una falsa inspección de una administración, que sirve después para escribir a los clientes de la empresa con una nueva cuenta bancaria, escenario descrito por el Ministerio de Economía francés.

El resorte es siempre humano: la urgencia, el secreto, la autoridad. El Ministerio de Economía aconseja no actuar con precipitación, incluso ante un interlocutor insistente, y extremar la vigilancia durante las vacaciones, cuando los departamentos de contabilidad funcionan con personal reducido.

Ejemplo, a título ilustrativo. Un viernes a última hora de la tarde, la contable de una pyme recibe un mensaje del «director general»: una adquisición confidencial, un abogado que va a llamar, una transferencia que hacer antes del lunes. El mensaje no contiene ni adjuntos ni enlaces. Su nombre visible es exacto; su dirección no lo es. Nada, técnicamente, está «infectado».

Cuatro formas de suplantación, no una

FormaCómo se presentaSPF, DKIM, DMARCQué puede detectarla
Nombre visible suplantado«Claire Martin, DG» escrito desde un correo gratuitoVálidos para el dominio real del remitente; DMARC no trata el nombre visibleComparación entre el nombre mostrado, la dirección y los nombres de los directivos del dominio
Dominio similarUna letra duplicada, un guión, otra extensiónPueden ser perfectos para el dominio similarParecido con su dominio o el de un proveedor, antigüedad del dominio, reputación
Su dominio exacto, enviado desde otro lugarLa dirección mostrada es la verdaderaDMARC falla; detiene el mensaje si la política del dominio lo solicitaVerificación DMARC a la llegada
Cuenta realmente comprometidaEl mensaje procede del buzón real del directivo o del proveedorTodo es válidoCambio de comportamiento, contenido (nueva cuenta bancaria) y, sobre todo, el procedimiento de verificación

La propia especificación de DMARC lo dice: no trata ni los dominios visualmente parecidos ni el abuso del nombre visible. Por tanto, tres casos de cada cuatro escapan a la autenticación del dominio. El detalle está en SPF, DKIM y DMARC, y el caso de la cuenta robada en spam, phishing, malware y cuenta comprometida.

Lo que la técnica detiene

  • El dominio exacto suplantado, cuando el dominio publica una política DMARC de cuarentena o de rechazo.
  • El dominio similar, por comparación con su dominio, los de sus proveedores y las marcas conocidas, y por la antigüedad del dominio: un dominio creado la semana pasada que imita el suyo es una señal fuerte.
  • El nombre visible engañoso, cuando el filtro sabe quiénes son los directivos de la empresa y compara el nombre mostrado con la dirección real.
  • Los escenarios conocidos: petición de transferencia urgente, cambio de datos bancarios, factura falsa, invitación a llamar a un número. Un filtro puede reconocer estos patrones en el texto, incluso sin adjuntos ni enlaces.
  • La anomalía: un proveedor habitual que de repente escribe desde otro país, a otra hora, con una petición que nunca ha hecho.

Un punto que a menudo se olvida: un filtro no sabe, por defecto, quién es su directivo ni quiénes son sus proveedores. Darle ese contexto, los nombres de los directivos y los proveedores habituales, es lo que le permite detectar a un falso directivo.

Lo que la técnica no decide

Un filtro reduce el número de mensajes falsos que llegan. No valida un pago. Una cuenta realmente comprometida, una petición verosímil, un dominio similar desconocido para las listas: un mensaje puede pasar. La última barrera es un procedimiento.

Reflejos que deben figurar en el procedimiento

  • Todo cambio de datos bancarios se confirma por un canal ya conocido: una llamada al número del proveedor que figura en sus archivos, nunca al que se indica en el mensaje. La CNIL recomienda contactar por teléfono o en persona con los contactos conocidos.
  • Doble validación por encima de un umbral, por dos personas, una de ellas ajena al hilo de conversación.
  • La urgencia y el secreto son señales de alerta, no razones para ir más rápido. Un directivo real acepta que se le devuelva la llamada.
  • Lista actualizada de los contactos de proveedores y clientes, como recomienda la CNIL, para saber a quién llamar.
  • Vigilancia reforzada en periodos de vacaciones, de cierre contable o de cambios en la organización.
  • Reserva de los nombres de dominio parecidos al suyo, y doble autenticación en el correo, dos medidas citadas por la CNIL.

Quién debe conocer estas reglas

No solo el departamento de contabilidad. Los asistentes de dirección, los compradores, las personas que gestionan las fichas de proveedores y las que sustituyen a un ausente son objetivos naturales del escenario, porque tienen acceso al pago o a los datos bancarios. La CNIL recomienda sensibilizar a los empleados para que comprueben los nombres de dominio y desconfíen de las peticiones inusuales. Una regla escrita, breve, conocida por todos y recordada con regularidad, vale más que una instrucción oral: permite a un empleado decir «no» a un falso directivo sin temor a ser desautorizado.

Si ya ha salido una transferencia fraudulenta: llamar inmediatamente al banco para intentar anularla, conservar los mensajes y presentar una denuncia. Avisar también a los clientes o proveedores cuyo nombre se ha utilizado.

Preguntas frecuentes

¿Basta DMARC contra el fraude del CEO?

No. Detiene la suplantación exacta de su dominio, no el dominio similar ni el nombre visible. Véase SPF, DKIM y DMARC.

¿Puede ser peligroso un mensaje sin adjuntos ni enlaces?

Sí. El fraude de la transferencia solo necesita un texto creíble y una persona que lo ejecute.

El mensaje procede de la dirección real del proveedor: ¿es seguro?

No necesariamente: su cuenta puede haber sido robada. Véase cuenta comprometida. La verificación por teléfono es lo que decide.

Se ha puesto en cuarentena un mensaje fraudulento: ¿hay que liberarlo para comprobarlo?

No. Compruébelo con el contacto conocido, sin liberarlo. Véase Cuarentena, falsos positivos y notificaciones.

Dónde se sitúa Klytic

Klytic MTA reparte esta protección entre sus dos ofertas. Funciona delante de cualquier correo, sin Klytic Mail.

ProtecciónEsencialAvanzado
Verificación SPF, DKIM, DMARC, incluso para los mensajes reenviadosSíSí
Suplantación de marca, dominios similares, suplantación del nombre visibleSíSí
Comportamientos inusuales de un remitenteSíSí
Fraude del CEONoSí
Facturas falsas, transferencias falsas, cripto, reembolsos, financiaciones, llamadas telefónicasNoSí
Alerta por SMS cuando escribe un remitente importanteOpciónOpción

El contexto de fraude del dominio (nombres de los directivos, proveedores habituales) lo configura el administrador del dominio: véase Quién configura el filtro en Klytic MTA.

Lo que Klytic MTA no hace: no valida ningún pago ni sustituye a su procedimiento de transferencia. No ve una llamada telefónica directa, solo los mensajes que invitan a llamar.

Esta página describe medidas generales. No sustituye ni los consejos de su banco ni los de las autoridades en caso de fraude confirmado.

Fuentes

Consultadas en octubre de 2026.

  • CNIL, «Le faux ordre de virement international ou fraude au président» (La falsa orden de transferencia internacional o fraude del CEO): desarrollo del ataque (reconocimiento, dominio parecido, petición urgente), medidas de prevención (llamada a los contactos conocidos, procedimientos de validación, reserva de los dominios parecidos, doble autenticación). cnil.fr
  • Ministerio de Economía francés, «Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président» (Protegerse contra la estafa de las falsas órdenes de transferencia o timo del CEO): transferencia presentada como urgente y confidencial, suplantación de una administración para anunciar un cambio de cuenta bancaria, no actuar con precipitación, vigilancia durante las vacaciones. economie.gouv.fr
  • RFC 7489, DMARC: fuera del ámbito del mecanismo, los nombres de dominio visualmente parecidos y el abuso del nombre visible. rfc-editor.org
  • Klytic, página Klytic MTA: reparto del fraude financiero entre las ofertas Esencial y Avanzado, opciones, modos de despliegue, puesta en servicio mediante el MX. klytic.com

Reduzca el riesgo de fraude en las transferencias

La oferta Avanzado de Klytic MTA añade la detección del fraude del CEO y de las facturas falsas.

Hablar con un asesor →

Comparar Esencial y Avanzado

Lea también

Comprender · Seguridad del correo electrónicoSpam, phishing, malware y cuenta comprometidaCuatro amenazas entran por la misma puerta y no se tratan igual. Qué delata a cada una, qué la detiene y por qué un antispam ya no basta por sí solo.6 min de lecturaLeer →Comprender · Seguridad del correo electrónicoSPF, DKIM y DMARC: qué protegen y qué no protegenSPF, DKIM y DMARC impiden utilizar exactamente su dominio. No leen el mensaje: qué detienen, qué pasa y cómo desplegarlos.6 min de lecturaLeer →Utilizar · Seguridad del correo electrónicoCuarentena, falsos positivos y notificacionesQué ocurre con un mensaje retenido por Klytic MTA, cómo liberarlo, corregir un falso positivo y notificar un mensaje malicioso.6 min de lecturaLeer →

Oferta de bienvenida

30 días de prueba gratuita, migración acompañada

Oferta de prueba sin compromiso. Un asesor le llamará para entender sus necesidades y preparar su espacio Klytic.

🚀 Empezar la prueba gratuita Ver las tarifas