Fraude del CEO por teléfono y voz clonada: protocolo para pymes

El fraude del CEO consiste en hacerse pasar por un directivo para que un empleado haga una transferencia urgente a una cuenta de los delincuentes, y ya no llega solo por correo: también por teléfono y con voces que suenan como la de tu jefe. La defensa que funciona no es reconocer la voz, sino tener una regla de pagos que nadie se salta: ninguna transferencia se autoriza por teléfono y toda petición urgente se confirma por otro canal.

INCIBE explica que esta modalidad está entre las diez temáticas más consultadas por empresas en su línea 017. Estos son tres casos reales que ha publicado y lo que enseñan.

Caso 1: una reunión telefónica con la voz "exactamente igual" a la del CEO

En el caso publicado por INCIBE el 9 de enero de 2024, un empleado recibió una llamada de su supuesto CEO, que pidió una reunión telefónica con varios empleados. Según la víctima, la voz era "exactamente igual" a la de su jefe. En la reunión, el falso CEO anunció una auditoría inminente, dijo que para superarla había que comprar una máquina y, antes de colgar, dio instrucciones para transferir el dinero a una cuenta. Los empleados pagaron de inmediato. Lo descubrieron días después, al hablar con el CEO real.

INCIBE y la víctima sospechan que se usó deepvoice, la clonación de una voz con inteligencia artificial, aunque el caso no lo da por confirmado. Para saber más sobre cómo se clonan voces, lee voz clonada con IA en estafas telefónicas.

Caso 2: dos llamadas a la vez para no dejar pensar

En el caso publicado el 17 de octubre de 2023, un empleado de una tienda recibió en el fijo una llamada de alguien que decía ser de la Agencia Tributaria: su jefa tenía un pago elevado pendiente y debía abonarse ya para evitar una multa, a través de Correos. Le pidieron un móvil "para el personal de Correos" y casi al instante recibió en él otra llamada de un supuesto empleado de Correos, que tuvo que atender a la vez. Por el fijo oyó dos voces y creyó reconocer la de su jefa.

Iba camino de la oficina de Correos cuando se cruzó con la propietaria y descubrieron el engaño. No llegó a pagar. INCIBE lo clasificó como fraude del CEO: la presión de dos interlocutores y una voz conocida hicieron el resto.

Caso 3: el proveedor que "cambia de cuenta"

La variante más silenciosa no necesita voz. En el caso publicado el 30 de enero de 2024, la dueña de una tienda que hacía de intermediaria recibió un correo, dentro de un hilo anterior con su proveedor, con un nuevo número de cuenta. Lo pasó a su cliente, que pagó. Días después el proveedor llamó para reclamar el dinero que no había recibido. INCIBE lo identificó como fraude BEC (compromiso del correo empresarial): alguien había accedido al correo de una de las partes.

En otra historia real que INCIBE publicó en 2018, el encargado de compras de una pequeña empresa recibió un viernes por la tarde un PDF, con la firma idéntica a la del proveedor, que pedía cambiar los datos bancarios. Los actualizó y la siguiente transferencia fue a una cuenta de los delincuentes.

Las señales que se repiten

INCIBE resume estas señales de alerta en su guía para pymes:

• Urgencia, a menudo con un plazo concreto.
• Confidencialidad: "no informes a nadie".
• Un directivo que no está localizable (en una reunión, de viaje) y pide hablar por WhatsApp u otro canal informal.
• Medios de pago raros: tarjetas regalo, efectivo, cajeros de criptomonedas o fondos personales.
• Cambios de cuenta o de IBAN de un proveedor.
• Peticiones de voz o vídeo que resultan extrañas, posible deepfake.

INCIBE añade que los delincuentes se preparan antes: buscan organigramas, nombres, correos y hasta las vacaciones de los directivos para elegir el momento.

Protocolo de pagos para una pyme

Estas reglas salen de las recomendaciones de INCIBE en los casos y en su guía. Escríbelas y que las conozca todo el que puede mover dinero:

1. Ningún pago se autoriza por teléfono. INCIBE recomienda que los pagos se autoricen por correo electrónico o en persona, "y nunca por teléfono".
2. Doble control. Las transferencias por encima de un importe que tú fijes las autorizan dos personas, o se confirman por dos medios distintos.
3. Confirmación por otro canal. Ante una petición urgente, cuelga y llama tú a la persona a su número de siempre. En el caso de la tienda, la recomendación de INCIBE fue exactamente esa: colgar y llamar directamente a la dueña.
4. Los cambios de IBAN se verifican siempre. Llama al proveedor a un teléfono que ya tenías, no al que viene en el correo o en el PDF, o escríbele en un hilo nuevo a un contacto de confianza.
5. Lo confidencial y lo urgente activan la alarma, no la saltan. Si alguien pide secreto y prisa a la vez, se aplica el protocolo con más rigor.
6. Menos información pública. Revisa qué datos de directivos y procesos internos publicáis en la web y en redes.
7. Forma al equipo, sobre todo a quien gestiona pagos. Un empleado que conoce el caso de la doble llamada lo reconoce cuando le pasa.
8. Correo protegido. Contraseñas fuertes, segundo factor de autenticación y revisión de las reglas de reenvío del buzón, que es por donde se cuela el fraude del proveedor.

Puedes valorar también una palabra clave acordada para confirmar órdenes por voz. INCIBE no la menciona en estos casos; si la usas, que sea un complemento del punto 3, no un sustituto.

Si ya se ha hecho la transferencia

INCIBE recomienda, en este orden:

1. Llama a tu banco de inmediato para intentar anular la transferencia. Si el banco no lo resuelve, puedes reclamar ante el Banco de España.
2. Reúne las pruebas: registro de llamadas, número, correos con sus cabeceras y cualquier grabación. Te ayuda cómo grabar una llamada para denunciar.
3. Denuncia ante la Policía Nacional o la Guardia Civil. El directivo suplantado también puede denunciar la suplantación.
4. Avisa a toda la plantilla y bloquea los números usados.
5. Llama al 017, la línea gratuita de INCIBE, de 8:00 a 23:00 todos los días, o escribe por WhatsApp al 900 116 117 o por Telegram a @INCIBE017, eligiendo la opción de empresa o profesional.

Tienes más detalle sobre los teléfonos en a quién llamar tras una estafa telefónica. Y si tu negocio recibe otros intentos, como facturas falsas de registro de marca o llamadas falsas de Google, los reunimos en la guía antiestafas para autónomos y pymes.

Fuentes: INCIBE, casos reales "Suplantación del CEO utilizando la técnica de inteligencia artificial deepvoice" (9/1/2024), "Intento de fraude del CEO con doble llamada simultánea" (17/10/2023) y "Fraude BEC a través de una empresa intermediaria" (30/1/2024); INCIBE Empresas, "Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme" (3/7/2025) y "Historias reales: suplantaron a mi proveedor y a mi empresa estafaron" (28/8/2018).