Ese correo electrónico no era de su jefe: 6 maneras de evitar el fraude de los directores generales

El peor tipo de estafa de phishing es el que no se puede ignorar simplemente: como el fraude del CEO. Correos electrónicos supuestamente del gobierno, diciéndole que haga ese pago pendiente relacionado con los impuestos o que se arriesgue a una acción legal. Correos electrónicos que parecen enviados por su escuela o universidad, en los que se le pide que pague esa matrícula que no ha pagado. O incluso un mensaje de tu jefe o director general, diciéndote que les transfieras dinero "como un favor".

¿Qué es el fraude de los directores generales?

El ataque de fraude al director general es una estafa de phishing por correo electrónico en la que los estafadores se hacen pasar por el director general de una empresa en un intento de convencer a los empleados de que les envíen dinero. Los correos electrónicos suelen incluir el nombre real y el título comercial del CEO de la empresa.

El problema de este tipo de correos electrónicos es que se hacen pasar por una figura de autoridad, ya sea el gobierno, la junta directiva de tu universidad o tu jefe en el trabajo. Se trata de personas importantes, e ignorar sus mensajes tendrá casi seguro graves consecuencias. Así que te ves obligado a mirarlos, y si parecen lo suficientemente convincentes, puede que te los creas.

¡Protéjase contra el fraude de los directores generales con PowerDMARC!

Usted no es inmune al fraude de los directores generales

Una estafa de 2.300 millones de dólares al año es lo que es. Quizá se pregunte: "¿Qué puede hacer que las empresas pierdan tanto dinero por una simple estafa por correo electrónico?". Pero se sorprendería de lo convincentes que pueden ser los correos electrónicos de fraude de los directores generales.

En 2016, Mattel estuvo a punto de perder 3 millones de dólares por un ataque de phishing cuando una ejecutiva de finanzas recibió un correo electrónico del director general en el que se le pedía que enviara un pago a uno de sus proveedores en China. Pero solo después de comprobarlo con el director general se dio cuenta de que nunca había enviado el correo electrónico. Afortunadamente, la empresa colaboró con las fuerzas de seguridad de China y Estados Unidos para recuperar su dinero unos días después, pero eso casi nunca ocurre con estos ataques.

La gente tiende a creer que estas estafas no les van a pasar... hasta que les pasan a ellos. Y ese es su mayor error: no prepararse para el fraude del CEO.

Las estafas de phishing no sólo pueden costar millones de dólares a su organización, sino que pueden tener un impacto duradero en la reputación y credibilidad de su marca. Esto es especialmente cierto en sectores como el jurídico, en el que la confianza y la visibilidad en línea van de la mano, y en el que unas buenas prácticas de SEO jurídico pueden influir de forma decisiva en la forma en que los clientes potenciales encuentran y juzgan a su empresa. Corre el riesgo de que le vean como la empresa que perdió dinero por una estafa de correo electrónico y de perder la confianza de sus clientes, cuya información personal confidencial almacena.

En lugar de luchar para controlar los daños después del hecho, tiene mucho más sentido asegurar sus canales de correo electrónico contra las estafas de phishing selectivo como ésta. Estas son algunas de las mejores maneras de asegurar que su organización no se convierta en una estadística en el informe del FBI sobre BEC.

Cómo prevenir el fraude de los directores generales: 6 sencillos pasos

1. Eduque a su personal en materia de seguridad
   Este punto es absolutamente crítico. Los miembros de su plantilla, y en especial los de finanzas, deben comprender cómo funciona el compromiso del correo electrónico empresarial. Y no nos referimos sólo a una aburrida presentación de dos horas sobre cómo no escribir la contraseña en una nota adhesiva. Tiene que enseñarles a detectar señales sospechosas de que un correo electrónico es falso, a estar atentos a direcciones de correo electrónico falsificadas y a solicitudes anormales que otros miembros del personal parecen estar haciendo a través del correo electrónico.
2. Esté atento a los signos reveladores de la suplantación de identidad
   Los estafadores utilizan todo tipo de tácticas para que accedas a sus peticiones. Pueden ser desde peticiones urgentes de transferencias de dinero para que actúe con rapidez y sin pensar, hasta solicitudes de acceso a información confidencial para un "proyecto secreto" que los altos cargos aún no están dispuestos a compartir con usted. Se trata de graves señales de alarma, y debes comprobarlo dos y tres veces antes de emprender cualquier acción.
3. Protéjase con DMARC
   La forma más fácil de evitar una estafa de phishing es, en primer lugar, no recibir nunca el correo electrónico. DMARC es un protocolo de autenticación de correo electrónico que verifica los mensajes procedentes de su dominio antes de entregarlos. Si aplica DMARC en su dominio, cualquier atacante que se haga pasar por alguien de su propia organización será detectado como remitente no autorizado y su correo electrónico quedará bloqueado en su bandeja de entrada. No tendrás que lidiar con correos falsos.

Conozca qué es DMARC.

1. Obtenga una aprobación explícita para las transferencias bancarias
   Ésta es una de las formas más fáciles y sencillas de evitar las transferencias de dinero a las personas equivocadas. Antes de comprometerse con cualquier transacción, obligue a solicitar la aprobación explícita de la persona que solicita el dinero utilizando otro canal que no sea el correo electrónico. En el caso de las transferencias de mayor cuantía, obligue a recibir una confirmación verbal.
2. Marcarlos correos electrónicos con extensiones similares
   El FBI recomienda que su organización cree reglas del sistema que marquen automáticamente los correos electrónicos que utilicen extensiones demasiado similares a las suyas. Por ejemplo, si su empresa utiliza "123-business.com", el sistema podría detectar y marcar los correos electrónicos que utilicen extensiones como "123_business.com".
3. Comprar nombres de dominio similares
   Los atacantes suelen utilizar nombres de dominio de aspecto similar para enviar correos electrónicos de phishing. Por ejemplo, si su organización tiene una "i" minúscula en su nombre, podrían utilizar una "I" mayúscula, o sustituir la letra "E" por el número "3". De este modo, reducirá las posibilidades de que alguien utilice un nombre de dominio muy similar para enviarle correos electrónicos.

• Acerca de
• Últimas publicaciones

Ahona Rudra

Experto en seguridad de dominios y correo electrónico de PowerDMARC

Ahona es la Directora de Marketing de PowerDMARC, con más de 5 años de experiencia escribiendo sobre temas de ciberseguridad, especializada en seguridad de dominios y correo electrónico. Ahona tiene un posgrado en Periodismo y Comunicaciones, consolidando su carrera en el sector de la seguridad desde 2019.

Últimas publicaciones de Ahona Rudra (ver todas)

• Vendor Email Compromise (VEC): Cómo detener los ataques de proveedores de confianza - 3 de julio de 2025
• Los correos electrónicos de marketing no llegan a las bandejas de entrada de los clientes - 2 de julio de 2025
• Caso práctico de DMARC MSP: Cómo S-IT automatizó la gestión de la autenticación del correo electrónico con PowerDMARC - 29 de junio de 2025