Estafa del CEO / BEC
Un mail que parece tu jefe. Urgente. Confidencial. Transfiere. INCIBE lo llama fraude del CEO; la Policía, BEC (correo corporativo comprometido). En 2024 el FBI cifró 2.770 millones de dólares en este tipo de fraude en el mundo. En España, 2025–2026: oleada de operaciones, desvío de facturas y de nóminas.
Cómo funciona
Tres variantes que INCIBE separa. 1. El CEO falso: el empleado de administración recibe un correo (o un WhatsApp) de “el director”: operación confidencial, no copies a nadie, hay que pagar a un proveedor ahora. A veces hay deepfake de voz. 2. Man in the email: interceptan un hilo real proveedor–cliente y cambian el IBAN de la factura. 3. Desvío de nómina: HR recibe un mail “de la trabajadora” pidiendo cambiar la cuenta. En Alicante (sep 2026) la Guardia Civil documentó 2.000 € desviados así.
Septiembre 2026, Madrid: Policía detuvo in fraganti a un hombre que se hacía pasar por CEO de una petrolera y pedía seis pagos de 20.000 € (120.000 €) a una empresa de Chamartín. Julio 2026: red con 140 millones en varios países, 61 de ellos en estafa del CEO en 2024, 67 testaferros abriendo cuentas en España. Enero 2026: operación contra Black Axe, 34 detenidos en Sevilla, Madrid, Málaga y Barcelona.
El reloj es corto: informes forenses hablan de menos de media hora entre el mail y la transferencia. Luego mula y fuera de la UE.
Qué hacer en la pyme
- Ningún cambio de IBAN o pago urgente se ejecuta sin llamada de voz al número de la agenda, no al del mail.
- Doble autorización para transferencias nuevas o por encima de un umbral.
- El becario no compra tarjetas regalo “para el jefe”. Es una variante que INCIBE describe.
- Si ya salió el dinero: banco en minutos (aviso de fraude), 091 / Guardia Civil, 017 empresas.
Fuentes: INCIBE empresas, 3 jul 2025; EFE/Policía Madrid 9 sep 2026 (120.000 €); Europa Press Alicante 9 sep 2026 (nómina); Euronews 13 jul 2026 (140 M€).
Cómo se monta (el patrón)
Da igual el disfraz: prisa, autoridad (banco, Hacienda, jefe, famoso, técnico) y un canal que no controlas (enlace, PDF, AnyDesk, Bizum “al revés”, IBAN nuevo). El objetivo es que no compruebes en el canal de siempre —la app que ya tenías, el 900 de la tarjeta, la carta de Nedgia, la sede .gob.es.
Ejemplo de mesa
María recibe el aviso, pulsa, confirma “por no perder el piso / el paquete / el jefe”. En diez minutos el dinero o la clave ya no son suyos. Recuperar depende de avisar al banco en la primera hora y de denunciar. Borrar el chat borra pruebas.
Qué hacer siempre
- No pulses el enlace del mensaje. Teclea la web o abre la app instalada.
- Ningún código SMS se dicta por teléfono. Ninguna semilla de 12 palabras se pega en un chat.
- 017 INCIBE (y WhatsApp 900 116 117). Denuncia: denuncias.policia.es o comisaría.
- hola@safe.madrid si quieres que un voluntario te oriente. Sin contraseñas ni foto del DNI.
safe.madrid resume alertas de INCIBE, Policía, CNMV, AEMPS y periodismo (Maldita.es y similares). No sustituye a esos organismos.
