Fraude del CEO y BEC: cómo verificar el remitente de un correo

Respuesta rápida

El business email compromise (BEC), que incluye el fraude del CEO, es una estafa en la que los delincuentes envían correos que parecen de tu jefe, de un proveedor o de un abogado para que pagues o cambies datos bancarios. Para verificar un remitente, revisa letra a letra la dirección real y el dominio, busca «pass» en SPF, DKIM y DMARC en los detalles del mensaje y nunca atiendas una petición de pago sin llamar antes a esa persona a un número que ya tenías. Si pagaste, llama a tu banco y denúncialo enseguida.

Cifras clave

3.050 millones de dólaresperdidos por fraudes BEC denunciados al FBI en 2025, en 24.768 denunciasFBI IC3 2025 Internet Crime Report
679 millones de dólarescongelados para las víctimas por el Recovery Asset Team del FBI en 2025, un 58% de éxito sobre 1.160 millones de dólares denunciadosFBI IC3 2025 Internet Crime Report
£41,3 millonesperdidos en Reino Unido por estafas de facturas y de cambio de mandato en 2025, en 2.305 casosUK Finance Annual Fraud Report 2026
55.500 millones de dólaresen pérdidas expuestas por BEC en todo el mundo entre octubre de 2013 y diciembre de 2023, en 305.033 incidentesAviso del FBI IC3, septiembre de 2024

Te llega un correo de un proveedor al que pagas cada mes. Ha cambiado de banco, y la próxima factura debe ir a la cuenta nueva. O tu consejero delegado te escribe desde un aeropuerto, el clásico fraude del CEO: hay que hacer un pago urgente y confidencial antes de que acabe el día. El nombre es correcto, el tono es correcto y el logo es correcto. La pregunta es si de verdad lo envió la persona que crees.

Esto es el business email compromise (BEC), o compromiso del correo electrónico empresarial, la familia de estafas a la que pertenece el fraude del CEO, y es uno de los delitos más caros que registra el FBI. Empresas y particulares denunciaron pérdidas de 3.050 millones de dólares por BEC en 2025, en 24.768 denuncias al Internet Crime Complaint Center del FBI. La solución es sencilla pero estricta: unas cuantas comprobaciones del correo y una regla de devolución de llamada que nadie se salta.

¿Qué son el business email compromise (BEC) y el fraude del CEO?

El business email compromise es una estafa en la que los delincuentes se hacen pasar por correo por alguien de confianza, como un proveedor, un directivo, un empleado o un abogado, para que envíes dinero o datos sensibles. El FBI explica que va dirigido a personas y empresas que hacen transferencias con regularidad, usando cuentas de correo comprometidas o suplantadas y, cada vez más, también números de teléfono y apps de videoconferencia. El National Cyber Security Centre de Irlanda enumera cuatro formas habituales:

Fraude de proveedor o de facturas: se piratea el correo de un proveedor real, o se copia con un dominio parecido, para enviar facturas falsas o «nuevos datos bancarios».
Fraude del CEO: un falso directivo pide una transferencia urgente y secreta, o tarjetas regalo.
Desvío de nóminas: un falso empleado pide a Recursos Humanos que le ingresen el sueldo en una cuenta nueva.
Suplantación de abogados: un falso abogado o una falsa notaría envía instrucciones de transferencia para una operación o la compra de una vivienda.

En Reino Unido, los bancos registraron £41,3 millones perdidos por estafas de facturas y de cambio de mandato en 2025, en 2.305 casos, y otros £5,6 millones por fraude del CEO.

¿Cómo es un correo de fraude BEC?

Parece normal, y de eso se trata. Los correos BEC casi nunca llevan malware ni enlaces. Se basan en una historia creíble, un plazo y un cambio pequeño. Estos son típicos, adaptados:

Hola, os informamos de que hemos cambiado de entidad bancaria. Adjuntamos los nuevos datos. Por favor, usadlos para la factura n.º 4471 y para todos los pagos futuros. La cuenta anterior está cerrada.

¿Estás en la oficina? Necesito que gestiones hoy un pago confidencial por una adquisición. No lo comentes con nadie todavía. Estoy en reuniones, así que solo por correo.

Hola, RR. HH.: he cambiado de banco. ¿Podéis actualizar mi cuenta para la nómina antes de que se procese este mes? Os dejo los datos nuevos abajo.

El FBI señala que la IA hace ahora estos correos más pulidos: los chatbots pueden imitar el estilo de un directivo y la clonación de voz puede respaldar la petición por teléfono. Las empresas denunciaron más de 30 millones de dólares en pérdidas por BEC con uso de IA en 2025.

¿Cómo verifico el remitente de un correo?

Comprueba la dirección real, el dominio y los resultados de autenticación, y después confírmalo por teléfono con un número que ya tenías. Sigue este orden.

Muestra la dirección completa. El nombre visible («Sara López, Contabilidad») puede decir cualquier cosa. Toca o pasa el cursor por encima para ver la dirección real. En el móvil es fácil saltarse este paso, por eso el FBI recomienda configurar el correo para que muestre las direcciones completas.
Lee el dominio letra a letra. Busca caracteres cambiados o añadidos: «acme-corp.com» frente a «acmecorp.com», «rn» por «m», «l» por «i», «.co» en lugar de «.com», o una dirección gratuita como Gmail para una empresa que tiene su propio dominio.
Revisa la dirección de respuesta. Pulsa responder y mira la línea «Para» antes de escribir. Si cambia a otra dirección, el correo está pensado para desviar tu respuesta.
Comprueba los resultados de autenticación (SPF, DKIM, DMARC), que explicamos abajo.
Mira el historial de la conversación. ¿Es un hilo nuevo que «continúa» uno antiguo? ¿Han cambiado la firma, el teléfono o el tono?
Llama para confirmarlo con un número de tus propios registros, nunca con uno que venga en el correo. Este es el paso que de verdad evita la pérdida.

Un correo real enviado desde una cuenta pirateada supera todas las comprobaciones técnicas. Por eso el paso 6 no es opcional para ningún pago ni cambio de cuenta bancaria.

¿Cómo compruebo SPF, DKIM y DMARC en un correo?

Abre los detalles completos o las cabeceras del mensaje y busca las palabras «pass» o «fail» junto a SPF, DKIM y DMARC. En Gmail, abre el correo, haz clic en el menú de tres puntos y elige «Mostrar original». En Outlook, abre las propiedades del mensaje o el código fuente del mensaje y busca la línea «Authentication-Results».

Comprobación	Qué significa en palabras sencillas	Qué sugiere un «fail»
SPF	El servidor que lo envió tiene permiso para enviar en nombre de ese dominio	El servidor de otra persona envió correo haciéndose pasar por ese dominio
DKIM	El correo lleva una firma digital válida del dominio y no se modificó por el camino	El mensaje no lo firmó ese dominio, o se alteró
DMARC	El dominio que ves en la línea «De» coincide con el que superó SPF o DKIM	Es probable que el remitente visible esté suplantado

Un «fail» en un correo de pago es una señal de stop. Un «pass» solo demuestra que el correo vino de ese dominio. No demuestra que el dominio sea el correcto (un dominio parecido puede superar las tres) ni que la cuenta no esté pirateada. Usa estas comprobaciones como un filtro, no como un veredicto.

¿Cómo compruebo quién está detrás de un dominio o una dirección de correo?

Consulta la fecha de registro del dominio y después comprueba a la persona que hay detrás de la dirección. Usa la consulta gratuita de datos de registro de ICANN. Que el dominio de un proveedor tenga diez años es normal. Un dominio parecido registrado la semana pasada es una estafa. El NCSC de Irlanda recomienda bloquear o marcar el correo de dominios recién registrados precisamente por eso.

Para un contacto nuevo, un proveedor nuevo o un nombre que no reconoces, ayuda una búsqueda profesional en Search A-Z. Escribe el nombre completo y el país del remitente, elige «Contacto profesional» y añade la dirección de correo y la empresa. El informe comprueba si el correo es real y su riesgo de fraude, y muestra el correo profesional de la persona, su trabajo y empresa actuales, su trayectoria laboral, sus perfiles profesionales públicos, el registro de la empresa (cargos en Companies House en Reino Unido y el registro mundial LEI), noticias y menciones en la web, y cualquier alerta pública de estafa o fraude. Si el «nuevo responsable de cuentas» no deja ningún rastro en el proveedor, ya tienes la respuesta. Nunca avisamos a la persona de que la has buscado.

¿Qué es una política de verificación por devolución de llamada?

Una política de devolución de llamada es una norma escrita según la cual cualquier pago nuevo, cambio de datos bancarios o petición de transferencia urgente se confirma con una llamada saliente a un número que ya consta en tus archivos, antes de mover el dinero. Es el control contra el BEC más eficaz, pero solo si se hace bien. La guía de JPMorgan sobre cuándo fallan las devoluciones de llamada enumera los fallos habituales: fiarse de una llamada entrante que «confirma» el correo, usar el teléfono que aparece en el correo o en la factura, y hablar con alguien que no es la persona adecuada.

Una política sencilla que puedes copiar:

Todo cambio en los datos bancarios de un proveedor o de un empleado se confirma con una llamada saliente a un número de tu ficha de proveedores, del contrato o de la web oficial del proveedor, nunca de la propia petición.
La llamada se hace a una persona concreta con la que ya has tratado.
Las peticiones marcadas como urgentes o confidenciales reciben más comprobaciones, no menos.
Los pagos por encima de un importe fijado necesitan la aprobación de dos personas.
Los datos bancarios nuevos esperan un periodo de reflexión (por ejemplo, de 24 a 48 horas) antes del primer pago.
Se comunica al personal por escrito que nadie, ni siquiera el consejero delegado, tendrá problemas por retrasar un pago para verificarlo.

Un guion para la llamada:

Hola, soy Álex, de Contabilidad de Northfield. Hemos recibido un correo con nuevos datos bancarios para vuestras facturas. Antes de cambiar nada, ¿me confirmas que lo enviasteis vosotros y me lees los cuatro últimos dígitos de la cuenta nueva?

¿Cómo debe gestionar una empresa una petición de cambio de datos de pago?

Trata cualquier cambio de pago como sospechoso hasta verificarlo por otro canal, y deja constancia de cada paso. Este procedimiento sirve para empresas pequeñas y grandes:

Registra la petición con la fecha, la dirección del remitente y los datos que se piden. No respondas todavía.
Llama al proveedor al número que ya tienes en tu sistema y confírmalo con tu contacto habitual.
Comprueba el titular de la cuenta nueva. En Reino Unido, Confirmation of Payee te dice si el nombre del titular coincide. En la zona euro, la verificación del beneficiario hace lo mismo con las transferencias en euros desde el 9 de octubre de 2025; en España, tu banco te mostrará «Coincidente», «Casi coincidente» o «No coincidente», como explica el Banco de España. Un «No coincidente» o un «Casi coincidente» es una señal de alerta.
Consigue un segundo aprobador que firme el cambio.
Haz un pago de prueba pequeño y confirma por teléfono que ha llegado antes de enviar el importe completo.
Vigila los mensajes posteriores. La presión para saltarse cualquiera de estos pasos ya es una señal de alerta.

Las mismas reglas te protegen como proveedor: comunica por escrito a tus clientes que nunca cambiarás tus datos bancarios solo por correo. Para clientes nuevos, nuestra guía sobre cómo comprobar a un cliente nuevo antes de empezar cubre las demás comprobaciones.

¿Qué hago si he pagado una factura falsa?

Llama a tu banco de inmediato y pide que retroceda el pago; después, denúncialo ante el FBI o tu policía nacional ese mismo día. La rapidez importa más que nada. El NCSC de Irlanda advierte de que la mayor parte del dinero no se recupera si no se avisa en las primeras horas.

Llama ahora al equipo de fraude de tu banco. Pide que retroceda la transferencia y que el banco receptor congele los fondos. Da el importe, la fecha, la cuenta receptora y cualquier referencia.
EE. UU.: presenta una denuncia en ic3.gov con todos los datos de la transacción, sea cual sea el importe. El Recovery Asset Team del FBI usa la Financial Fraud Kill Chain para trabajar con los bancos y congelar el dinero. En 2025 gestionó 3.900 incidentes y congeló 679 millones de dólares, un 58% de éxito. Puede seguir transferencias de «segundo salto» si se las facilitas, y trabaja con FinCEN en las transferencias internacionales.
Reino Unido: denúncialo en Report Fraud, que sustituyó a Action Fraud en diciembre de 2025, en el 0300 123 2040, o a Police Scotland en el 101. Tu banco también iniciará su propio proceso de recuperación.
UE: denúncialo ante tu policía nacional y tu banco. En Irlanda, el NCSC también pide que se le informe. En España, el 017 de INCIBE orienta gratis a empresas y particulares, y la denuncia se pone ante la Policía Nacional o la Guardia Civil.
Protege la cuenta de correo. Cambia las contraseñas, activa la autenticación multifactor y revisa si hay reglas de reenvío o reglas de bandeja que oculten respuestas. Son una señal habitual de que alguien tomó el control de la cuenta.
Guarda las pruebas. Conserva los correos con las cabeceras completas, las facturas, los registros de llamadas y los justificantes de las transacciones. No borres nada.
Avisa al proveedor o cliente real. Su cuenta, o la tuya, puede seguir comprometida.

Si un «servicio de recuperación» se pone en contacto contigo para devolverte el dinero a cambio de una comisión, es otra estafa. La recuperación real pasa por tu banco y por la policía.

¿Cómo protejo a mi empresa del fraude por correo electrónico?

Combina un proceso de pagos estricto con unas cuantas medidas técnicas básicas. El FBI y el NCSC de Irlanda recomiendan:

Autenticación multifactor en todas las cuentas de correo.
SPF, DKIM y DMARC configurados en tus propios dominios, para que los delincuentes no puedan suplantarte fácilmente ante tus clientes.
Un correo que muestre las direcciones completas de los remitentes y marque los remitentes externos.
Registrar las variantes evidentes de tu propio dominio, o vigilarlas.
Una lista de proveedores verificados con teléfonos de contacto conocidos.
Formación periódica del personal con ejemplos reales como los de arriba.

El BEC suele empezar investigando a tu equipo: quién aprueba los pagos, quiénes son los proveedores, quién está de viaje. Nuestra guía para detectar perfiles falsos en LinkedIn explica cómo las cuentas falsas recopilan esa información.

En resumen

No puedes distinguir a simple vista un correo pirateado de uno real, así que no lo intentes. Revisa la dirección y el dominio, usa SPF y DKIM como primer filtro y confirma cada cambio de pago llamando a un número que ya tenías. Si el dinero ya ha salido, llama a tu banco y denúncialo en cuestión de horas, no de días.

Preguntas frecuentes

¿Qué es el business email compromise?

El business email compromise (BEC) es una estafa en la que los delincuentes suplantan por correo a un contacto de confianza, como un proveedor, un directivo o un abogado, para engañarte y que envíes dinero o cambies datos bancarios. El fraude del CEO es uno de sus tipos. El FBI recibió 24.768 denuncias de BEC con 3.050 millones de dólares en pérdidas en 2025.

¿Cómo sé si un correo es realmente de quien dice ser?

Muestra la dirección completa del remitente, revisa el dominio letra a letra, mira adónde van las respuestas y busca «pass» en SPF, DKIM y DMARC en los detalles del mensaje. Para cualquier cosa que implique dinero, confírmalo llamando a esa persona a un número que ya tenías.

¿Se puede usar una dirección de correo real en una estafa?

Sí. Si piratean la cuenta de un proveedor o de un compañero, los correos fraudulentos salen de su dirección real y superan todas las comprobaciones técnicas. Por eso los cambios de pago siempre se deben confirmar por teléfono, con un número de tus propios registros.

¿Qué significa un «fail» en DMARC?

Significa que el dominio que aparece en la línea «De» no coincide con un dominio que haya superado las comprobaciones SPF o DKIM. En un correo de pago o de cambio de cuenta bancaria, trata un «fail» en DMARC como una señal clara de que el remitente está suplantado.

¿Puedo recuperar el dinero tras pagar una factura falsa?

A veces, si actúas rápido. Llama a tu banco enseguida para pedir que retroceda el pago y denúncialo en ic3.gov en EE. UU., en Report Fraud en Reino Unido o ante la Policía Nacional o la Guardia Civil en España. El Recovery Asset Team del FBI congeló 679 millones de dólares para las víctimas en 2025, pero las posibilidades caen mucho después de las primeras horas.

¿Qué es la Financial Fraud Kill Chain del FBI?

Es el proceso que usa el Recovery Asset Team del FBI para trabajar con los bancos y congelar transferencias fraudulentas, incluidas las internacionales a través de FinCEN. Se activa denunciando rápido en ic3.gov con todos los datos de la transacción y pidiendo a tu banco que retroceda el pago.

¿Qué es un dominio parecido?

Un dominio web o de correo creado para parecerse a uno real, como acme-corp.com en lugar de acmecorp.com, o con una letra cambiada por otra similar. Consulta la fecha de registro con la herramienta de ICANN: un dominio parecido suele tener solo días o semanas.

Fuentes

Las cifras son las más recientes publicadas por cada fuente cuando se actualizó esta guía. Las pérdidas denunciadas son un mínimo: la mayoría de los fraudes nunca se denuncian.

Fraude del CEO y BEC: cómo verificar quién envía un correo antes de pagar