Cuando el jefe no es el jefe: el fraude del CEO se intensifica con la IA

No existe discusión posible: vivimos la era de la Inteligencia Artificial. Está en los asistentes virtuales, en los filtros de spam, en los motores de sugerencias y en los algoritmos que gestionan nuestras finanzas. El problema es que, como suele ocurrir con toda tecnología poderosa, la IA se está convirtiendo en la aliada perfecta de los estafadores. En los últimos dos años, los ciberdelincuentes han ideado de todo: desde deepfakes de voz que imitan a directivos con gran precisión hasta correos generados por modelos lingüísticos capaces de reproducir el tono, las expresiones y hasta las muletillas de una persona concreta. Existen incluso bots que investigan redes sociales y webs corporativas para elaborar perfiles de empleados y directivos.

Aquellos SMS o correos cargados de erratas y faltas de ortografía han pasado a la historia para ser substituidos por estafas mucho más sofisticadas y creíbles. Ahora hablamos de audios que parecen auténticos, videollamadas manipuladas a tiempo real y mensajes internos que replican la cultura comunicativa de una empresa. A raíz de toda esta tecnología, emerge un timo que resuena y del que advierte el propio Instituto Nacional de Ciberseguridad (Incibe): el fraude del CEO.

Fraude del CEO

«El fraude del CEO es una modalidad de phishing en la que un empleado con capacidad para realizar transferencias o con acceso a recursos económicos, recibe un correo de su supuesto superior, es decir, del CEO, presidente o director de la empresa, en el que le pide ayuda para realizar una operación financiera con carácter urgente y confidencial. Si el usuario no detecta que se trata de una suplantación de identidad, puede responder al correo revelando datos de extrema sensibilidad y realizando la operación solicitada», explican desde el Incibe.

«Si el usuario no detecta que se trata de una suplantación de identidad, puede responder al correo revelando datos de extrema sensibilidad y realizando la operación solicitada»

Este fraude supone en Europa, según indica la entidad, pérdidas de millones de euros cada año en empresas de todos los tamaños y las pymes son especialmente vulnerables por la falta de protocolos de verificación.

Cómo funciona

Los ciberdelincuentes investigan la empresa para obtener la máxima información posible sobre la organización, analizan perfiles en redes e investigan los correos electrónicos para saber quién toma las decisiones de pago. «Una vez identificada la víctima, envían un correo falso que parece legítimo y solicitan un pago urgente, con tono de presión y confidencialidad para evitar preguntas o verificaciones».

«Una vez identificada la víctima, envían un correo falso que parece legítimo y solicitan un pago urgente, con tono de presión y confidencialidad para evitar preguntas o verificaciones»

Con frecuencia, el ciberdelincuente está varias semanas espiando el correo de la víctima y espera el mejor momento para atacar: cuando se espera una factura de un importe alto, hay un nuevo cliente o el responsable está de vacaciones. «Este ataque juega con la urgencia, la confianza y el miedo a desobedecer a un superior, lo que facilita que la persona encargada de pagos realice la transferencia/el pago/o la compra sin verificar».

Protegerse del timo

El Incibe aclara que antes que nada es imprescindible confirmar cualquier solicitud de pago urgente, comprobar letra a letra el dominio del remitente y establecer que dos personas autoricen transferencias superiores a un importe determinado. Además, indica la entidad, es importante «revisar qué información de directivos y procesos internos está expuesta en la web y redes sociales de tu empresa» así como usar filtros de seguridad en el correo electrónico, entre otras medidas de seguridad.

Casos en España

En 2024 el propio Incibe informaba de un caso en España. A través del teléfono 017 del servicio Tu Ayuda en Ciberseguridad, el empleado de una empresa remitía que había recibido una llamada supuestamente de un CEO de la empresa en la que se solicitaba una reunión telefónica con algunos empleados. «Nos afirma que la voz era exactamente igual a la del CEO, por lo que en un principio no identificaron ningún tipo de factor a sospechar y convocaron la reunión». Durante dicha reunión les dice que hay que comprar una máquina y les da las indicaciones precisas para realizar una transferencia a una cuenta. Hacen lo que les pide, y al cabo de unos días, tras hablar con el CEO, se dan cuenta de que han sido víctimas de una estafa en la que usaron técnicas de Inteligencia Artificial.

Caso gallego pre-IA

Un caso de estafa que nos da una idea de que el fraude del CEO ya era devastador sin IA y que, por lo tanto, mucho más lo es con ella es la Operación Lavanco. Fue una investigación policial que comenzó en 2016 en Sarria (Lugo) y culminó con detenciones en octubre de 2019. Su importancia radica en la escala internacional del fraude y en los métodos sofisticados usados por la organización criminal, que suplantaba la identidad de directivos de empresas para convencer a empleados de realizar transferencias bancarias fraudulentas.