614 29 09 26 WhatsApp jose.dominguez@dealvear.com

Empresas y autónomos

Abogado de fraude del CEO

Un correo del director financiero pidiendo una transferencia urgente. Una factura de un proveedor con un IBAN nuevo. Una instrucción que parecía legítima. Si tu empresa ha caído en esta trampa, hay margen para actuar.

Revisado por José Manuel Domínguez González · Colegiado n.º 137.813 ICAM · Actualizado el 4 de noviembre de 2026

En síntesis

El fraude del CEO (también llamado BEC, Business Email Compromise) es un ataque dirigido contra empresas. El estafador suplanta la identidad de un directivo, un socio o un proveedor y ordena una transferencia a una cuenta que controla. A diferencia del phishing masivo, este fraude se prepara: el atacante estudia la estructura de la empresa, sus proveedores y sus flujos de pago.

Los importes suelen ser elevados —decenas o cientos de miles de euros— y pueden comprometer la viabilidad del negocio.

La protección del RDL 19/2018 se aplica, pero con un matiz importante: si la empresa no es consumidora ni microempresa, el contrato con el banco puede haber excluido algunas garantías (art. 34.1). Conviene revisar las condiciones firmadas.

Analiza tu caso gratis

Análisis gratuito · Respuesta en 24 h laborables

Cómo funciona

Modalidad 1 — Suplantación del directivo

  1. El atacante accede al correo de un directivo o lo suplanta con un dominio casi idéntico.
  2. Envía una instrucción de pago al departamento financiero, marcada como urgente y confidencial.
  3. El empleado ejecuta la transferencia sin verificar por otro canal.

Modalidad 2 — Cambio de IBAN (fraude de la factura)

  1. El atacante intercepta un correo entre la empresa y un proveedor real.
  2. Sustituye el IBAN de la factura por el suyo.
  3. La empresa paga la factura legítima a la cuenta del estafador.

Modalidad 3 — Compromiso del correo (BEC puro)

  1. Acceso no autorizado al buzón de un empleado con permisos de pago.
  2. El atacante opera directamente o desvía pagos desde dentro.

Qué juega a tu favor

  • Operaciones no autorizadas. Si la transferencia no fue ordenada por quien tenía competencia para ello, el banco debe responder (art. 45.1 RDL 19/2018, con los matices del art. 34.1 para empresas).
  • El Supremo ha confirmado que el banco responde. En la STS 787/2026 (caso Privalia, 1,5 M €), el Tribunal Supremo declaró que el banco que incumple un protocolo de seguridad pactado es responsable, aunque la empresa también haya sido negligente. El resultado fue un reparto al 50 %: lo que la empresa no recupera del banco lo absorbe su propia culpa, pero el banco no queda impune.
  • Falta de autenticación reforzada. Si el banco ejecutó la transferencia sin doble factor o sin verificar la identidad del ordenante, su posición se debilita (art. 46.2).
  • Vía penal. El fraude del CEO es un delito de estafa (art. 248 y ss. del Código Penal). La denuncia activa la investigación policial y puede permitir el bloqueo de las cuentas de destino.
  • Responsabilidad del proveedor de correo o de la operadora. Si el acceso al correo se produjo por una brecha de seguridad del proveedor, puede haber responsabilidad concurrente.

Qué lo complica

  • La empresa no es consumidora ni microempresa. El contrato puede haber excluido protecciones del RDL 19/2018 (art. 34.1).
  • El empleado autorizó la transferencia. Desde el punto de vista técnico, la operación fue autenticada correctamente.
  • No había protocolo interno de doble verificación. La ausencia de controles internos puede debilitar la reclamación.
  • El dinero se movió al extranjero. El rastreo y la recuperación se complican cuando las cuentas están fuera de España.

Las primeras 24 horas: qué hacer en la empresa

En un fraude del CEO, las horas inmediatamente posteriores al descubrimiento son decisivas. El dinero se mueve rápido —a menudo a cuentas intermedias en el extranjero— y cada hora que pasa reduce las posibilidades de bloquearlo. Este es el protocolo de actuación urgente:

Hora 0 — Bloqueo bancario

  1. Llama al banco y pide la retrocesión inmediata de la transferencia. Identifica la operación por importe, fecha y cuenta de destino.
  2. Si el banco tiene línea de fraude 24 h, úsala. Si no, llama al gestor de cuenta y escala al departamento de fraude.
  3. Pide confirmación por escrito de que has solicitado la retrocesión. Si el banco se niega o demora, eso refuerza tu reclamación posterior.
  4. Si hay más transferencias programadas o pendientes, pide su bloqueo cautelar.

Hora 1–4 — Denuncia y pruebas

  1. Denuncia ante la Policía Nacional (BIT) o la Guardia Civil (GDT). Aporta los correos completos (con cabeceras), los justificantes de la transferencia y los datos del beneficiario.
  2. No borres ni modifiques nada. Ni correos, ni logs del servidor, ni registros de acceso. Si el informático propone «limpiar» el sistema, que antes haga una copia forense.
  3. Si el correo comprometido es de Microsoft 365 o Google Workspace, revoca las sesiones activas y cambia las contraseñas del buzón afectado. Revisa si hay reglas de reenvío automático creadas por el atacante.

Hora 4–24 — Contención y documentación

  1. Identifica todas las operaciones que puedan estar afectadas, no solo la que descubriste. Revisa los pagos de las últimas semanas.
  2. Avisa al proveedor real si el fraude implicaba una factura suya. Confirma su IBAN correcto por teléfono, llamando al número que ya tenías.
  3. Recopila la cadena de correos íntegra, con cabeceras técnicas (headers), y guárdala en un soporte que no se pueda alterar.
  4. Contacta a un abogado. El análisis inicial es gratuito. Cuanto antes actuemos, más opciones hay de reclamar al banco y de recuperar los fondos.

Cómo prevenir el próximo ataque

La STS 787/2026 deja una lección práctica: la empresa que no tiene un protocolo interno de seguridad pierde fuerza para reclamar. Estas medidas no eliminan el riesgo, pero reducen la exposición y refuerzan tu posición jurídica si el fraude llega a producirse:

  • Doble verificación por canal independiente. Cualquier instrucción de pago por encima de un umbral (por ejemplo, 5.000 €) debe confirmarse por teléfono con la persona que supuestamente la ha dado, usando el número que ya constaba en la empresa.
  • Protocolo escrito y comunicado. Que conste por escrito, que lo firmen los empleados con acceso a pagos y que se envíe al banco. Si el banco incumple las instrucciones, su posición es mucho más débil (como le ocurrió en el caso Privalia).
  • Formación del equipo financiero. Los empleados con permisos de pago deben conocer las señales de alerta: urgencia inusual, confidencialidad, cambios de IBAN no verificados, direcciones de correo ligeramente distintas.
  • Seguro de ciberriesgo. Cubre parte o la totalidad de la pérdida. Cada vez más aseguradoras lo exigen como condición para suscribir la póliza.

Preguntas frecuentes

¿Puede reclamar la empresa al banco igual que un particular?
Sí, pero con matices. Si la empresa no es consumidora ni microempresa, el contrato puede haber limitado la protección del RDL 19/2018. Hay que revisar las condiciones firmadas caso por caso.
¿Qué es una microempresa a estos efectos?
Una empresa con menos de 10 empleados y un volumen de negocio o balance anual inferior a 2 millones de euros. Las microempresas tienen la misma protección que los consumidores.
¿Se puede recuperar el dinero si ya salió de la cuenta?
Depende de la rapidez. Si la denuncia y el contacto con el banco se hacen en las primeras horas, a veces se puede bloquear la cuenta de destino antes de que el dinero se mueva a otra. Una vez fraccionado y enviado al extranjero, la recuperación es mucho más difícil.
¿Qué pasa si la empresa no tenía protocolo de seguridad?
No impide reclamar, pero debilita la posición. En la STS 787/2026, la Audiencia redujo la indemnización a la mitad, y el Supremo lo confirmó, porque la empresa no había trasladado bien a su empleada las instrucciones de seguridad que sí había enviado al banco. Tener un protocolo escrito y comunicado refuerza la reclamación.
¿Hay que denunciar para reclamar al banco?
La denuncia no es requisito legal para reclamar civilmente al banco, pero es imprescindible en la práctica: activa la investigación policial, puede permitir el bloqueo de cuentas y sirve como prueba de que la empresa actuó con diligencia.
¿Cuánto tiempo tengo para reclamar?
La acción de responsabilidad contractual contra el banco prescribe a los cinco años (art. 1964 CC). Pero la rapidez es crucial por otra razón: cuanto antes se actúe, más posibilidades hay de bloquear los fondos y de conservar las pruebas digitales.

¿Te ha pasado? Te decimos si es reclamable

Cuatro preguntas rápidas y te damos una primera valoración al momento. Análisis gratuito · Respuesta en 24 h laborables.

Cuéntanos qué ha pasado

¿Qué ha ocurrido?
¿Cuándo ocurrió?
Prefiero poner la fecha exacta

¿Cuánto dinero, aproximadamente?
Prefiero poner la cifra exacta
¿Ya has reclamado al banco?

¿Cómo te contactamos?

¿Cómo prefieres que te contactemos?
¿Has presentado denuncia? (opcional)

Responsable: José Manuel Domínguez González, colegiado n.º 137.813 del Ilustre Colegio de la Abogacía de Madrid. Finalidad: atender tu consulta. No cedemos tus datos a terceros salvo obligación legal. Puedes ejercer tus derechos como se explica en la política de privacidad.

Fuentes verificadas

¿Te han robado dinero de la cuenta? Cuéntanoslo hoy.

Analiza tu caso Llamar al 614 29 09 26 WhatsApp

Análisis gratuito · Respuesta en 24 h laborables

Llamar WhatsApp Analiza