En resumen
Según CSIRT Italia, los estafadores leen el correo comprometido y se cuelan en conversaciones reales pidiendo el pago a un IBAN nuevo.
Todo cambio de IBAN y todo pago urgente debe confirmarse por un canal distinto, llamando a un número ya conocido.
La separación de funciones y la doble firma por encima de un umbral impiden que una sola persona cambie un IBAN y lo pague.
SPF, DKIM y DMARC protegen tu dominio exacto, no los dominios parecidos: también hacen falta MFA y formación.
Si la transferencia ha salido, llama al banco y denuncia enseguida: la retrocesión solo es posible dentro de los días de valoración.
El 17 de febrero de 2026, CSIRT Italia, el equipo de respuesta a incidentes de la Agencia Italiana de Ciberseguridad Nacional (ACN), publicó un boletín sobre una campaña de Business Email Compromise dirigida a organizaciones en Italia: buzones corporativos comprometidos, dominios casi idénticos a los reales y solicitudes de pago con un IBAN nuevo. En marzo, la Policía Postal italiana publicó una alerta sobre la misma dinámica vista desde el lado de los proveedores, con correos alterados en los que el IBAN legítimo se sustituye por el de los estafadores.
Son dos avisos distintos que describen el mismo riesgo: una persona de administración, de buena fe, ordena una transferencia a una cuenta controlada por delincuentes. Ocurre cuando el correo parece llegar del dueño, del director o de un proveedor habitual. En esta guía encontrarás lo que dicen las fuentes oficiales, las señales que debes reconocer, el procedimiento de doble verificación para cambios de IBAN y pagos urgentes, cómo configurar el correo y qué hacer de inmediato si la transferencia ya ha salido.
¿Qué han señalado la ACN y la Policía Postal?
Las autoridades describen dos variantes principales del mismo fraude. En la primera, los estafadores se hacen pasar por un directivo de la empresa y piden un pago. En la segunda, se cuelan en una conversación real con un cliente o proveedor y cambian los datos bancarios. En ningún caso hay un virus que vacíe la cuenta: es una persona autorizada a pagar a la que convencen para hacerlo.
El whaling, el "fraude del CEO"
Ya en enero de 2023, CSIRT Italia había señalado una campaña de "Whaling Phishing" (boletín BL01/230117/CSIRT-ITA) que afectaba también a organizaciones italianas. Según la ACN, el whaling, conocido también como CEO Fraud, utiliza técnicas de ingeniería social para atacar a la alta dirección de una organización o a quien tiene poder de decisión o de gasto, suplantando a remitentes creíbles para conseguir que se autoricen transacciones económicas ilegítimas.
El boletín describía correos que suplantaban a un remitente real y conocido por la víctima, usaban el nombre real del destinatario y llevaban una firma que imitaba la de un envío desde el móvil, típica de quien está de viaje. La ACN recomendaba campañas de concienciación para el personal, en especial para los puestos directivos.
El thread hijacking: la conversación es real, el IBAN es falso
El boletín del 17 de febrero de 2026 (BL01/260217/CSIRT-ITA) señala la reanudación de una campaña ya tratada en diciembre de 2025. Según CSIRT Italia, los atacantes roban las credenciales del correo con una página de inicio de sesión falsa que también pide el código OTP. Después no actúan enseguida: leen el correo para identificar intercambios comerciales en curso.
En ese momento registran un dominio muy parecido al de la empresa, con caracteres fáciles de confundir, y se meten en la conversación con un cliente. Piden el pago de una factura aparentemente pendiente indicando un IBAN nuevo. El contexto es real y las referencias son reales: para quien recibe el correo es difícil darse cuenta del cambio.
La alerta de la Policía Postal sobre el "man in the middle"
El 27 de marzo de 2026, la Policía Postal describió el fraude "man in the middle" en correos corporativos: el estafador se introduce en las comunicaciones entre empresa y proveedor y sustituye el IBAN por uno propio. Según la alerta, los mensajes falsos son casi idénticos a los originales y a menudo piden un pago urgente, justificado por problemas administrativos, actualizaciones contables o un cambio de banco.
En una comunicación anterior de septiembre de 2025, la Policía Postal resumía las dos variantes: un IBAN distinto introducido en la correspondencia con un socio comercial, o falsos correos internos que parecen venir del consejero delegado o del director financiero y ordenan a un empleado que pague.
¿Por qué afecta también a las pymes, sobre todo a final de año?
Afecta a las pymes porque el fraude no necesita grandes sistemas que atacar: basta con un buzón de correo y una persona que pueda ordenar pagos. En las empresas pequeñas, a menudo la misma persona recibe las facturas, actualiza los datos de proveedores y carga las transferencias, mientras el dueño autoriza a distancia. Es precisamente esa cadena corta la que aprovecha el estafador.
Los datos oficiales confirman que la transferencia es el instrumento más expuesto a este tipo de engaño. En el informe del Banco de Italia sobre el segundo semestre de 2025, publicado en julio de 2026, los fraudes por "manipulación del ordenante", en los que el titular es inducido de buena fe a pagar a una cuenta fraudulenta, son la tipología predominante en las transferencias: el 72 % en valor y el 58 % en número. El informe señala también que las transferencias se usan para pagos de importe elevado, también entre empresas.
El final del año añade presión. Se cierran contratos, se pagan facturas antes del cierre contable, se adelantan pagos antes de las vacaciones y quien autoriza suele estar fuera de la oficina. Urgencia y ausencias son justo las palancas que las autoridades señalan como típicas de estas estafas.
¿Cómo reconocer una solicitud de transferencia fraudulenta?
El fraude del CEO se reconoce más por el tipo de solicitud que por la calidad del correo. Los avisos de la ACN y de la Policía Postal muestran mensajes bien escritos, en el idioma correcto, con nombres y firmas reales. Por eso conviene entrenar la mirada en señales de comportamiento, no en faltas de ortografía.
Las señales que hay que tomarse en serio:
Urgencia y confidencialidad: "hay que hacerlo hoy", "no se lo digas a nadie", "estoy en una reunión, no me llames".
Un procedimiento distinto del habitual: un pago fuera del flujo normal, sin pedido ni factura registrada, o saltándose una aprobación.
Un cambio de IBAN: cuenta nueva "por cambio de banco", "por problemas administrativos" o "por actualización contable", sobre todo si la cuenta está en el extranjero o a nombre de otra persona.
Un remitente casi correcto: una letra de más, un guion, un dominio distinto del habitual. La Policía Postal invita a revisar las direcciones, que pueden presentar pequeñas variaciones difíciles de ver.
Un canal que se cierra: el remitente evita la llamada, pide responder solo por correo o pasa a un número nunca usado antes.
Una conversación real con un detalle nuevo: en el thread hijacking el intercambio es auténtico; solo cambia la petición final.
Ninguna de estas señales, por sí sola, prueba el fraude. Pero cada una es un buen motivo para detenerse y hacer la verificación descrita en la sección siguiente.
La doble verificación fuera de canal: la regla que frena muchos intentos
La defensa más eficaz que indican las autoridades es sencilla: toda solicitud de cambio de IBAN o de pago inusual debe confirmarse por un canal distinto del que ha llegado. La ACN habla de verificación "fuera de banda", por ejemplo con una llamada a un número ya conocido, incluso cuando la solicitud parece venir de un interlocutor de confianza. La Policía Postal menciona la llamada a un número conocido, el correo certificado oficial (PEC) o un contacto verificado.
Para los cambios de IBAN de proveedores
Escribe una regla sencilla: ningún IBAN se cambia en la ficha del proveedor a partir de un solo correo. Quien recibe la solicitud llama al proveedor al número que ya consta en la ficha o en el contrato, nunca al indicado en el mensaje. Pide confirmación del nuevo IBAN y del titular y anota fecha, hora y nombre de quien lo ha confirmado.
Conviene que el cambio en la ficha lo haga una persona distinta de quien carga las transferencias, y que el primer pago al nuevo IBAN se comunique a quien autoriza. El tema enlaza con la evaluación de proveedores: pactar por contrato cómo se comunican los cambios de datos bancarios hace la verificación más rápida para ambas partes.
Para los pagos urgentes "del dueño"
El dueño o el director debe ser el primero en decir a todos que nunca pedirá una transferencia urgente y confidencial solo por correo o chat. Así quien recibe la solicitud no tiene que elegir entre fiarse y desobedecer: sigue una regla ya anunciada. La confirmación se hace llamando al número personal que ya está en la agenda, no respondiendo al mensaje.
Si el dueño de verdad no está localizable, el pago espera. Unas horas de verificación rara vez perjudican una relación comercial, mientras que una transferencia a una cuenta fraudulenta puede ser difícil de recuperar.
La verificación nombre-IBAN del banco ayuda, pero no sustituye
Desde el 9 de octubre de 2025, como recuerda el Banco de Italia, los bancos y Poste Italiane deben comprobar la correspondencia entre nombre e IBAN del beneficiario en las transferencias ordinarias e inmediatas, y avisar a quien paga si los datos no coinciden. Es una ayuda real: si aparece un aviso de falta de coincidencia, detente y verifica. Pero no sustituye la llamada al proveedor, que sigue siendo el control principal.
Separación de funciones y umbrales de autorización
La segunda defensa es organizativa: conseguir que una sola persona no pueda, por sí sola, cambiar un IBAN y pagarlo. No hace falta una estructura grande; hace falta dividir los pasos clave y fijar umbrales a partir de los cuales una segunda mirada es obligatoria.
Un ejemplo de esquema para una pyme, que debes adaptar a tus volúmenes y organización:
Operación | Quién la prepara | Quién la aprueba | Verificación fuera de canal |
|---|---|---|---|
Nuevo proveedor o cambio de IBAN | Administración | Responsable de administración | Siempre, al número que ya consta |
Pago ordinario por debajo del umbral | Administración | Firma única en el portal del banco | Solo si el IBAN es nuevo |
Pago por encima del umbral | Administración | Doble firma en el portal del banco | Si el IBAN es nuevo o la solicitud es inusual |
Pago urgente fuera de procedimiento | Nadie sin confirmación | Dueño, confirmado de viva voz | Siempre |
El umbral lo decide la empresa en función de sus importes habituales. Muchos portales de banca para empresas permiten configurar la doble firma y los perfiles de autorización: vale la pena preguntar a tu banco qué tiene disponible. Las reglas deben escribirse, explicarse y respetarse también cuando quien pide es el dueño.
SPF, DKIM y DMARC explicados de forma sencilla
Estas tres siglas son los ajustes que indican al mundo qué correos salen realmente de tu dominio. En abril de 2026 la ACN publicó unas directrices específicas sobre la configuración del correo para la autenticación del remitente, con el objetivo de combatir la suplantación (spoofing), el phishing y la manipulación de mensajes.
En palabras sencillas:
SPF es la lista de servidores autorizados a enviar correo en nombre de tu dominio. Según la ACN, por sí solo no basta para combatir la suplantación, porque comprueba una dirección técnica y no la que el destinatario ve como remitente.
DKIM es una firma digital que se añade a cada mensaje: quien lo recibe comprueba que el correo viene de tu dominio y no ha sido modificado.
DMARC vincula ambos controles a la dirección visible e indica a los servidores receptores qué hacer con los correos que no los superan: ninguna indicación (none), tratarlos como sospechosos (quarantine) o rechazarlos (reject). También permite recibir informes periódicos sobre quién está usando tu dominio.
La ACN recomienda implantar los tres protocolos juntos. Pide a quien gestiona tu correo o tu dominio que revise la configuración y que lleve DMARC, de forma gradual, hacia una política que bloquee los mensajes falsos.
Un límite que conviene conocer: estos ajustes protegen tu dominio exacto. No impiden que un estafador registre un dominio parecido, como describe el boletín de febrero. Por eso también hacen falta la autenticación multifactor en los buzones, que la ACN pide que sea obligatoria, el control de las reglas de reenvío automático y la verificación fuera de canal. Las demás medidas básicas están en la guía de medidas mínimas de ciberseguridad para pymes.
Formación: enseñar a quien paga a decir "primero lo compruebo"
Las autoridades sitúan la formación entre las primeras medidas: la ACN recomienda campañas de concienciación, sobre todo para los puestos directivos, y formación periódica para reconocer el phishing. La formación útil aquí no es un curso genérico de seguridad: es un entrenamiento específico para quien recibe facturas, gestiona las fichas de proveedores y carga los pagos, y para quien los autoriza.
Lo que funciona en la práctica:
Ejemplos realistas y anónimos: mostrar correos del tipo descrito en los avisos, con un IBAN cambiado o una petición urgente del "dueño".
Una frase para usar: "Te llamo al número de siempre para confirmarlo". Normaliza la verificación, también con un superior.
Sin culpa para quien avisa: quien frena un pago legítimo para verificarlo ha hecho lo correcto.
Repaso antes de los periodos críticos: un recordatorio breve antes del cierre del año y de las vacaciones.
Si trabajas con ISO 27001, esta formación entra en los requisitos de competencia y toma de conciencia: encontrarás cómo planificarla y documentarla en la guía sobre competencia, formación y concienciación.
La transferencia ya ha salido: qué hacer de inmediato
Si te das cuenta de que un pago ha ido a una cuenta fraudulenta, el tiempo cuenta. La Policía Postal recuerda que la retrocesión de la transferencia solo es posible dentro de los días de valoración, y el Banco de Italia precisa que una transferencia inmediata, una vez ejecutada, no se puede revocar. Actuar rápido aumenta las posibilidades de recuperación, pero no las garantiza.
Llama enseguida a tu banco, no te limites a un mensaje: pide que bloqueen o retrocedan la transferencia y pregunta qué datos necesitan.
Denuncia ante la policía lo antes posible; en Italia, ante la Policía Postal, también a través del Commissariato di PS Online. Lleva correos, facturas y justificantes de la transferencia.
Conserva las pruebas: no borres los correos, no respondas al estafador, guarda los mensajes tal como están.
Protege el correo: cambia la contraseña de los buzones afectados, activa la autenticación multifactor y revisa reglas de reenvío y accesos recientes con quien gestiona la informática.
Avisa al proveedor o cliente real usando un contacto ya conocido: puede que también esté recibiendo correos falsos.
Valora si hay una brecha de datos: si los delincuentes accedieron a un buzón corporativo, pueden haber leído datos personales.
Cuando también es una brecha de datos
Si el fraude empezó en un buzón comprometido, el problema no es solo la transferencia. Los correos suelen contener datos de clientes, empleados y proveedores: un acceso no autorizado puede ser una violación de datos personales según el RGPD. En ese caso hay que valorar la notificación a la autoridad de protección de datos en un plazo de 72 horas desde que tienes conocimiento de ella, salvo que sea improbable que suponga un riesgo para las personas, y el hecho debe documentarse en cualquier caso.
La valoración depende del caso concreto y conviene hacerla con el DPO o el responsable de privacidad. Los pasos, hora a hora, están en la guía sobre qué hacer en las primeras 72 horas tras una brecha de datos. Si entras en el ámbito de la NIS2, comprueba también si el incidente debe notificarse a la autoridad competente.
Qué hacer a medio plazo: llevar los controles a un sistema
Las reglas sobre IBAN y pagos funcionan si se mantienen aunque cambien las personas. Aquí es donde un sistema de gestión de la seguridad de la información como ISO 27001 ayuda: convierte buenos hábitos en controles escritos, asignados y verificados con el tiempo.
Varios controles del Anexo A de la norma tocan directamente este riesgo: la separación de funciones (5.3), la transferencia de información (5.14), la seguridad en las relaciones con proveedores (5.19), la planificación y preparación de la gestión de incidentes (5.24), la concienciación y formación (6.3) y la autenticación segura (8.5). Incluir el fraude en los pagos en la evaluación de riesgos lleva a elegir estos controles con criterio, no por lista.
A medio plazo, los pasos útiles son:
Procedimiento escrito para cambios de IBAN y pagos urgentes, con verificación fuera de canal y registro de la confirmación.
Perfiles de autorización en el portal del banco alineados con los umbrales decididos.
Cláusulas con los proveedores sobre cómo se comunican los cambios de datos bancarios.
Configuración del correo verificada: SPF, DKIM, DMARC, autenticación multifactor, control de reenvíos.
Una simulación al año: un ejercicio con una falsa solicitud de cambio de IBAN para ver si el procedimiento aguanta.
Un plan de respuesta con los contactos del banco, de la policía y del DPO listos para usar.
Cómo te acompaña Complaion en la seguridad de la información
Complaion acompaña a las empresas con un Lead Auditor dedicado que sigue a la organización en el tiempo y propone el camino más adecuado, desde la certificación ISO 27001 hasta la adecuación a la directiva NIS2. La auditoría interna la realiza el Lead Auditor, que comprueba cómo funciona realmente el sistema antes de la auditoría de certificación.
La plataforma Complaion recoge las evidencias, gestiona los documentos, mantiene el calendario de vencimientos y prepara la auditoría. Completan la oferta el test de penetración de aplicaciones web (WAPT) y el DPO externalizado. Trabajamos con más de 1.000 clientes. Si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre el fraude del CEO y los IBAN falsos
¿Qué es el fraude del CEO?
Es un fraude en el que un delincuente se hace pasar por un directivo de la empresa, o por uno de sus asesores, para convencer a quien puede ordenar pagos de que haga una transferencia urgente. La ACN lo describe como una forma de whaling que usa la ingeniería social para conseguir que se autoricen transacciones económicas ilegítimas. Forma parte de la familia más amplia del Business Email Compromise.
¿Qué diferencia hay entre el fraude del CEO y el Business Email Compromise?
El Business Email Compromise es la categoría general: fraudes que aprovechan el correo corporativo, comprometido o imitado, para obtener pagos. El fraude del CEO es la variante en la que el estafador se hace pasar por el dueño o un directivo. La otra variante frecuente es el falso cambio de IBAN de un proveedor o de un cliente.
Si el correo llega desde la dirección real del proveedor, ¿puedo fiarme?
No basta. El boletín de la ACN de febrero de 2026 describe casos en los que los delincuentes tenían acceso al buzón real y conocían la conversación en curso. Por eso todo cambio de IBAN debe confirmarse por un canal distinto, llamando a un número ya conocido.
¿SPF, DKIM y DMARC bastan para bloquear estas estafas?
No. Reducen la posibilidad de que alguien envíe correos falsos con tu dominio exacto, pero no bloquean dominios parecidos ni correos enviados desde buzones comprometidos. Deben combinarse con autenticación multifactor, formación y verificación fuera de canal de los pagos.
¿Se puede recuperar una transferencia fraudulenta?
A veces sí, si se actúa muy rápido. La Policía Postal recuerda que la retrocesión solo es posible dentro de los días de valoración, y el Banco de Italia precisa que una transferencia inmediata ejecutada no se puede revocar. Llama enseguida al banco y presenta la denuncia sin esperar.
¿Hay que notificar un fraude BEC a la autoridad de protección de datos?
Depende. Si el estafador accedió a buzones con datos personales, puede tratarse de una brecha de datos que hay que valorar: la notificación a la autoridad debe hacerse en 72 horas, salvo que sea improbable que suponga un riesgo para las personas. Haz la valoración con el DPO y documenta el hecho en cualquier caso.
¿ISO 27001 protege del fraude del CEO?
Ninguna norma elimina el riesgo. ISO 27001 ayuda a reducirlo porque exige analizar los riesgos y aplicar controles como la separación de funciones, la seguridad con proveedores, la formación y la gestión de incidentes, y comprobar su eficacia con auditorías periódicas.
