Guía de amenaza
BEC: el correo del 'jefe' que pide una transferencia urgente
Riesgo alto Correo electrónico
Un correo que parece venir de un jefe o ejecutivo pide, con urgencia y discreción, que se haga una transferencia o se compren tarjetas de regalo — la cuenta de correo real fue comprometida o falsificada.
BEC (Business Email Compromise, o correo corporativo comprometido) es un fraude dirigido a empresas: un delincuente suplanta o compromete la cuenta de correo de un ejecutivo o jefe para convencer a un empleado de hacer una transferencia, cambiar datos bancarios o entregar información sensible.
A diferencia del phishing masivo, este ataque suele estar dirigido: el delincuente investiga antes a la empresa, conoce los nombres de los cargos involucrados y elige el momento (como cuando el jefe real está de viaje) para dificultar una verificación rápida.
La defensa más efectiva no es técnica, es de proceso: ningún pago urgente debería saltarse el canal de verificación habitual, sin importar cuánta presión venga en el correo.
Señales de alerta
- El correo pide actuar 'de inmediato' o 'antes de fin del día', y suele pedir discreción ('no comentes esto con nadie por ahora').
- El dominio del remitente es casi idéntico al real, pero con una letra cambiada o una extensión distinta.
- Se salta los canales y aprobaciones habituales de la empresa para un pago de ese tipo.
- Pide un método de pago inusual: transferencia a una cuenta nueva, tarjetas de regalo, o criptomonedas.
- Llega en un momento en que el jefe real está de viaje o fuera de la oficina, dificultando la verificación inmediata.
Qué hacer
- Nunca proceses un pago solo porque el correo lo pide con urgencia: verifica por otro canal (llamada al celular conocido de esa persona, no al número que aparece en el correo).
- Respeta siempre el proceso normal de aprobación de pagos, incluso si el correo insiste en saltárselo.
- Si ya autorizaste una transferencia, contacta a tu banco de inmediato para intentar detenerla — la ventana de tiempo es crítica.
- Avisa internamente apenas detectes el intento, para que nadie más en la empresa caiga con el mismo correo.
- Revisa la guía en /ya-caiste para el protocolo completo si ya se autorizó el pago.
Perfil relacionado: Mi equipo de trabajo
Casos reales reportados públicamente
Empresa pública chilena frustra un intento de fraude del CEO (BEC)
Una empresa pública chilena logró detectar a tiempo un intento de fraude del CEO (BEC), en el que delincuentes se hicieron pasar por un alto ejecutivo para intentar que un área de la empresa realizara una acción perjudicial. Fue clave que la persona a cargo de la secretaría general revisara con atención la dirección de correo del remitente y notara errores sutiles de redacción en el mensaje, evitando así la transferencia. Como respuesta, la empresa realizó sesiones de concientización sobre ataques BEC dirigidas a su primera línea ejecutiva y a directores, y tomó contacto con el CSIRT de Gobierno para reforzar sus protocolos internos.
Fuente: Coordinación Nacional de Ciberseguridad — 'Empresa del Estado frustra "fraude del CEO": aquí les contamos cómo lo hicieron' (ciberseguridad.gob.cl)