Estafa del CEO: qué es, cómo funciona y cómo reclamar al banco

La estafa del CEO (fraude BEC, Business Email Compromise) consiste en suplantar a un directivo, o a un proveedor, para que un empleado de la empresa ordene una transferencia urgente a una cuenta controlada por los delincuentes. La empresa puede reclamar al banco, pero su responsabilidad no es automática: como la orden la dio normalmente un empleado autorizado, hay que examinar el contrato bancario, la verificación del beneficiario y la diligencia de la entidad; y si lo que se pagó fue una factura a un IBAN falso, hay que resolver además si la deuda con el proveedor sigue pendiente.

Qué es la estafa del CEO y cómo funciona

El estafador se hace pasar por el CEO, el director financiero u otro alto cargo y contacta con un empleado que puede ordenar pagos, generalmente de contabilidad o administración, para pedirle una transferencia urgente y confidencial. La clave del engaño es la urgencia y la confidencialidad: el mensaje suele pedir que no se consulte con nadie y que se haga de inmediato. Como se dirige contra los pagos de la empresa, los importes en juego pueden ser elevados.

1. Investigación previa: los estafadores estudian la empresa (página web, LinkedIn, redes sociales, registro mercantil) para identificar quién manda y quién paga: nombres, cargos, direcciones de correo y relaciones jerárquicas.
2. Suplantación de identidad: envían un correo desde una dirección muy parecida a la del directivo (por ejemplo, ceo@empresa-corp.com en lugar de ceo@empresacorp.com) o incluso desde la cuenta real, si han conseguido acceso mediante un phishing previo.
3. La orden urgente: piden una transferencia a una cuenta «del nuevo proveedor», «para cerrar una operación confidencial» o «para una adquisición en curso», siempre con instrucciones de no comentarlo.
4. Ejecución: el empleado ordena la transferencia y los estafadores intentan mover rápidamente el dinero a otras cuentas, a menudo en el extranjero.

Variantes

• Correo electrónico: la variante clásica, con un mensaje que suplanta al directivo.
• WhatsApp o mensaje de texto: el falso CEO suele decir que «está en una reunión y no puede llamar». La guía sobre los tipos de fraude bancario describe esta y otras modalidades.
• Deepfake de voz: la más sofisticada. Los delincuentes clonan con inteligencia artificial la voz del directivo y llaman al empleado, que reconoce la voz de su jefe y ejecuta la orden.
• Factura del proveedor o IBAN falso: en lugar del CEO, suplantan a un proveedor real o alteran su mensaje o su factura con otros datos bancarios, y la empresa paga a la cuenta del estafador creyendo pagar al proveedor legítimo.

Qué hacer en cuanto se descubre el fraude

1. Avise al banco de inmediato por sus canales oficiales y pida la retrocesión de la transferencia o las gestiones de recuperación que procedan, conservando la referencia de la solicitud. Si el dinero aún no ha salido de la cuenta de destino, puede ser posible retenerlo, aunque una transferencia ejecutada no se revierte necesariamente con una llamada.
2. Si se trata de una factura, comunique el incidente al proveedor mediante un contacto conocido y confirme los datos sin usar los teléfonos o enlaces del mensaje sospechoso.
3. Denuncie ante la Policía o la Guardia Civil, aportando correos, capturas de WhatsApp, justificantes de transferencia y cualquier dato del estafador.
4. Conserve todas las evidencias: correos originales con cabeceras completas, adjuntos, mensajes, registros de llamadas y comunicaciones internas sobre la orden de pago. Coordine con el responsable informático la contención del incidente y la conservación de la prueba, y no envíe contraseñas, PIN ni códigos de seguridad al despacho ni al supuesto proveedor.
5. Reclame al banco si no recupera los fondos o si considera que no verificó adecuadamente la operación. En reclamaciones sobre servicios de pago, el servicio de atención al cliente debe responder en 15 días hábiles, ampliables excepcionalmente hasta un mes (art. 69 del Real Decreto-ley 19/2018). Puede ampliar información en la guía para recuperar dinero estafado por transferencia bancaria.
6. Valore la vía judicial contra el banco y, en su caso, contra los responsables del fraude. Antes de demandar, la Ley Orgánica 1/2025 exige haber intentado un medio adecuado de solución de controversias (art. 5).

¿Puede la empresa reclamar al banco?

Puede, pero con matices importantes. A diferencia del phishing bancario clásico, en la estafa del CEO la transferencia la ordena normalmente un empleado con sus credenciales: jurídicamente suele tratarse de una operación autorizada, y no toda transferencia ordenada bajo engaño se trata como no autorizada. El artículo 36 del Real Decreto-ley 19/2018 sitúa el consentimiento en el centro de esa distinción, de modo que no se aplica sin más el régimen de devolución de las operaciones no autorizadas (arts. 45 y 46).

La condición de la empresa también importa. Cuando el cliente no es consumidor ni microempresa, el contrato puede excluir total o parcialmente algunas garantías de esa norma, como los artículos 44 y 46 (art. 34); para ciertos pactos, como un plazo distinto de notificación del artículo 43, basta con que no sea consumidor. Ser una sociedad no permite presumir todas esas exclusiones: hay que comprobar su condición y su contrato. Aun así, hay vías de reclamación:

Verificación del beneficiario

El artículo 5 quater del Reglamento (UE) 260/2012, introducido por el Reglamento (UE) 2024/886, obliga a los bancos de la zona euro, a más tardar desde el 9 de octubre de 2025, a ofrecer antes de autorizar una transferencia en euros un servicio que compruebe si el nombre del beneficiario coincide con el titular del IBAN y avise si no coincide. Si el banco del ordenante no presta ese servicio y ello da lugar a una operación ejecutada defectuosamente, debe reembolsar sin demora el importe transferido (apartado 8). En cambio, si el banco avisó de la discrepancia y la empresa autorizó igualmente la orden, no responde por haberse indicado un identificador incorrecto.

Hay matices: los usuarios que no son consumidores pueden haber optado por no recibir este servicio en órdenes de pago agrupadas, y una coincidencia de nombre y cuenta no certifica que la factura o el negocio sean legítimos. En una transferencia en euros posterior a esa fecha hay que comprobar si se ofreció la verificación y qué resultado o advertencia mostró.

Detección de operaciones inusuales

Los bancos deben disponer de mecanismos de supervisión de las operaciones para detectar pagos no autorizados o fraudulentos (art. 2 del Reglamento Delegado (UE) 2018/389). Una transferencia por un importe muy superior al habitual, a un beneficiario nuevo en un país extranjero, es el tipo de operación que los tribunales examinan para valorar si el banco actuó con la diligencia exigible.

Colaboración en la recuperación

Cuando la orden se ejecuta con un identificador incorrecto, el banco del ordenante debe esforzarse razonablemente por recuperar los fondos y el banco del beneficiario debe cooperar; si no es posible, el banco debe facilitar al ordenante, previa solicitud por escrito, la información de que disponga para que pueda reclamar judicialmente (art. 59.2 del Real Decreto-ley 19/2018). Una reacción poco diligente ante el aviso de la empresa puede ser relevante para exigir responsabilidad, pero no obliga por sí sola al banco a asumir la pérdida.

Lo que han resuelto los tribunales

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

• SAP Madrid de 28 de febrero de 2022 (ROJ: SAP M 616/2022): estimó el recurso de una empresa víctima de un fraude del CEO con transferencias a Hong Kong, declaró que BBVA había incumplido el contrato al disponer indebidamente de 303.234,44 € y le condenó a dejar sin efecto los cargos, valorando, entre otros aspectos, el deber del banco de identificar operaciones irregulares.
• SAP Madrid de 26 de abril de 2023 (ROJ: SAP M 6310/2023): rechazó la reclamación de la empresa frente a Bankia (hoy CaixaBank) al concluir que la falta de diligencia había sido de la empleada de la empresa y que la entidad, que recabó información complementaria y fue quien detectó el fraude, actuó con diligencia.

La respuesta no es uniforme. En los dos casos el debate giró en torno a la normativa de servicios de pago y a la diligencia del banco, con argumentos próximos a los de la reclamación por phishing bancario, pero el resultado dependió de la prueba.

Pagué una factura a un IBAN falso: ¿sigo debiendo al proveedor?

No hay una respuesta automática. El justificante de transferencia demuestra un envío de dinero, pero no resuelve por sí solo si la obligación quedó pagada. La regla de partida está en el artículo 1162 del Código Civil: el pago debe hacerse al acreedor o a quien esté autorizado para recibirlo en su nombre, de modo que, si la transferencia acaba en la cuenta de un estafador ajeno al proveedor, la factura no puede darse por pagada solo porque exista un cargo bancario.

El Código Civil contempla, sin embargo, excepciones. El artículo 1163 reconoce validez al pago hecho a un tercero en cuanto haya resultado útil al acreedor, y el artículo 1164 prevé que el pago de buena fe a quien estuviera en posesión del crédito libere al deudor. En los fraudes de suplantación interesa sobre todo esta segunda excepción, el pago al acreedor aparente: no basta con acreditar que el pagador fue engañado, sino que hay que examinar si la apariencia era razonable y si actuó con la diligencia exigible en aquellas circunstancias. Tampoco basta con que el proveedor diga que no recibió el dinero para descartar, sin más examen, cualquier defensa de su cliente.

Dos resoluciones que muestran por qué importa la prueba

• SAP Sevilla, Sección 6.ª, 340/2026, de 18 de junio (ROJ SAP SE 2111/2026; ECLI:ES:APSE:2026:2111): en el fundamento de derecho cuarto analiza las diferencias entre el correo auténtico y el fraudulento, la recepción de comunicaciones próximas con la misma finalidad y las oportunidades de contrastar los datos antes de transferir. En el quinto rechaza que, con la prueba de aquel procedimiento, bastara la falta de firma o cifrado del PDF para atribuir al proveedor una actuación culposa que diera eficacia liberatoria al pago, y en el sexto concluye que la transferencia a la cuenta ajena no extinguió la obligación. La decisión se apoya en la conducta acreditada y en las anomalías del caso, no en una regla según la cual todo fraude obliga a pagar de nuevo.
• SAP Jaén, Sección 1.ª, 1459/2025, de 7 de noviembre (ROJ SAP J 1995/2025; ECLI:ES:APJ:2025:1995): en el fundamento de derecho tercero exige un pago efectivo, una apariencia razonable de titularidad del crédito y buena fe objetiva del pagador, ligada a la diligencia demostrada. En el quinto valora los informes periciales, la apariencia de la comunicación y la conducta del vendedor, incluida su respuesta al justificante recibido y la entrega posterior del bien, considera acreditada la buena fe objetiva y reconoce efecto liberatorio al pago, aunque el vendedor no recibiera el precio.

Son resoluciones de Audiencias Provinciales sobre hechos y pruebas diferentes, cuya firmeza no se afirma, y pueden localizarse por su ECLI en el buscador oficial del CENDOJ. No constituyen una regla uniforme del Tribunal Supremo ni permiten concluir que cualquier incidencia informática del proveedor libere siempre al cliente, o que cualquier cambio de cuenta obligue siempre a este a soportar la pérdida.

Qué hay que reconstruir antes de atribuir la pérdida

• La relación comercial: contrato, pedido, entrega, importe y vencimiento, el medio de pago pactado y los números de cuenta utilizados anteriormente.
• La comunicación del cambio: mensajes originales, adjuntos y versiones de la factura, distinguiendo lo que salió de cada cuenta, lo que recibió cada destinatario y lo que este vio antes de pagar.
• Las comprobaciones previas: quién aprobó el cambio, con quién habló, a qué número llamó y qué datos confirmó. Una llamada genérica no demuestra que se contrastara el IBAN concreto.
• Las señales disponibles: diferencias de dominio, cuenta o titular, facturas duplicadas, urgencia inusual, avisos bancarios y cambios respecto de operaciones anteriores.
• La actuación posterior: envío del justificante, respuestas del proveedor, fecha en que se detectó la falta de ingreso y gestiones de recuperación.
• La prueba técnica: registros y análisis que aclaren el origen y el recorrido de la alteración. Que aparezca un nombre conocido en pantalla no prueba qué sistema fue comprometido.

Conservar el correo original permite un examen que una captura aislada puede no permitir. La pericial informática puede ser necesaria, pero no debe encargarse sobre una conclusión ya decidida: tiene que aclarar qué puede acreditarse y qué sigue siendo incierto, sin atribuir una intrusión al proveedor o al cliente por mera sospecha.

Si el proveedor reclama el pago, conviene contestar con una exposición documentada de lo sucedido y valorar los argumentos, los vencimientos y las pruebas antes de reconocer la deuda, negarla o asumir un nuevo pago. Si hay un requerimiento judicial, la investigación del fraude no justifica desatenderlo: hay que revisar el plazo y la respuesta procesal que corresponda.

Proveedor y banco: dos cuestiones distintas

Decidir si el cliente quedó liberado frente al proveedor es distinto de determinar si una entidad de pago incumplió sus obligaciones: que el pago no extinga la factura no demuestra por sí solo responsabilidad bancaria. Ambos análisis pueden coordinarse, manteniendo separadas las pretensiones y evitando reclamar o percibir dos veces el mismo perjuicio.

Cómo prevenir la estafa del CEO en su empresa

• Doble verificación: cualquier orden de pago superior a un umbral (por ejemplo, 3.000 €) debe confirmarse por un segundo canal, llamando al número habitual del directivo y no al que figure en el mensaje sospechoso.
• Formación: el personal con acceso a pagos debe conocer esta estafa y saber que ningún directivo legítimo pedirá saltarse los controles internos.
• Seguridad del correo corporativo: autenticación de dos factores, SPF, DKIM y DMARC para dificultar la suplantación.
• Protocolo de cambio de cuenta con proveedores: un contacto previamente registrado, confirmación por un canal independiente, contraste del IBAN y del titular, autorización interna del cambio y conservación de la comprobación realizada. Conviene también revisar la respuesta del proveedor al recibir justificantes y el seguimiento de los ingresos pendientes, para detectar pronto las discrepancias.
• Verificación del beneficiario activada: su aviso de discrepancia es una barrera importante frente a este fraude, por lo que no conviene desactivarla.

Estas medidas reducen las oportunidades de error y dejan constancia de la actuación de la empresa, aunque no garantizan que nunca se produzca un fraude ni sustituyen la valoración jurídica de un incidente. La revisión de contratos y procedimientos de pago puede plantearse dentro de una iguala jurídica para empresas. Si su empresa ya ha sufrido el fraude, la página de fraude bancario del despacho explica el alcance de la asistencia, y puede exponer lo ocurrido a través de la página de contacto.

Valoración del despacho

En la estafa del CEO, a diferencia del phishing a particulares, el punto de partida no suele ser favorable: la transferencia la ordenó un empleado autorizado y el contrato bancario de una empresa puede haber excluido parte de las garantías del Real Decreto-ley 19/2018. Por eso lo primero que revisa el despacho es el contrato de banca electrónica o de servicios de pago (qué se pactó sobre responsabilidad, firmas y verificación de órdenes), cómo se cursó exactamente la orden y qué hizo el banco antes y después: si ofreció la verificación del beneficiario y qué resultado dio, si la operación era claramente anómala para el perfil de la empresa y con qué rapidez reaccionó al aviso. Las dos sentencias de Madrid citadas muestran que el resultado depende de esa prueba.

En paralelo, no conviene descuidar la vía penal, que permite investigar la cuenta de destino e intentar retener fondos. La prioridad es avisar al banco y denunciar en las primeras horas, aportando las cabeceras completas de los correos: cuanto más tiempo pasa, más difícil es recuperar el dinero.