La estafa del CEO vía WhatsApp

El fraude del CEO es una de las estafas más recurrentes que se están utilizando en los últimos tiempos contra las empresas. El objetivo de este ataque, es conseguir transferencias cuantiosas, a la cuenta de los estafadores, habitualmente en el extranjero, engañando a los responsables de finanzas de las empresas.

Y aunque el contacto, por lo habitual, es mediante un mail, últimamente, esta estafa va un paso más allá, y se está realizando mediante WhatsApp, donde se hacen pasar por el CEO o un cargo importante de la empresa. Y para que sea más “confiable”, completan el perfil con una foto de la persona a suplantar y que, normalmente, consiguen en sus redes sociales.

 

¿Qué es el fraude del CEO?

 

La estafa del CEO es un fraude de ingeniería social, donde los estafadores, primero investigan a la empresa, para obtener el máximo de información sobre la organización (organigrama, nombres y correos de directivos, fechas de vacaciones de los jefes, datos de proveedores, clientes…), y toda aquella información que pueda darles credibilidad a la hora de ejecutar la suplantación de identidad. También analizan perfiles en redes sociales y monitorizan correos electrónicos para identificar quién toma decisiones de pago en la empresa.

Por otro lado, los ciberdelincuentes recopilan datos sobre sus víctimas (nombres y cargos de los empleados, listas de correos, redes sociales y otros medios) para poder generar confianza.

Como es habitual, en todos estos engaños, los estafadores juegan con la urgencia y en este caso en especial, añaden la confianza y el miedo a desobedecer a un superior, lo que facilita que la persona encargada de realizar los pagos lleve a cabo esa transferencia, pago o compra sin verificar, creyendo que obedece una orden legítima.

Como mencionábamos al principio, esta estafa lleva años y se empezó a ejecutar a través de correos electrónicos (phishing) o llamadas (vishing), pero el auge de la inteligencia artificial ha permitido, a los atacantes, perfeccionar las técnicas de deepfake imitando la voz y/o la imagen de los directivos, consiguiendo que parezcan más reales mediante videollamadas o audios.

 

¿Cómo detectar el engaño del CEO?

 

Ante todo engaño, los ciberdelincuentes intentan crear urgencia y miedo. Y en el caso de la estafa del CEO, una de las primeras cosas que debería hacer sospechar, es que el procedimiento para realizar una transferencia o un pago no es el habitual. No es habitual que un directivo solicite por WhatsApp o llamada que se realice un pago.

Estos son algunos mensajes tipo que podrían llegar:

• Necesito que hagas esta transferencia antes de las 14:00, confío en tu discreción
• Estoy en una reunión y no puedo hablar ahora, pero es urgente
• Este pago es confidencial, por favor, no informes a nadie
• Hola. ¿Estás libre ahora mismo? Contáctame por WhatsApp, este es mi número

También un factor en el que fijarse son los errores en la escritura. No sólo pueden ser erratas, sino también incoherencias gramaticales que vienen de una traducción automática. 

Además, en muchos casos, para lograr su objetivo e intentar convencer y desestabilizar al empleado, pueden utilizar amenazas de despido si no se realiza la transferencia, más o menos veladas, o, por lo contrario, ofrecer algún tipo de recompensa o adulaciones.

 

¿Cómo evitar la estafa del CEO?

 

Ante este tipo de actuación recomendamos que se tengan en cuenta las siguientes recomendaciones:

• Ignorar el mensaje sea por mail, llamada, sms o WhatsApp
• Reportar el intento de ataque lo antes posible a un superior.
• Realizar una doble verificación.

o   Contactar con la persona que ha solicitado el pago a través de otro medio diferente del cual ha llegado la petición.

o   Sino se puede confirmar con el cargo en cuestión, confirmar con otro alto cargo de rango similar o con su asistente personal.

• Tener precaución con enlaces dentro de los correos electrónicos o WhatsApp. Ante cualquier duda, cotejar la información o consultar con el departamento informático de la empresa.
• En el caso de que la transferencia se solicite para el pago a un proveedor, es imprescindible verificar el IBAN y, en caso de observar cambios, contactar directamente con el proveedor para confirmar dicho cambio. 

 

¿Qué hacer si has sido víctima de la estafa del CEO?

 

Si sospechas que has sido víctima de esta estafa, no dudes en seguir estas recomendaciones:

• Informa inmediatamente a un superior
• Contacta con el departamento de ciberseguridad de tu empresa, incluso si los estafadores no se han salido con la suya, para que puedan rastrear y establecer los protocolos pertinentes.
• Denuncia la estafa ante los Cuerpos y Fuerzas de Seguridad del estado.