# Fraude del CEO y facturas falsas: han suplantado el correo de mi empresa > Un cliente pagó a otra cuenta o alguien pidió una transferencia urgente en nombre del director. Qué hacer en la primera hora para recuperar el dinero. Fuente: https://mehanhackeado.es/correo-empresa · Revisado: 2026-10-23 · Autor: equipo de inteligencia de QuantumSec (Quantumsec S.L.) ## En 30 segundos **Lo primero:** Si ya se hizo la transferencia, llama YA al banco que la emitió y pide que intente recuperarla. Cada hora que pasa, el dinero está más lejos. 1. Pide al banco que recupere la transferencia (10 min) 2. Cierra la puerta del correo (20 min) 3. Busca reglas de reenvío y aplicaciones conectadas (20 min) 4. Avisa por teléfono a clientes y proveedores (20 min) 5. Guarda pruebas y repórtalo (20 min) 6. Pon doble factor y DMARC (30 min) Tiempo total aproximado: 120 minutos. Ayuda gratuita y confidencial: llama al 017 (INCIBE). ## ¿Cómo sé si me ha pasado? - Un cliente dice que te pagó, pero el dinero no ha llegado: pagó a otra cuenta. - Alguien pidió por email una transferencia urgente y confidencial en nombre de la dirección. - Un proveedor avisa de que «ha cambiado de banco» por correo. ## Pasos ### 1. Pide al banco que recupere la transferencia (10 min) El banco de quien pagó tiene que pedir la devolución al banco de destino. Cuanto antes, más posibilidades: en horas, a veces el dinero aún no ha salido. ### 2. Cierra la puerta del correo (20 min) Cambia la contraseña de las cuentas implicadas y cierra todas sus sesiones. Si el buzón de alguien fue comprometido, el atacante puede seguir leyendo para el próximo intento. ### 3. Busca reglas de reenvío y aplicaciones conectadas (20 min) En Microsoft 365 o Google Workspace, revisa reglas de buzón, reenvíos, permisos delegados y aplicaciones con acceso. Es donde se esconden para ocultar las respuestas de los clientes. ### 4. Avisa por teléfono a clientes y proveedores (20 min) Por teléfono, no por email: «no paguéis a ninguna cuenta nueva sin confirmarlo llamando». Si el atacante sigue dentro, leerá tu correo de aviso. ### 5. Guarda pruebas y repórtalo (20 min) Conserva los correos con sus cabeceras, los justificantes y los registros de acceso. Repórtalo a INCIBE-CERT y denuncia. Enlace oficial: [INCIBE: fraude por correo comprometido](https://www.incibe.es/empresas/te-ayudamos/fraude-email-comprometido) ### 6. Pon doble factor y DMARC (30 min) Verificación en dos pasos obligatoria para todo el personal y un registro DMARC en tu dominio, para que nadie pueda enviar correos que parezcan tuyos. ## No hagas esto - No avises del fraude solo por email: si el atacante sigue dentro, lo leerá. - No cambies una cuenta bancaria de un proveedor sin confirmarlo por teléfono a un número que ya tuvieras. - No borres los correos fraudulentos: son la prueba. ## Para que no vuelva a pasar - Toda petición de cambio de cuenta bancaria se confirma por teléfono. - Doble factor en todo el correo de la empresa. - SPF, DKIM y DMARC configurados en tu dominio. ## Preguntas frecuentes ### ¿Se puede recuperar una transferencia hecha por fraude? A veces, si se actúa en horas: el banco que la emitió pide la devolución al de destino. Por eso la primera llamada es al banco. ### ¿Qué es el fraude del CEO? Un correo que suplanta a alguien de la dirección y pide una transferencia urgente y confidencial. Funciona por la presión y por saltarse los controles habituales. ### ¿Cómo evito que suplanten el correo de mi empresa? Con SPF, DKIM y DMARC en el dominio, doble factor en todas las cuentas y la norma de confirmar por teléfono cualquier cambio de cuenta bancaria. ## Dónde pedir ayuda y denunciar - 017 de INCIBE: gratuito y confidencial, de 8:00 a 23:00, todos los días del año. WhatsApp 900 116 117, Telegram @INCIBE017. - INCIBE-CERT (empresas): https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente · incidencias@incibe-cert.es - Policía Nacional (091): denuncia por internet en https://denuncias.policia.es/OVD/ o en comisaría. La denuncia por internet solo es válida si la firmas en la comisaría que elijas, como mucho 72 horas después. - Guardia Civil (062): denuncia por internet en https://guardiacivil.sede.gob.es/categoria?idCat=100375 o en un puesto. Con firma electrónica (certificado digital), y no hace falta ir después en persona. Adjunta el extracto del banco si hubo cargos. - Si el delito está pasando ahora: 112, 091 (Policía Nacional) o 062 (Guardia Civil). ## Fuentes oficiales - [INCIBE: fraude por correo comprometido](https://www.incibe.es/empresas/te-ayudamos/fraude-email-comprometido) - [INCIBE · Tu Ayuda en Ciberseguridad (017)](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad) - [INCIBE-CERT · Reporta tu incidente](https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente) - [Policía Nacional · denuncia por internet](https://denuncias.policia.es/OVD/) - [Guardia Civil · denuncia por internet](https://guardiacivil.sede.gob.es/categoria?idCat=100375)