Fraude del CEO: llamada falsa de tu jefe pidiendo pagar
La SSPC alertó por fraudes en que se hacen pasar por tu jefe o un proveedor, incluso con voz clonada por IA. Así lo detectas y lo frenas en tu empresa.
"Necesito que hagas una transferencia hoy, es urgente y confidencial." Si un mensaje así llega con el nombre de tu director, de tu socio o de un proveedor de siempre, puede ser el fraude del CEO: alguien se hace pasar por una persona con autoridad para que pagues o entregues información. El 18 de octubre de 2026, la Secretaría de Seguridad y Protección Ciudadana (SSPC) emitió una alerta justo sobre esto, y advirtió que ya se usan voces e imágenes falsas hechas con inteligencia artificial.
Aquí te contamos cómo opera, cómo distinguirlo de una petición real y qué hacer si en tu empresa ya se hizo el pago.
¿Qué es el fraude del CEO y por qué funciona?
Es un engaño de ingeniería social: no "hackean" tu computadora, te convencen a ti. La persona que escribe o llama finge ser alguien a quien normalmente obedeces o en quien confías, y te pide algo que parece parte del trabajo diario.
Según el comunicado 386 de la SSPC, los delincuentes se presentan como directivos, responsables de finanzas, proveedores o socios comerciales. Lo que buscan es que el personal haga transferencias, cambie datos bancarios, comparta información confidencial o dé acceso a los sistemas de la empresa.
Funciona porque mezcla tres cosas que bajan la guardia: autoridad ("lo pide el director"), urgencia ("tiene que salir hoy") y secreto ("no se lo comentes a nadie"). Esa es la carnada.
¿Cómo se ve un correo falso de tu jefe?
Hola, estoy en junta y no puedo hablar. Necesito que transfieras el anticipo al proveedor nuevo antes de las 2 pm. Es un tema delicado, no lo comentes con nadie hasta que yo te avise. Te mando la cuenta en el siguiente correo. Gracias por tu apoyo.
Ver datos de la cuentaUn caso real: el comprobante de transferencia que llegó a contabilidad
En los correos reales que empresas mexicanas le han reenviado a Dory, la variante más común de este fraude no es el jefe que pide pagar, sino su contraparte: un aviso de que "ya te pagaron". Llega al área de contabilidad, imita a tu banco o a Banxico y te pide descargar el "comprobante". Este es uno tal como llegó, con los datos de la empresa ocultos:
Banca en LíneaTransferencia interbancaria SPEIArchivo adjunto (547 KB)
Descargar todo como.zip
[EMPRESA REAL] SA DE CV envia a usted el archivo PDF y XML correspondiente al Transferencia interbancaria a cuenta de cheques! /ahorro.
COMPROBANTE DE PAGO ELECTRÓNICO.
Aquí puede obtener el Comprobante de pago realizado a través de SPEI®.
https://emision.banxico,org,mx/descargascfd.jsp?idLiga=763889hi7F9211309cfdid1ab201801d4f916b1d7-cep
Le informamos que le fue enviada una Transferencia interbancaria a cuenta de cheques/ahorro, bajo las siguientes condiciones.
Este correo constituye sólo una referencia de los términos en que se realizó la operación, el único co! mprobante oficial es el estado de cuenta de cheques que emite BBVA México S.A.,
Institución de Banca Múltiple, Grupo Financiero BBVA México.
La imagen, el botón y la dirección de Banxico llevan a: rebrand.ly/ddbab3-…. El adjunto pesa 313 bytes, aunque el correo dice 547 KB.
- Archivo disfrazado. El "comprobante" es un
.zipcon un archivo que se llama.pdf.html: parece PDF, pero es una página web que pide tus datos. - Enlace escondido. El botón usa el acortador
rebrand.lypara que no veas a dónde te lleva. - Alerta bancaria con enlace sin verificar. Ningún banco te pide descargar un comprobante desde un correo así.
- Patrón de phishing de alta confianza: las señales juntas coinciden con campañas conocidas.
Y lo que puedes ver tú: notificaccion con doble «c» y una dirección de Banxico escrita con comas, banxico,org,mx. El sitio real es banxico.org.mx.
La SSPC identificó estas tácticas principales:
- Solicitudes urgentes de transferencias "extraordinarias", fuera de lo normal.
- Presión para pagar de inmediato facturas, anticipos o servicios.
- Peticiones de información sensible, contraseñas o códigos de acceso.
- Llamadas y videollamadas con voces o imágenes falsas generadas con inteligencia artificial.
Y estas son señales que puedes revisar tú mismo antes de mover un peso:
- El correo viene de un dominio que se parece al de tu empresa, pero no es igual (una letra cambiada, un guion de más, otra terminación).
- Te piden no usar el proceso de siempre "porque no da tiempo".
- La persona "no puede contestar llamadas" justo ahora.
- Un proveedor avisa que "cambió de banco" y te manda una cuenta nueva por correo o WhatsApp.
- Te piden discreción total, incluso frente a tu propio equipo de finanzas.
¿De verdad pueden imitar la voz o la cara de mi jefe?
Sí. La SSPC advierte que se usan herramientas de inteligencia artificial para imitar voces e imágenes de personas conocidas en llamadas y videollamadas falsas. Para hacerlo, les basta con audios o videos públicos: entrevistas, conferencias, reels o mensajes de voz.
Por eso, que "suene igual" ya no es prueba de nada. Lo que sí sirve es verificar por un camino que tú controlas, no por el que te dio la persona que pide el dinero.
¿Cómo saber si una petición de pago es real?
- Verifica por otro canal. Llama a la persona a un número que ya conocías o búscala en persona. No respondas al mismo correo ni marques al número que viene en el mensaje.
- No te saltes el proceso. La SSPC lo dice claro: la urgencia no justifica omitir procedimientos internos. Si normalmente un pago lleva dos firmas, hoy también.
- Confirma cualquier cambio de cuenta. Si un proveedor dice que cambió sus datos bancarios, valídalo con el contacto que ya tenías registrado y pide doble autorización antes de pagar.
- Revisa el remitente. Mira con calma el dominio del correo, el número de teléfono y el canal. Si tienes dudas sobre un correo, pégalo en dory.mx o reenvíalo a [email protected] antes de actuar.
- Nunca compartas contraseñas ni códigos. Aunque te los pida alguien que dice ser director. Ninguna persona dentro de tu empresa necesita tu código de verificación.
¿Cómo protejo a mi PyME de este fraude?
No necesitas un área de seguridad enorme. Muchas de las recomendaciones de la SSPC son reglas sencillas que cualquier negocio puede escribir en una hoja y compartir con su equipo:
- Doble autorización y separación de funciones para pagos grandes o fuera de lo común: quien captura el pago no es quien lo aprueba.
- Un directorio de proveedores con contactos verificados, para que los cambios de cuenta se confirmen siempre contra esos datos.
- Menos información pública sobre cargos, funciones, proveedores, viajes y procesos internos en redes sociales y en tu sitio web. Esos datos son los que usan para armar un engaño creíble.
- Un canal claro para avisar: que todos sepan a quién reportar de inmediato un mensaje sospechoso (seguridad, sistemas o finanzas).
- Permiso para dudar. Deja claro que nadie se meterá en problemas por llamar a confirmar una orden del director. Ese miedo es justo lo que aprovechan.
¿Qué hago si ya hicimos la transferencia?
Después:
- Avisa a tu área de finanzas y sistemas, y cambia las contraseñas de las cuentas que se hayan compartido.
- Guarda los correos completos, capturas de los chats, números telefónicos y comprobantes de la transferencia.
- Avisa al proveedor o directivo real que suplantaron: puede que estén engañando a otras personas con su nombre.
- Llama al 088 de la Guardia Nacional para recibir orientación sobre cómo presentar la denuncia.
Si además se entregaron datos personales o bancarios, revisa el paso a paso en qué hacer si ya diste tus datos en un link falso. Y si tienes dudas sobre cómo funciona el análisis de Dory, está todo en las preguntas frecuentes.
Fuentes: SSPC, Comunicado 386 (octubre 2026), UnoTV, falsas llamadas de tu jefe (octubre 2026), Expansión, fraude bancario primer semestre 2026 (octubre 2026), Guardia Nacional, 088 Atención Ciudadana (enero 2026), SSPC, Ciberguía (noviembre 2025).
