2.4Estafa del presidente y fraude de transferencias
Lo esencial en 30 segundos
- Urgencia + confidencialidad + transferencia = FOVI hasta prueba en contrario — el trío no se discute, se verifica.
- « No hable de esto con nadie » = señal absoluta : aislar a la víctima es la condición del fraude — el secreto impuesto es la alarma.
- Doble validación + llamada al número conocido : toda transferencia inhabitual o cambio de RIB se verifica por otro canal — verificar no es desobedecer.
Mini-caso seguido — Karim y el falso correo del « director general »
Karim recibe un correo que parece venir del director general : transferencia excepcional y confidencial de 25 000 € que ejecutar con urgencia, « no hable de esto con nadie ». El trío urgencia + confidencialidad + transferencia dispara su reflejo FOVI : en lugar de obedecer al secreto impuesto, aplica el procedimiento — llamada al director general por el directorio interno al número ya conocido. El director general nunca pidió nada. Karim reporta el intento : la verificación por otro canal acaba de salvar a la empresa.
Modelo pedagógico simplificado : este escenario ilustra las señales y la respuesta, sin detallar técnica de ataque.
1. La Falsa Orden de Transferencia
La estafa del presidente (FOVI) apunta a los servicios de contabilidad y finanzas : una llamada o correo urgente que parece venir del director general o del director financiero, pidiendo una transferencia excepcional y confidencial. Variante más frecuente : el fraude al falso proveedor (cambio de RIB : los siguientes pagos van al defraudador). Con la IA, estos fraudes integran ahora también deepfakes de voz y vídeo.
2. Las señales de alarma
Urgencia + confidencialidad + transferencia = FOVI hasta prueba en contrario. La confidencialidad impuesta (« no hable de esto con nadie ») es la señal absoluta : aislar a la víctima es la condición del fraude. E incluso la verdadera dirección del dirigente no prueba nada : cuenta comprometida o dirección suplantada — es la naturaleza de la petición la que dispara la verificación, no la dirección.
3. Las respuestas
La doble validación : toda transferencia inhabitual o cambio de RIB exige una segunda validación por un canal distinto. La llamada al número conocido : se verifica con el ordenante por el número YA conocido (directorio interno) — nunca el facilitado en la petición. Ningún verdadero dirigente reprochará nunca una verificación — los defraudadores, sí.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Probar su circuito de pago
El test de Karim, antes de que llegue el fraude (modelo pedagógico) :
Un « director general » pide una transferencia urgente confidencial de 25 000 €.
¿Cambio de RIB de proveedor → llamada al número HISTÓRICO?
Regla : pago inhabitual = verificación oral al número conocido.Lectura: el circuito de pago pasado por la criba, doble validación afianzada.
Lección: verificar incluso (sobre todo) si el mensaje lo prohíbe.
Vocabulario de la sección
- Estafa del presidente (FOVI)
- La Falsa Orden de Transferencia : un defraudador se hace pasar por un dirigente y exige una transferencia urgente y confidencial.
Ejemplo sencillo: El falso correo del « director general » recibido por Karim : 25 000 € urgentes y confidenciales.
Lo que no es: una transferencia planificada, documentada y validada según el procedimiento habitual.
Reflejo: trío urgencia + confidencialidad + transferencia = verificación oral inmediata.
- Fraude al falso proveedor
- El « proveedor » señala un cambio de RIB : los siguientes pagos van al defraudador — la variante más frecuente.
Ejemplo sencillo: Un correo que anuncia un nuevo RIB que usar « desde el próximo pago ».
Lo que no es: un RIB verificado por llamada al número histórico del proveedor.
Reflejo: todo cambio de RIB = llamada al número ya conocido.
- Confidencialidad impuesta
- « No hable de esto con nadie » : la señal de alarma absoluta — el aislamiento de la víctima es la condición del fraude.
Ejemplo sencillo: La orden de silencio del falso director general, que Karim desobedece para verificar.
Lo que no es: un verdadero procedimiento que prevé justamente una segunda validación.
Reflejo: secreto impuesto = hablar de ello (al referente, a la jerarquía) enseguida.
- Doble validación
- La respuesta organizativa : toda transferencia inhabitual o cambio de RIB exige una segunda validación por un canal distinto.
Ejemplo sencillo: Karim hace validar la transferencia de 25 000 € por un segundo canal antes de nada.
Lo que no es: ejecutar en solitario una transferencia urgente para « no molestar ».
Reflejo: nunca pago inhabitual sin segunda validación.
- Llamada al número conocido
- Se verifica con el ordenante por el número YA conocido (directorio interno) — nunca el facilitado en la petición.
Ejemplo sencillo: Karim llama al director general al número del directorio : ninguna petición real.
Lo que no es: llamar al número indicado en el propio mensaje sospechoso.
Reflejo: directorio interno y números históricos siempre a mano.
En la práctica — En la práctica — Probar su circuito de pago contra el FOVI
- Desarrolle el escenario : un correo del « director general » le pide una transferencia urgente y confidencial de 25 000 €. ¿Quién, en su organización, puede realmente ejecutarla en solitario?
- Verifique el procedimiento de cambio de RIB de proveedor : ¿exige una llamada al número histórico del proveedor? Si no, propóngalo.
- Formalize su reflejo personal : toda petición de pago inhabitual = verificación oral al número conocido, incluso (sobre todo) si el mensaje lo prohíbe.
- Comparta el escenario con la persona que gestiona los pagos — esa conversación de 5 minutos es la mejor defensa de la empresa.
Guion listo para decir — oponer el procedimiento al falso director general (20 s)
« Señor director, he recibido bien su petición urgente y confidencial. Nuestro procedimiento me obliga a una doble validación para toda transferencia inhabitual : le llamo en un instante al número del directorio para confirmar juntos, y lo hago validar por un segundo canal. »
Decir (o escribir) y luego llamar de verdad al número conocido ; nunca ejecutar en solitario, incluso bajo presión.
Modelo copiar-pegar — control de transferencia inhabitual
PETICIÓN RECIBIDA EL : _______________ / IMPORTE : _______________
¿TRÍO FOVI (urgencia + confidencialidad + transferencia)? SÍ / NO
¿CAMBIO DE RIB? SÍ → llamada n.º HISTÓRICO : _______________
DOBLE VALIDACIÓN (2.ª persona + canal distinto) : _______________
DECISIÓN : verificación oral al número conocido ANTES de todo pagoTPE sin servicio contable
El propio gerente aplica la regla : todo RIB modificado = llamada al proveedor al número histórico.
Pyme Argel
Karim hace inscribir la doble validación en el procedimiento interno y mantiene el directorio actualizado.
Gran cuenta / finanzas
Umbrales de validación múltiples y canales separados obligatorios para los importes sensibles.
Deepfake de voz / vídeo
Incluso con la « voz del director general » : se cuelga y se vuelve a llamar al número conocido — la voz tampoco prueba nada.
✓ Buenas prácticas
- Trate urgencia + confidencialidad + transferencia como un FOVI.
- Verifique todo cambio de RIB por llamada al número histórico.
- Imponga una doble validación para las transferencias inhabituales.
✗ Errores frecuentes
- Tomar la verdadera dirección del dirigente por una prueba (cuenta comprometida/spoofing).
- Obedecer a la confidencialidad impuesta sin verificar.
- Ejecutar una transferencia urgente en solitario, sin segundo canal.
Puntos clave
- Urgencia + confidencialidad + transferencia = FOVI hasta prueba en contrario.
- Todo cambio de RIB de proveedor se verifica por llamada al número HISTÓRICO.
- La verificación por otro canal no es desconfianza : es el procedimiento que protege a todo el mundo.
- Ningún verdadero dirigente reprochará nunca una verificación — los defraudadores, sí.
Reto 48h — aplica mañana
Pruebe su circuito : ¿quién puede ejecutar en solitario una transferencia de 25 000 € en su casa? Verifique el procedimiento RIB (¿llamada histórica?) y comparta el escenario con la persona que gestiona los pagos.
- Puedo citar el trío FOVI y la señal absoluta.
- Sé aplicar doble validación + llamada histórica.
- He probado mi circuito de pago con el escenario.
Preguntas frecuentes
El correo venía de la VERDADERA dirección del dirigente : ¿cómo es posible?
O su cuenta está comprometida, o la dirección está suplantada (spoofing) — en ambos casos, la dirección no basta : es la naturaleza de la petición (urgente, confidencial, inhabitual) la que dispara la verificación oral.
Una transferencia fraudulenta ha salido : ¿se puede recuperar?
Cada minuto cuenta : llamada inmediata al banco para pedir la recuperación de los fondos, reporte a la policía (denuncia), declaración al seguro. Las primeras horas ofrecen una verdadera oportunidad de bloqueo — tras 48 h, se desploma.
Karim recibe : transferencia urgente + « no hable de esto con nadie ». ¿Qué veredicto?