Fraude del CEO, BEC o suplantación de proveedor

¿Es su caso?

• Correo del «director general» pidiendo una transferencia urgente y confidencial
• Proveedor que comunica un cambio de IBAN que resulta ser falso
• Cuenta de correo corporativa comprometida usada para desviar cobros
• Factura legítima interceptada y modificada

Ante quién se denuncia

Esta es la ruta habitual. El orden importa: algunas vías tienen plazos que empiezan a correr con su primera comunicación, y otras exigen haber agotado un paso previo. El asistente la ajusta a su caso concreto —comunidad autónoma, tipo de entidad responsable, si dispone de certificado digital— y puede cambiarla por completo.

Apoyo disponible (no reciben denuncias)

Normativa que se cita en el escrito

• Artículo 248 del Código Penal, sobre el delito de estafa.
• Artículo 249 del Código Penal, sobre la estafa informática, cuando la transferencia se consigue mediante manipulación informática.
• Artículo 250.1.5.º del Código Penal, sobre la estafa agravada cuando el valor de la defraudación supere los 50.000 euros.
• Artículo 197 bis del Código Penal, cuando el fraude se haya facilitado mediante el acceso no autorizado al sistema de información o al correo corporativo.
• Artículos 43 a 45 del Real Decreto-ley 19/2018, de servicios de pago.

Qué pruebas conservar, y cómo

Hágalo antes de nada: los rastros digitales se sobrescriben solos. Esta lista va de lo específico de su caso a lo que vale para cualquier incidente.

1. Exporte el hilo completo de correo en .emlTodo el hilo, no sólo el mensaje que ordenó el pago. Las cabeceras revelan si el dominio fue suplantado, si se usó un dominio parecido o si el buzón legítimo estaba comprometido.
2. Extraiga los registros de acceso al buzónEn Microsoft 365 o Google Workspace, exporte el registro de inicios de sesión y de reglas de buzón de los últimos noventa días. Las reglas ocultas de reenvío o de borrado automático son la firma característica de este fraude.
3. Conserve la orden de transferencia y su justificanteOrden firmada, justificante del banco y correspondencia interna sobre la operación, incluida la conversación en la que se solicitó.
4. Documente el cambio de cuenta del proveedorSi el fraude consistió en un cambio de IBAN, conserve la comunicación fraudulenta y la factura original con la cuenta correcta, además del contacto verificado del proveedor.
5. Pida la retrocesión y anótelaSolicite formalmente a su entidad la retrocesión o el «recall» de la transferencia y anote la hora exacta de la petición: determina si los fondos podían bloquearse todavía.
6. No borre ni «limpie» nadaNo elimine correos, conversaciones, perfiles ni archivos, aunque resulten desagradables. Tampoco reinstale equipos. Todo ello es prueba y su desaparición juega en su contra.
7. Capture con fecha, hora y contexto visibleLas capturas de pantalla deben mostrar la dirección completa (URL), el remitente, la fecha y la hora del dispositivo. Una captura recortada sin contexto tiene escaso valor probatorio.
8. Calcule el hash de cada archivo que entregueUn hash SHA-256 acredita que el archivo no se ha modificado desde que lo obtuvo. En Windows: «certutil -hashfile ARCHIVO SHA256». En macOS o Linux: «shasum -a 256 ARCHIVO». Anote el resultado en el propio escrito.
9. Entregue copia, nunca el originalAporte una copia en un soporte que pueda dejar en la dependencia policial o judicial (un USB barato). Conserve usted el original intacto.
10. Anote la cronología mientras la recuerdeFecha y hora de cada hecho, de cada llamada y de cada gestión, con el nombre de quien le atendió y el número de referencia que le dieron. Esta bitácora es, a efectos prácticos, prueba.
11. Valore el sellado de tiempo o el acta notarialSi el contenido puede desaparecer (una publicación, un perfil, una web), un acta notarial o un servicio de sellado de tiempo cualificado fija su existencia en una fecha concreta. Es la forma más sólida de evitar la discusión sobre la autenticidad.

Preguntas frecuentes