8 ejemplos de fraude por parte de directores generales: casos reales, los correos electrónicos que los respaldan y cómo evitarlos

En resumen: el fraude del director general, también conocido como «compromiso del correo electrónico empresarial» (BEC), consiste en que un atacante se hace pasar por un alto cargo para conseguir que un empleado transfiera dinero o datos. Es, con diferencia, la forma más costosa de ciberdelito: el FBI registró unas pérdidas por BEC de unos 2.800 millones de dólares solo en 2025. Los ocho ejemplos que se muestran a continuación son reales, oscilan entre los 37 000 y los 70 millones de euros, y comparten un patrón común: autoridad, urgencia, confidencialidad y un empleado que no contestó al teléfono. Cada ejemplo muestra el mensaje que lo desencadenó; la sección final recoge las cinco reglas que habrían evitado todos y cada uno de ellos.

Cómo se manifiesta el fraude por parte de los directores generales

La versión clásica es un correo electrónico. «¿Estás en tu puesto? Necesito que te encargues hoy de un pago confidencial». También puede ser un mensaje de WhatsApp, una llamada telefónica con una voz clonada o una videollamada con un deepfake. La víctima suele ser alguien del departamento financiero, un asistente ejecutivo o alguien de Recursos Humanos o de Compras que pueda mover dinero o datos. Para conocer la definición y el aspecto legal, consulta qué es el fraude del director general; en cuanto al correo electrónico en sí, consulta el ejemplo 5 de nuestros ejemplos de correos electrónicos de phishing.

Los 8 ejemplos de fraude cometidos por directores generales

1. Pathé Países Bajos (2018): 19 millones de euros para una «adquisición confidencial»

Qué ocurrió: la filial neerlandesa de la cadena de cines Pathé recibió correos electrónicos que parecían proceder de la sede central francesa y que se referían a una adquisición confidencial en Dubái. A lo largo de varias semanas, el director general y el director financiero aprobaron transferencias por un importe total de unos 19,2 millones de euros. Ambos fueron despedidos; posteriormente, el tribunal dictaminó que el despido del director financiero era legal.

El mensaje: «Esto es estrictamente confidencial. No lo comentes con nadie de la organización. El primer pago debe transferirse hoy mismo».

Por qué funcionó: la cláusula de confidencialidad descartó a cualquier compañero que pudiera haber planteado alguna pregunta, y el acuerdo parecía algo que haría la sede central.

2. FACC (2016): 52 millones de euros y el despido del director general

Qué ocurrió: El proveedor aeroespacial austriaco FACC, que fabrica piezas para Airbus y Boeing, transfirió unos 52,8 millones de euros tras recibir correos electrónicos en los que alguien se hacía pasar por el director general en relación con un proyecto de adquisición. La empresa recuperó una pequeña parte del importe, el director general y el director financiero fueron despedidos, y el caso se convirtió en un referente europeo en cuanto a las consecuencias a nivel del consejo de administración.

El mensaje: una cadena de correos electrónicos procedente de una dirección muy parecida a la del director general, en la que se ordena al departamento de finanzas que realice pagos para un proyecto secreto.

Por qué funcionó: una serie de correos electrónicos verosímiles a lo largo del tiempo, no una única solicitud, y sin regla de devolución de llamada.

3. Crelan (2016): 70 millones de euros en un banco belga

Qué ocurrió: El banco belga Crelan sufrió una pérdida de unos 70 millones de euros a causa de un fraude cometido por su director general, descubierto durante una auditoría interna. El ataque se dirigió contra los empleados autorizados para realizar transferencias.

El mensaje: instrucciones atribuidas a la alta dirección para transferir fondos, con el habitual tono de confidencialidad.

Por qué funcionó: ni siquiera un banco, con controles diseñados para detectar el fraude externo, contaba con un paso de verificación para las instrucciones que parecían proceder del interior.

4. Ubiquiti Networks (2015): 46,7 millones de dólares a través de una filial

Qué ocurrió: el fabricante estadounidense de equipos de redes reveló que unos empleados de una filial en Hong Kong fueron engañados para que transfirieran 46,7 millones de dólares a cuentas en el extranjero tras recibir correos electrónicos en los que se suplantaba la identidad de directivos y abogados. Se recuperaron unos 8 millones de dólares.

El mensaje: solicitudes de «asesores jurídicos externos» y «el equipo directivo» para realizar transferencias bancarias urgentes relacionadas con una operación.

Por qué funcionó: los atacantes se centraron en una filial en la que el personal no conocía personalmente a los directivos.

5. Toyota Boshoku (2019): 37 millones de dólares en una sola transferencia

Qué ocurrió: la filial europea del proveedor de asientos e interiores de Toyota transfirió unos 4.000 millones de yenes (37 millones de dólares) después de que un tercero que se hacía pasar por un socio comercial modificara los datos del pago.

El mensaje: una solicitud convincente para realizar un pago a una nueva cuenta bancaria, en el marco de una relación comercial ya existente con un proveedor.

Por qué funcionó: la variante en la que se sustituye al «jefe» por un proveedor de confianza: la misma técnica, pero con un remitente diferente.

6. Arup (2024): la videollamada con deepfake de 25 millones de dólares

Lo que ocurrió: un empleado del departamento financiero de la oficina de Hong Kong de la empresa de ingeniería Arup participó en una videollamada con el «director financiero» y varios «compañeros de trabajo», todos ellos generados por IA, y realizó 15 transferencias por un importe total de 200 millones de dólares de Hong Kong (unos 25,6 millones de dólares).

El mensaje: un correo electrónico sobre una transacción confidencial, seguido de una invitación a una videollamada que disipó las dudas del empleado.

Por qué funcionó: se consideraron un rostro y una voz como prueba. Consulta la formación sobre concienciación en materia de deepfakes para conocer el protocolo de verificación que permite evitarlo.

7. Ferrari y WPP (2024): los intentos que fracasaron

Qué ocurrió: en Ferrari, un ejecutivo recibió mensajes de WhatsApp y una llamada con la voz clonada del director general, Benedetto Vigna, sobre una adquisición confidencial; le hizo una pregunta que solo el verdadero director general podía responder, y la persona que llamaba colgó. En el grupo publicitario WPP, los atacantes organizaron una reunión en Teams con una voz clonada e imágenes públicas del director general, Mark Read; la persona a la que iba dirigida la llamada empezó a sospechar y lo denunció.

Por qué fallaron: un empleado lo verificó y otro lo comunicó. Esa es toda la diferencia entre el ejemplo 6 y el ejemplo 7.

8. El caso de la pyme: 37 000 € en tarjetas regalo

Lo que ocurrió: la versión que viven en realidad la mayoría de las empresas. La responsable administrativa de una empresa de 60 empleados recibió un mensaje de WhatsApp del «director general»: estaba en una reunión, necesitaba tarjetas regalo para un cliente, que le enviara los códigos y que no dijera nada. Compró 37 000 € en tarjetas regalo a lo largo de dos días, hasta que un compañero le preguntó por qué. Este caso ficticio se basa en informes policiales y de aseguradoras; las cifras varían, pero el guion nunca cambia.

El mensaje: «¿Estás libre? Necesito que me hagas un favor rápido y voy a estar toda la tarde en reuniones».

Por qué funcionó: una petición pequeña y creíble de alguien a quien quieres ayudar, con una razón para no devolver la llamada.

Los ejemplos de un vistazo

El patrón en todos los casos

1. Autoridad: la petición proviene de alguien a quien no se cuestiona.
2. Urgencia: hoy, antes de que finalice el plazo, antes de que se cierre el acuerdo.
3. Confidencialidad: es confidencial, no lo comentes, que quede entre nosotros.
4. Motivos para no llamar: en reuniones, de viaje, en el extranjero, si la conexión es mala.
5. Un nuevo destino para el dinero: una nueva cuenta, un nuevo país, tarjetas regalo.

Si se dan dos de estos cinco elementos en un mismo mensaje, es una señal. Si se dan tres, se trata de un fraude por parte del director general hasta que se demuestre lo contrario.

Cinco reglas que habrían impedido las ocho

1. Cada orden de pago se verifica por teléfono a través de un número que ya figura en la agenda, nunca a través de un número que aparezca en el mensaje. No hay excepciones para los directivos; estos respaldan públicamente esta norma.
2. Se revisan dos veces todas las transferencias que superen un umbral determinado y todos los cambios en los datos bancarios. Una sola persona no puede autorizarlas; un segundo responsable de la aprobación plantea la pregunta que el primero no ha formulado.
3. Una palabra clave para las solicitudes urgentes entre los responsables, el departamento de finanzas y los asistentes, que nunca se escribe en el correo electrónico ni en el chat.
4. El secretismo es una señal de stop. «No se lo digas a nadie» significa que debes informar inmediatamente a tu jefe y al departamento de finanzas.
5. Forma y evalúa al personal con acceso a la gestión de fondos. Los departamentos de finanzas, secretaría, recursos humanos y compras reciben una simulación de phishing específica sobre este mismo escenario cada cuatro o seis semanas, además de tres minutos de formación en concienciación sobre seguridad a la semana. Ferrari y WPP se salvaron gracias a personal bien formado, no a la tecnología.

Qué hacer si ya ha ocurrido

• En menos de una hora: llama al servicio de fraude de tu banco para intentar anular la transacción; las posibilidades de recuperar el dinero disminuyen drásticamente tras 24 horas.
• El mismo día: presentar una denuncia ante la policía y, en caso de que se trate de datos personales, evaluar la obligación de notificación prevista en el RGPD.
• Esa misma semana: guarda los correos electrónicos y los encabezados, informa a tu aseguradora y comunica lo sucedido a toda la empresa sin culpar al empleado. El siguiente intento suele estar ya en la bandeja de entrada de alguien.

Preguntas más frecuentes

¿Cuál es un ejemplo de fraude cometido por un director general?

Un correo electrónico o mensaje que parece proceder del director general y en el que se pide a un empleado que realice un pago urgente y confidencial o que compre tarjetas regalo. El caso Pathé (19 millones de euros) y la variante de las tarjetas regalo (unos pocos miles de euros) son los dos extremos de la misma estafa.

¿Es frecuente el fraude por parte de los directores generales?

El suplantación de identidad en el correo electrónico empresarial fue la categoría más costosa en el informe sobre delitos en Internet del FBI por quinto año consecutivo en 2025, con unas pérdidas declaradas de unos 2.800 millones de dólares solo en Estados Unidos. La mayoría de los casos nunca se denuncian públicamente.

¿Puede producirse un fraude por parte del director general por teléfono o por videoconferencia?

Sí. Las voces clonadas y las videollamadas con deepfake (Arup, Ferrari, WPP) son las versiones de 2024. La norma de verificación es la misma: devolver la llamada a un número conocido.

¿Quién es responsable cuando el fraude cometido por el director general sale bien?

La empresa asume las pérdidas y los consejeros pueden sufrir consecuencias: en FACC y Pathé, se despidió a varios directivos. En virtud de la NIS2, la dirección es responsable de forma explícita de las medidas de ciberseguridad, incluida la formación.