Ciberseguridad financiera para empresas: Cómo prevenir el fraude del CEO (Business Email Compromise) y la suplantación de proveedores
El fraude del CEO y la suplantación de proveedores son amenazas crecientes para las empresas peruanas. Conozca controles internos, procedimientos de validación y buenas prácticas de ciberseguridad financiera para prevenir transferencias fraudulentas y proteger su tesorería.
¿Qué es el fraude del CEO y por qué representa un riesgo financiero crítico?
La ciberseguridad financiera ya no es un tema exclusivo del área de sistemas. Hoy constituye un componente esencial del control interno, de la gestión de tesorería y de la prevención de pérdidas económicas en empresas de todos los tamaños. Entre las amenazas más costosas y difíciles de detectar se encuentran el fraude del CEO, también conocido como Business Email Compromise (BEC), y la suplantación de proveedores.
En ambos casos, el atacante no necesariamente vulnera primero los sistemas con malware sofisticado. Muchas veces utiliza ingeniería social, correos electrónicos falsificados, dominios muy similares al real, cuentas comprometidas o instrucciones de pago aparentemente legítimas para convencer al personal de finanzas, contabilidad, tesorería o gerencia de realizar una transferencia a una cuenta fraudulenta.
El impacto puede ser severo: pérdida directa de fondos, afectación del flujo de caja, contingencias con proveedores reales, debilidades de control interno, observaciones de auditoría e incluso responsabilidad de la administración por no haber implementado controles razonables.
En el contexto peruano, este riesgo se incrementa cuando las empresas operan con aprobaciones urgentes por WhatsApp, cambios de cuentas bancarias por correo sin validación independiente, accesos compartidos al correo corporativo o ausencia de políticas formales para pagos extraordinarios.
¿En qué consiste el Business Email Compromise (BEC)?
El BEC es un esquema de fraude en el que un delincuente suplanta o compromete la cuenta de correo de un directivo, gerente general, accionista, proveedor o colaborador clave para inducir a un pago indebido.
Modalidades más comunes
| Modalidad | Cómo opera | Señal de alerta |
|---|---|---|
| Fraude del CEO | El atacante se hace pasar por el gerente general o director y ordena una transferencia urgente y confidencial. | Presión por rapidez, reserva excesiva y salto de procedimientos. |
| Suplantación de proveedor | Se informa un supuesto cambio de cuenta bancaria para futuros pagos. | Correo con nuevo CCI sin carta formal ni validación telefónica. |
| Compromiso de cuenta real | El atacante accede al correo legítimo de un ejecutivo o proveedor y envía instrucciones auténticamente aparentes. | Hilos reales, pero con pedidos inusuales o cambios de última hora. |
| Fraude en facturas | Se envía una factura alterada o con datos bancarios modificados. | Diferencias en formato, RUC, cuenta o redacción. |
¿Cómo se produce la suplantación de proveedores?
La suplantación de proveedores suele iniciar con la obtención de información pública o interna: nombre del proveedor, monto pendiente de pago, responsable de cuentas por pagar, frecuencia de facturación y banco habitual. Con esos datos, el atacante envía un mensaje indicando que, por “auditoría”, “cambio de banco”, “reestructuración financiera” o “actualización administrativa”, los pagos deberán realizarse a una nueva cuenta.
Si el área de tesorería no cuenta con un procedimiento de verificación independiente, el pago puede ejecutarse sin detectar el fraude hasta que el proveedor real reclame la factura impaga.
Señales de alerta frecuentes
- Correos con dominios parecidos al original, por ejemplo, .com en lugar de .com.pe.
- Solicitud de confidencialidad o urgencia inusual.
- Cambio de cuenta bancaria sin sustento documental suficiente.
- Errores menores de redacción en correos supuestamente habituales.
- Instrucciones para evitar llamadas o validaciones.
- Facturas reenviadas fuera del canal acostumbrado.
Impacto en el control interno y en la auditoría financiera
Desde la perspectiva de auditoría, estos fraudes revelan fallas en componentes centrales del control interno: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y monitoreo.
La NIA 240 - Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude exige considerar riesgos de fraude, mientras que la NIA 315 (Revisada 2019) - Identificación y valoración de los riesgos de incorrección material requiere comprender el sistema de control interno de la entidad y sus riesgos relevantes. Asimismo, la NIA 330 - Respuestas del auditor a los riesgos valorados orienta la respuesta frente a riesgos identificados.
Si una empresa carece de controles sobre cambios de cuentas bancarias, validación de instrucciones de pago y segregación de funciones, el riesgo de pérdida por fraude y de incorrecciones en los estados financieros aumenta significativamente.
Marco legal y responsabilidades en Perú
En el ámbito peruano, aunque el fraude del CEO no está regulado en una sola norma específica empresarial, sí existen obligaciones generales de diligencia y control. La Ley General de Sociedades, Ley N.° 26887, establece en su artículo 171 que los directores deben desempeñar el cargo con la diligencia de un ordenado comerciante y de un representante leal. A su vez, el artículo 177 regula la responsabilidad de los directores por daños y perjuicios derivados de acuerdos o actos contrarios a la ley, al estatuto o realizados con dolo, abuso de facultades o negligencia grave.
En materia penal, cuando corresponda, pueden configurarse delitos vinculados a fraude informático, estafa o suplantación, según los hechos del caso. Además, si el incidente compromete datos personales, debe evaluarse el cumplimiento de la Ley N.° 29733, Ley de Protección de Datos Personales, especialmente respecto del deber de adoptar medidas de seguridad para su tratamiento.
Desde la gestión tributaria y documental, un pago fraudulento también puede generar contingencias por sustentación deficiente del gasto, conciliaciones bancarias no aclaradas y reclamos contractuales con proveedores.
Principales debilidades que facilitan estos fraudes
1. Ausencia de doble validación para cambios de cuentas bancarias
Si basta un correo electrónico para modificar el registro maestro de proveedores, el riesgo es alto. Todo cambio debe validarse por un canal independiente.
2. Exceso de confianza en instrucciones de alta gerencia
En muchas empresas peruanas, el personal evita cuestionar pedidos del gerente general por temor a retrasar una operación. Ese factor cultural es explotado por los atacantes.
3. Falta de segregación de funciones
Cuando una sola persona puede crear proveedores, modificar cuentas y ejecutar pagos, el control es claramente insuficiente.
4. Deficiente seguridad del correo corporativo
Sin autenticación multifactor, políticas de contraseñas robustas y monitoreo de accesos, una cuenta puede ser comprometida con relativa facilidad.
5. Procedimientos informales de tesorería
Las aprobaciones por llamadas no registradas, mensajes de WhatsApp o capturas de pantalla sin trazabilidad debilitan la evidencia y facilitan el fraude.
Controles internos para prevenir el fraude del CEO y la suplantación de proveedores
Política formal de validación de instrucciones de pago
La empresa debe contar con una política escrita que establezca que ningún cambio de cuenta bancaria, pago extraordinario o transferencia urgente podrá ejecutarse sin validación previa por un segundo canal independiente.
Ese segundo canal puede ser una llamada telefónica a un número previamente registrado en la ficha del proveedor, no al número consignado en el correo sospechoso.
Segregación de funciones
| Proceso | Responsable 1 | Responsable 2 | Control clave |
|---|---|---|---|
| Alta de proveedor | Logística / Compras | Contabilidad | Validación de RUC, contrato y cuenta bancaria. |
| Cambio de cuenta bancaria | Cuentas por pagar | Tesorería / Jefatura | Confirmación por canal independiente y evidencia archivada. |
| Aprobación de pago | Área solicitante | Gerencia / Tesorería | Doble aprobación según monto. |
| Ejecución de transferencia | Tesorería | Apoderado / segundo autorizante | Token o firma mancomunada. |
Autenticación multifactor y seguridad del correo
La implementación de autenticación multifactor (MFA) en correos corporativos y banca electrónica reduce significativamente el riesgo de compromiso de cuentas. También es recomendable configurar alertas por inicios de sesión inusuales, reglas de reenvío automático y accesos desde ubicaciones atípicas.
Procedimiento de “call back” obligatorio
Ante cualquier solicitud de pago urgente o cambio de cuenta, debe aplicarse un call back: una llamada de verificación al ejecutivo o proveedor usando datos ya registrados en el maestro de terceros.
Lista de palabras y escenarios de alerta
Mensajes con frases como “urgente”, “confidencial”, “no llames”, “se debe pagar hoy”, “estoy en reunión”, “usa esta nueva cuenta” deben disparar una alerta de revisión reforzada.
Bloqueo de cambios sin sustento documental
Todo cambio de cuenta debe acompañarse, como mínimo, de:
- Carta membretada del proveedor.
- Confirmación del representante o contacto autorizado.
- Copia de vigencia o respaldo contractual cuando aplique.
- Constancia bancaria o documento que acredite titularidad de la cuenta.
Protocolo recomendado para cambios de cuenta de proveedores
- Recepción formal de la solicitud por canal autorizado.
- Verificación del dominio del correo y del historial del proveedor.
- Revisión documental de carta, cuenta y datos del titular.
- Llamada al contacto registrado previamente en el maestro.
- Aprobación de jefatura distinta al ejecutor del pago.
- Actualización del maestro con trazabilidad de usuario, fecha y evidencia.
- Aplicación de pago de prueba o validación reforzada si el monto es significativo.
Ejemplo práctico
Una empresa comercial en Lima debía pagar S/ 185,000 a un proveedor habitual de equipos. Dos días antes del vencimiento, cuentas por pagar recibió un correo indicando que, por “cambio de entidad financiera”, el depósito debía realizarse a una nueva cuenta. El mensaje incluía logo, firma y tono similares a los del proveedor real.
Sin embargo, el analista notó que el dominio del remitente terminaba en .net en lugar de .com.pe. Aplicó el procedimiento de call back al número registrado en el maestro y confirmó que el proveedor no había solicitado ningún cambio. La empresa evitó una pérdida de S/ 185,000 gracias a un control sencillo pero efectivo.
Si ese procedimiento no existía, el pago probablemente habría sido ejecutado, generando además un conflicto comercial por la factura aún pendiente con el proveedor legítimo.
Cómo responder si el fraude ya ocurrió
La velocidad de respuesta es decisiva. Si la empresa detecta que realizó una transferencia fraudulenta, debe activar de inmediato un protocolo de contingencia.
Acciones inmediatas
- Contactar al banco para solicitar bloqueo, reversa o trazabilidad de la operación.
- Notificar a la gerencia general, tesorería, auditoría interna y asesoría legal.
- Preservar evidencias: correos, encabezados, vouchers, registros de llamadas, IP y accesos.
- Cambiar credenciales comprometidas y activar MFA si no estaba implementado.
- Revisar reglas de buzón, reenvíos automáticos y accesos no autorizados.
- Comunicar al proveedor real si su identidad fue suplantada.
- Evaluar la denuncia correspondiente ante las autoridades competentes.
Evaluación posterior al incidente
Luego del evento, la empresa debe realizar un análisis de causa raíz: ¿falló la validación documental?, ¿hubo compromiso de correo?, ¿existían accesos compartidos?, ¿el proceso permitía saltar aprobaciones? Esta revisión debe traducirse en mejoras concretas del control interno.
Indicadores de control para monitorear este riesgo
| Indicador | Objetivo | Frecuencia |
|---|---|---|
| Número de solicitudes de cambio de cuenta rechazadas o observadas | Detectar intentos de fraude o debilidades documentarias | Mensual |
| Porcentaje de pagos con doble aprobación | Verificar cumplimiento del flujo de autorizaciones | Mensual |
| Número de accesos inusuales al correo corporativo | Identificar compromiso de cuentas | Semanal |
| Tiempo de validación de cambios bancarios | Equilibrar control y eficiencia operativa | Mensual |
| Incidentes reportados por phishing o correos sospechosos | Medir cultura de alerta del personal | Mensual |
Buenas prácticas para empresas peruanas de menor tamaño
No todas las empresas cuentan con un equipo de ciberseguridad o auditoría interna. Aun así, pueden implementar medidas de alto impacto y costo razonable:
- Usar correos corporativos propios y evitar aprobaciones desde cuentas personales.
- Activar MFA en correo y banca electrónica.
- Establecer topes de aprobación según monto, por ejemplo, pagos mayores a S/ 20,000 con doble autorización.
- Prohibir cambios de cuenta por WhatsApp o llamadas no documentadas.
- Mantener un maestro de proveedores actualizado con teléfonos verificados.
- Capacitar trimestralmente a tesorería, contabilidad y gerencia.
- Realizar revisiones periódicas del log de cambios en proveedores.
Relación con la auditoría interna y externa
La prevención del BEC no debe verse solo como un asunto tecnológico. Es una materia de gobierno corporativo, gestión de riesgos y control interno. La auditoría interna puede evaluar el diseño y funcionamiento de controles sobre tesorería, banca electrónica, altas de proveedores y seguridad del correo.
Por su parte, la auditoría externa considerará estos riesgos dentro de su entendimiento del entorno de control y de los procesos relevantes para la información financiera, especialmente cuando existan pagos significativos, operaciones descentralizadas o antecedentes de incidentes.
Checklist de prevención para tesorería y cuentas por pagar
- ¿Se valida todo cambio de cuenta mediante llamada a un número previamente registrado?
- ¿Existe evidencia archivada de la validación?
- ¿Los pagos superiores a cierto umbral requieren doble aprobación?
- ¿El correo corporativo tiene MFA habilitado?
- ¿Se revisan dominios y direcciones completas antes de procesar instrucciones?
- ¿Existe segregación entre quien registra, aprueba y paga?
- ¿Se monitorean cambios en el maestro de proveedores?
- ¿El personal sabe identificar señales de phishing y suplantación?
Ejemplo práctico
Una ONG con operaciones en varias regiones del Perú recibió un correo supuestamente enviado por su director ejecutivo solicitando una transferencia “reservada” de S/ 48,000 para asegurar la compra urgente de equipos de campo. El mensaje pedía no involucrar a otros colaboradores por tratarse de una negociación sensible.
El asistente administrativo estuvo a punto de ejecutar el pago, pero el manual interno exigía confirmar toda instrucción extraordinaria de gerencia mediante llamada de voz o videollamada. Al contactar al director, este negó haber enviado el correo. La revisión posterior mostró que el atacante había registrado un dominio muy similar al institucional.
El caso demostró que, incluso sin una infraestructura tecnológica compleja, una política clara y una cultura de verificación pueden evitar pérdidas relevantes.
Conclusión
El fraude del CEO (Business Email Compromise) y la suplantación de proveedores son riesgos reales, frecuentes y potencialmente muy costosos para las empresas peruanas. La mejor defensa no depende solo de software, sino de una combinación de controles internos bien diseñados, procedimientos de validación independientes, segregación de funciones, seguridad del correo corporativo y capacitación continua.
En la práctica, controles simples como el call back, la doble aprobación y la prohibición de cambiar cuentas bancarias solo por correo pueden marcar la diferencia entre una operación segura y una pérdida de miles de soles. Desde una perspectiva de auditoría, estas medidas fortalecen la confiabilidad del proceso de pagos, reducen observaciones de control interno y protegen el patrimonio empresarial.
Si su empresa necesita evaluar sus procesos de tesorería, pagos a proveedores, banca electrónica o matrices de riesgo de fraude, puede escribirnos a auditor@carloslingan.pe para recibir asesoría especializada.
Carlos Lingan & Asociados S.C. • Charlie Lingán (Auditor)
Firma peruana de auditoría financiera, asesoría tributaria SUNAT, NIIF/NIAs y auditoría de ONGs fundada en 1978 (+45 años de trayectoria).
