13 de julio de 2026

Correos y facturas falsas hechas con IA: así es el fraude del CEO en 2026

Hasta hace poco, un correo de estafa se delataba solo: faltas de ortografía, frases raras, un "Estimado cliente" demasiado genérico. Ese filtro ya no sirve. Con IA, cualquiera puede escribir un correo impecable en catalán o castellano, con el tono exacto de un proveedor real, en treinta segundos. La buena noticia es que el fraude sigue teniendo patrones reconocibles — solo hay que saber dónde mirar.

El "fraude del CEO", versión 2026

El montaje es siempre una variante del mismo esquema: alguien se hace pasar por un cargo directivo, un proveedor habitual o una gestoría, y pide un pago urgente o un cambio de cuenta bancaria. Antes hacía falta cierta destreza para redactarlo de forma creíble. Ahora una herramienta de IA genera el correo, imita el estilo de escritura de quien se suplanta y, si hace falta, incluso responde preguntas de seguimiento con naturalidad. El lenguaje ha dejado de ser la señal de alarma.

Qué mirar ahora (porque el texto ya no delata nada)

La dirección del remitente, letra por letra. No basta con mirar el nombre que aparece ("Joan Pujol, Gestoría X"): hay que abrir o pasar el cursor por encima de la dirección real. Los fraudes mejor hechos usan dominios casi idénticos a los originales: una letra cambiada, un guion añadido, una extensión distinta (.es en lugar de .cat, por ejemplo). A simple vista, en la pantalla de un móvil, estos cambios pasan desapercibidos.

Cualquier cambio de cuenta bancaria. Ningún proveedor serio cambia el número de cuenta por correo sin aviso previo. Si llega una factura con un IBAN distinto del habitual —aunque el resto del documento sea idéntico al de siempre—, es la señal más fiable de que algo no cuadra.

Prisa y secretismo. "Necesito que lo cierres hoy" o "no lo comentes con nadie más de la oficina" son tácticas clásicas de ingeniería social, y la IA no las ha cambiado: solo las ha hecho sonar más naturales. Cualquier mensaje que combine urgencia con petición de discreción merece una pausa, no una acción inmediata.

La regla que vale más que cualquier detector

Ante una factura u orden de pago sospechosa, hay una sola regla que funciona siempre: verificar llamando al número de toda la vida, no al que aparece en el correo ni al pie de firma del mensaje. Si el "proveedor habitual" pide un pago urgente, se llama al contacto que ya se tiene guardado desde hace tiempo y se confirma de viva voz. Esa llamada de treinta segundos es, hoy, la defensa más eficaz que existe contra el fraude con IA — más que cualquier antivirus o filtro de correo.

Un ejemplo (ilustrativo): la gestoría de Sabadell

Imaginemos una gestoría de Sabadell que recibe un correo, aparentemente de un cliente habitual, pidiendo que se modifique la cuenta bancaria donde se giran los recibos trimestrales. El texto es perfecto, el logotipo correcto, incluso hace referencia a una reunión real que habían tenido semanas antes. Una administrativa, siguiendo el protocolo interno, llama al cliente al teléfono que tienen guardado de siempre — no al que consta en el correo. El cliente no ha enviado ningún mensaje así. La cuenta de destino es fraudulenta. Los treinta segundos de llamada evitan un ingreso directo a la cuenta de un estafador. Es un escenario ficticio, pero refleja el patrón real del "fraude del CEO" que alertan los Mossos d'Esquadra y que, según datos del sector, ya afecta a casi una de cada cuatro empresas españolas.

Qué puede hacer una pyme, en la práctica

No hace falta ninguna herramienta cara ni compleja para protegerse. Basta con un protocolo sencillo y conocido por todo el equipo: ningún cambio de cuenta bancaria ni pago urgente se tramita sin una verificación telefónica al número habitual. Vale la pena escribirlo en una frase y colgarla cerca de quien gestiona los pagos. Es el tipo de medida que cuesta cero y que evita el disgusto más caro.