Saltar al generador
Doble Llave

Fraude del CEO · Cambio de IBAN · Voz clonada

El protocolo antifraude de tu pyme, en un folio.

Si haces los pagos en una pyme, rellena seis campos y llévate un A4 con tus reglas, tus teléfonos y qué hacer si ya se ha pagado.

Revisado 13/10/2026 · Fuentes: INCIBE, Europol

¿Ya has pagado a un estafador? Qué hacer ahora

Tal como quieres que aparezca en el encabezado del folio.
Una por línea, con su cargo. Al menos dos: si solo hay una, añade un socio o tu gestoría.
Cópialos de tu agenda o de facturas antiguas, nunca de un mensaje reciente.
Si lo dejas vacío: todo pago fuera de calendario.
El de la web oficial o la aplicación del banco.
Que no esté en internet. Acordad la respuesta en persona y no la escribas aquí.
Gratis y sin registro. Tus datos no salen de tu navegador.

Protocolo antifraude de pagos · La empresa

Vigente desde el 18/10/2026 · Próxima revisión: 01/01/2027 · Junto a quien hace los pagos

  1. Regla 1

    Ningún pago ni cambio de cuenta por un solo mensaje o una sola llamada.

    Un correo, un Teams, un WhatsApp, un SMS o una llamada no bastan, aunque parezcan de la dirección o de un proveedor. Las voces se pueden clonar con un audio corto y las firmas se pueden falsificar.

    Fuentes: INCIBE · INCIBE, caso Teams · ESET

  2. Regla 2

    Verificar siempre por otro canal, con un teléfono ya guardado.

    Se llama a la persona o al proveedor a un número de la lista de abajo o del registro de proveedores, nunca al que aparece en el mensaje. Se anota quién confirmó, cuándo y por qué canal.

    Fuente: BBVA y Banco de España

  3. Regla 3

    Dos personas para los pagos de cualquier importe fuera del calendario habitual.

    Quien recibe la petición no la aprueba sola: hace falta la segunda llave, de otra persona autorizada. Lo mismo vale para cualquier cambio de datos bancarios de un proveedor.

    Buena práctica · Fuente: BBVA y Banco de España

  4. Regla 4

    Pregunta de verificación.

    Ante una petición fuera de lo normal de alguien de la empresa, se hace la pregunta acordada en persona. La respuesta no se escribe en ningún sitio y no está en internet ni en redes. Si no la sabe, se cuelga y se llama al número guardado.

    Fuente: Hard2bit (caso Ferrari)

  5. Regla 5

    Señales de alarma: parar y verificar.

    Urgencia. Confidencialidad («no se lo digas a nadie»). Directivo ilocalizable. Cambio de cuenta de un proveedor. Canal o número nuevos. Horario poco habitual. Presión emocional.

    Fuente: INCIBE

Si ya se ha pagado: los primeros 30 minutos

  1. Llamar de inmediato al banco para intentar retener o anular la transferencia.
  2. Guardar las pruebas: mensajes, correos con sus cabeceras, audios, números y justificantes.
  3. Avisar a la dirección y a la persona suplantada por un canal seguro.
  4. Denunciar ante la Policía Nacional o la Guardia Civil.
  5. Si el banco no responde, reclamar ante el Banco de España.
  6. Pedir ayuda gratuita a la Línea de Ayuda en Ciberseguridad de INCIBE: 017.

Fuente: INCIBE, caso de voz clonada

Teléfonos de verificación

Apunta aquí a mano los de la dirección, el banco y los proveedores habituales. Cópialos de la agenda o de facturas antiguas, nunca de un mensaje reciente.

Mantenimiento

  • Revisar cada trimestre la lista de teléfonos y la de personas autorizadas.
  • Avisar al proveedor cuando se le paga, para que detecte los pagos que no esperaba.
  • Hacer un simulacro de 10 minutos con una petición falsa de la dirección (buena práctica).

Fuente: Europol

Leído y acordado por:

Nombre y firma
Nombre y firma

Fecha: ____ / ____ / ______

Protocolo orientativo generado con Doble Llave (ciertaia.com). No sustituye el asesoramiento de seguridad ni garantiza evitar un fraude.

Cómo funciona

  1. Rellena tus datos.

    Las personas que aprueban, el importe y los teléfonos que ya tienes guardados. Se quedan en tu navegador.

  2. Genera e imprime el folio.

    Sale en un A4 con tus reglas, tus teléfonos y qué hacer si ya se ha pagado. También puedes guardarlo en PDF.

  3. Acordadlo en persona.

    Fijad la respuesta a la pregunta de verificación sin escribirla, dejad el folio junto a quien paga y revisadlo cada trimestre.

Por qué hace falta un protocolo escrito

En el fraude del CEO, alguien que puede hacer pagos recibe una orden urgente y confidencial que parece de la dirección. Los atacantes eligen el momento en que el directivo no está localizable. INCIBE señala que las pymes son especialmente vulnerables porque no tienen protocolos de verificación (INCIBE (se abre en otra pestaña)).

La orden ya no llega solo por correo:

Basta un audio corto para clonar una voz (ESET (se abre en otra pestaña)).

Leer la guía de las tres estafasVer el pack para formar al equipo

De dónde sale cada regla

Cada regla del folio enlaza su fuente. Lo que es criterio propio aparece como «buena práctica».

Fuentes oficiales

Otras fuentes

Revisamos las fuentes cada trimestre. Última revisión: 13/10/2026.

Quién hace Doble Llave

Doble Llave es una herramienta independiente y gratuita. Es una marca editorial sin cara visible: en lugar de un experto con nombre, te ofrece un método que puedes comprobar.

Fuentes a la vista
Cada regla enlaza la fuente en la que se apoya; las principales son INCIBE y Europol. Lo que es criterio propio aparece como «buena práctica».
Revisión trimestral
Revisamos las reglas y las fuentes cada trimestre. Última revisión: 13/10/2026.
Qué no hace
No vende seguridad ni recoge tus datos. No es INCIBE, ni un banco, ni la Policía.
Cómo se financia
El generador es gratis y lo seguirá siendo. Preparamos un pack opcional para equipos, con lista de espera abierta. Ahora no se vende ni se cobra nada.

Aviso legal · Titular: Juan José Gómez Andreu · hola@ciertaia.com.

Preguntas frecuentes

¿Qué es el fraude del CEO?

Es una estafa en la que alguien se hace pasar por la dirección y pide a quien puede pagar una transferencia urgente y confidencial. Los atacantes eligen cuándo el directivo no está localizable para que nadie pueda comprobarlo. INCIBE avisa de que las pymes son especialmente vulnerables por no tener protocolos de verificación (INCIBE (se abre en otra pestaña)).

Un proveedor me pide pagar a una cuenta nueva. ¿Cómo lo compruebo?

No contestes al correo ni llames al teléfono que aparece en él. Llama al número del proveedor que ya tenías guardado y confirma el cambio con él. Si el importe es relevante, que lo revise una segunda persona, y anota quién lo confirmó y cuándo (BBVA y Banco de España (se abre en otra pestaña)).

¿Pueden clonar la voz de mi jefe por teléfono?

Sí: basta un audio corto para clonar una voz de forma convincente (ESET (se abre en otra pestaña)), e INCIBE documenta un caso real en España (INCIBE (se abre en otra pestaña)). Si la llamada pide algo fuera de lo normal, haz la pregunta acordada. Si no sabe responder, cuelga y llama tú al número guardado.

¿Cómo distingo un mensaje falso de uno auténtico?

No por cómo está escrito: puede parecer perfecto. INCIBE recoge un caso por Teams con firmas falsificadas (INCIBE (se abre en otra pestaña)). Desconfía de la urgencia, de la confidencialidad y de los cambios de cuenta, y verifica siempre por otro canal.

Ya hemos pagado a un estafador. ¿Qué hacemos ahora?
  1. Llama de inmediato a tu banco para intentar retener o anular la transferencia.
  2. Guarda las pruebas y denuncia ante la Policía Nacional o la Guardia Civil.
  3. Si el banco no responde, reclama ante el Banco de España.
  4. Pide ayuda gratuita a la Línea de Ayuda en Ciberseguridad de INCIBE: 017 (INCIBE (se abre en otra pestaña)).
¿Qué importe pongo para la doble aprobación?

No hay una cifra oficial: depende de tus pagos. Una referencia práctica es un importe por encima de tus pagos rutinarios, para que la segunda firma solo salte en lo que no es habitual. Si lo dejas vacío, se aplica a todo pago fuera del calendario.

¿Enviáis mis datos a algún sitio?

No. El protocolo se genera en tu navegador y los nombres, teléfonos e importes no salen de tu equipo. No usamos cookies y no hace falta registrarse.

Doble Llave es una herramienta orientativa e independiente. No es INCIBE, ni un banco, ni un servicio de seguridad, y no es asesoramiento profesional. Te ayuda a escribir cómo se aprueban los pagos en tu empresa, pero no garantiza evitar un fraude. Fuentes enlazadas en cada regla. Revisado el 13/10/2026.