Qué procedimiento utilizar ante un correo de un supuesto directivo
Si un correo de un supuesto directivo pide pagar, enviar información o saltarte un control, detén la ejecución y verifica la instrucción mediante un contacto previamente fiable.
Equipo enginerIT· 2 min de lectura
Si un correo de un supuesto directivo pide pagar, enviar información o saltarte un control, detén la ejecución y verifica la instrucción mediante un contacto previamente fiable. El cargo aparente no sustituye la autorización de negocio. El procedimiento debe permitir a cualquier empleado cuestionar una petición sin tener que acusar a su jefe de fraude.
Identifica lo que realmente te están pidiendo
Resume la acción, destinatario, importe o información y plazo. Distingue una consulta de una orden de pago, una petición de credenciales o el envío de documentos. No abras adjuntos para resolver dudas sobre la identidad. Comprueba la dirección completa y los cambios de conversación, pero no conviertas esa inspección en una aprobación: incluso un buzón auténtico puede usarse indebidamente.
Devuelve el contacto por una ruta conocida
Utiliza el teléfono del directorio o el canal de confirmación acordado antes del correo. No respondas al mismo hilo ni uses el número incorporado en la petición como única comprobación. Pregunta por la operación concreta y registra el resultado. El Banco de España describe cómo la autoridad, la urgencia y el secreto favorecen este fraude; un procedimiento útil elimina la presión de decidir a solas.
Mantén los controles aunque se confirme la identidad
Que el directivo haya enviado el correo no concede acceso a cualquier dato ni autoriza una excepción a finanzas. Aplica límites de firma, validación de beneficiario y revisión adicional establecidos por la empresa. Si pide datos personales o secretos, deriva al responsable del proceso antes de enviarlos. Cuando no puedas confirmar la instrucción, deja la operación pendiente y escala por la ruta prevista para ausencias.
Registra y comunica sin propagar el mensaje
Si hay contradicciones, conserva el original mediante el canal seguro y avisa a seguridad y al responsable del pago o la información. No distribuyas el adjunto entre compañeros para que opinen. Si ya hubo transferencia, contacta inmediatamente con el banco por su canal oficial y activa la respuesta interna; no prometas que podrá recuperarse. Después ensaya una petición legítima urgente: el control debe funcionar también cuando el remitente real es una persona con autoridad y poca disponibilidad.
Comprobaciones para cerrar la tarea
- ✓ Existe una ruta de confirmación ajena al mensaje recibido.
- ✓ La identidad confirmada no elimina límites ni aprobaciones del proceso.
- ✓ Hay escalado para ausencia del directivo y para operaciones ya ejecutadas.
Fuentes y documentación
- Banco de España · Estafa del CEO — Verificación de cambios bancarios, protocolos internos y formación frente a suplantación.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →