¿Sabía que los ciberdelincuentes también apuntan a los directivos y altos cargos de empresas? Este tipo de estafa se conoce como whaling, un phishing altamente dirigido que busca engañar a ejecutivos para robar datos confidenciales, desviar fondos o comprometer la seguridad de toda una organización. El término proviene del inglés “whale” (ballena) porque los atacantes persiguen a grandes objetivos, es decir, personas con acceso a información crítica y capacidad de autorizar transferencias millonarias.
En este artículo, como abogados especializados en fraudes online, le explicamos cómo funciona el whaling, cómo reconocerlo, qué hacer si su empresa es víctima y cómo protegerse para evitar pérdidas económicas y de reputación.
¿Qué es el whaling y cómo funciona?
El whaling es una variante de phishing extremadamente dirigida a altos ejecutivos (CEO, CFO, directores generales…) con el objetivo de engañarlos mediante correos electrónicos personalizados y cuidadosamente redactados. A menudo, los atacantes realizan un estudio previo de la víctima a través de LinkedIn, noticias, redes sociales corporativas y otras fuentes públicas para conocer datos como su puesto, contactos clave, hábitos o estilo de comunicación.
Con esa información, crean correos que parecen provenir de socios, asesores legales o incluso otros directivos de la propia compañía, solicitando transferencias urgentes o acceso a datos confidenciales.
Ejemplo práctico de whaling en una empresa española
Un CFO de una pyme recibe un correo que simula venir del CEO de la empresa, con un mensaje urgente: “Necesito que realices una transferencia de 85.000 € a esta cuenta de un proveedor para cerrar un contrato importante”. El tono, el formato y hasta la firma coinciden con los correos internos habituales, pero el correo ha sido falsificado tras estudiar a ambos directivos en LinkedIn y la web corporativa. Tras realizar el pago, el dinero desaparece en una cuenta en el extranjero y no hay forma de recuperarlo.
Casos como este han ocurrido en España en empresas de todos los tamaños, ya que el whaling no solo afecta a grandes multinacionales.
Cómo detectar un ataque de whaling
Algunos indicios que deben alertar a un directivo o responsable de área:
- Solicitudes de transferencias inusuales que no siguen el procedimiento habitual de la empresa.
- Mensajes con tono de urgencia o presión para realizar una acción rápida.
- Correos enviados desde direcciones que parecen legítimas pero tienen ligeras variaciones (por ejemplo, ceo@empresaa.com en lugar de ceo@empresa.com).
- Faltas de ortografía o expresiones que no coinciden con el estilo de comunicación interno.
Qué hacer si detecta un intento de whaling o ha sido víctima
- No realice ninguna acción hasta confirmar la solicitud con la persona que supuestamente la envía, preferiblemente por teléfono o en persona.
- Si se detecta tras la transferencia, contacte de inmediato con el banco para intentar cancelar la operación.
- Informe al departamento de TI y a la dirección para analizar el alcance del ataque.
- Conserve todos los correos y registros relacionados como pruebas.
- Presente denuncia ante la Policía Nacional o Guardia Civil.
- Consulte a un abogado especializado para valorar posibles acciones legales y responsabilidades.
Cómo proteger a su empresa del whaling
- Implante protocolos internos para autorizar transferencias: por ejemplo, requerir la aprobación de dos personas.
- Forme a todos los empleados, especialmente a directivos y responsables financieros, en ciberseguridad y detección de fraudes.
- Use filtros antiphishing en el correo corporativo para bloquear mensajes sospechosos.
- Revise periódicamente las redes sociales corporativas para evitar exponer datos que puedan ser usados para ataques dirigidos.
- Implemente sistemas de doble verificación en procesos críticos como pagos o acceso a información confidencial.
Aspecto legal del whaling en España
El whaling se considera estafa agravada cuando afecta a empresas y puede conllevar penas de prisión para los autores. Además, si se compromete información de clientes, podría derivar en sanciones por incumplimiento del RGPD, con multas de hasta 20 millones de euros o el 4% de la facturación anual.
Desde nuestro despacho especializado, recomendamos tomar medidas proactivas para reforzar la seguridad de su empresa, ya que la prevención sigue siendo la mejor forma de evitar los daños económicos y de reputación que provoca el whaling.
Si su empresa ha sufrido un ataque de este tipo o quiere mejorar sus protocolos de seguridad, nuestro equipo está disponible para asesorarle legal y técnicamente.
