Una nueva era en los ciberataques
Los ciberataques a empresas han experimentado un notable cambio en su naturaleza. Ya no se limitan a correos masivos con enlaces sospechosos; los delincuentes ahora realizan investigaciones exhaustivas sobre las organizaciones para hacerse pasar por CEOs o directivos. Su objetivo es ordenar transferencias, solicitar datos sensibles o acceder a sistemas internos de manera fraudulenta.
Qué es el «whaling»
Esta técnica, conocida como «whaling«, se encuadra dentro de los esquemas de fraude que se conocen como Business Email Compromise (BEC) y está en aumento en América Latina. Esto se debe en gran parte al uso de la inteligencia artificial y la disponibilidad de información corporativa en la esfera pública.
De acuerdo con un informe publicado por la empresa de ciberseguridad ESET, el 27% de las compañías de América Latina ha sufrido al menos un ciberataque en el último año. Además, la región ha concentrado cerca del 9% de los incidentes cibernéticos registrados a nivel global en 2025.
La evolución de los ataques
Según Pablo García, especialista en ciberseguridad de TIVIT, «estamos viendo una evolución clara: los ataques han dejado de ser masivos y se han vuelto selectivos. El ‘whaling’ es un ejemplo de cómo los delincuentes fijan su atención en ejecutivos para realizar transferencias o obtener accesos críticos».
Métodos de operación de los estafadores
Los ataques que imitan a los CEOs se diferencian del phishing convencional por su personalización. Los ciberdelincuentes llevan a cabo investigaciones sobre la empresa a través de LinkedIn, redes sociales, comunicados y sitios corporativos. Esto les permite reconstruir la estructura interna y replicar el estilo de comunicación de sus directivos.
En ocasiones, estos delincuentes acceden a correos filtrados o credenciales robadas para copiar firmas, tonos de escritura y conversaciones reales. Su meta es crear un sentido de urgencia y evadir cualquier control interno.
- Correos electrónicos falsos que simulan órdenes urgentes de transferencia.
- Mensajes por WhatsApp o plataformas corporativas, como Teams.
- Llamadas telefónicas utilizando voces clonadas mediante inteligencia artificial.
- Dominios o cuentas de correo que son casi idénticas a las oficiales.
Los especialistas advierten que el avance de la inteligencia artificial está facilitando estas maniobras, volviéndolas cada vez más difíciles de detectar. Esto se debe a la capacidad de crear mensajes, audios y conversaciones que resultan extremadamente convincentes.
Recomendaciones para prevenir el fraude
Ante el creciente número de estos ataques, los expertos en ciberseguridad sugieren que las empresas fortalezcan su tecnología y procesos internos. Las medidas preventivas más recomendadas incluyen:
- Implementar doble validación para pagos y transferencias.
- Confirmar pedidos urgentes a través de un canal de comunicación alternativo.
- Capacitar a equipos financieros y ejecutivos sobre fraudes dirigidos.
- Evitar que una sola persona tenga la autoridad para autorizar operaciones críticas.
- Reforzar la gestión de accesos y contraseñas.
El crecimiento del «whaling» refleja un cambio en la naturaleza del cibercrimen: los ataques ya no buscan exclusivamente vulnerabilidades técnicas, sino que también intentan explotar decisiones humanas y errores que pueden darse dentro de las organizaciones.
