Phishing directivo y NIS2: reducir el riesgo sin culpar al usuario
AACCENTIA
29 jun 2026
Un correo aparentemente enviado por el CEO, una factura urgente de un proveedor conocido o una llamada que presiona a Finanzas para hacer una transferencia pueden bastar para provocar un incidente serio. El phishing directivo ya no es un problema menor de “usuarios que hacen clic”: es un riesgo de negocio que afecta a pagos, continuidad, reputación, relación con proveedores y capacidad de demostrar diligencia ante un incidente.
Qué es el phishing directivo y por qué preocupa a dirección
El phishing directivo, también conocido como fraude del CEO o BEC, busca engañar a personas con capacidad de decisión o acceso a procesos críticos: dirección general, administración, compras, finanzas, recursos humanos u operaciones.
El objetivo no siempre es instalar malware. Muchas veces se persigue algo más directo: modificar una cuenta bancaria, autorizar una transferencia, enviar documentación sensible o acelerar una decisión sin los controles habituales.
Para dirección, el impacto puede ser significativo:
- Pérdidas económicas por pagos fraudulentos.
- Interrupción de procesos administrativos o de compras.
- Exposición de datos sensibles.
- Conflictos con proveedores o clientes.
- Daño reputacional interno y externo.
- Necesidad de reconstruir evidencias después del incidente.
La clave está en entender que el atacante no explota solo un fallo técnico. Explota presión, confianza, jerarquía, urgencia y procesos poco definidos.
Relación entre phishing directivo y NIS2
La directiva NIS2 refuerza la importancia de gestionar riesgos de ciberseguridad con una visión organizativa, no únicamente tecnológica. En este contexto, el phishing directivo encaja de lleno en áreas como gestión de riesgos, continuidad, respuesta a incidentes, seguridad en la cadena de suministro, formación y gobierno.
Para una empresa afectada por NIS2, o que quiera prepararse con criterios alineados, no basta con tener un filtro antispam o impartir una charla anual. Es necesario demostrar que se han evaluado los riesgos, definido controles proporcionados, documentado responsabilidades y preparado una respuesta.
Si tu empresa está iniciando el proceso, puede ser útil revisar una visión más amplia de la adaptación NIS2 paso a paso antes de abordar medidas concretas contra el phishing directivo.
El error de culpar al usuario
Culpar a la persona que abrió un correo o autorizó un pago suele ser una reacción rápida, pero poco eficaz. En muchos casos, esa persona actuó dentro de un proceso débil: no existía doble verificación, no había una regla clara para cambios de cuenta bancaria o la cultura interna premiaba resolver urgencias sin preguntar demasiado.
Un enfoque maduro cambia la pregunta. En lugar de “¿quién falló?”, conviene preguntar:
- ¿Por qué era posible aprobar ese pago con una sola validación?
- ¿Estaba claro el procedimiento ante una petición urgente?
- ¿Se había entrenado a los equipos con casos realistas?
- ¿Había canales seguros para verificar instrucciones?
- ¿Quedaron evidencias de la decisión y de la respuesta?
Este cambio de enfoque reduce el miedo a reportar incidentes y mejora la detección temprana. Si las personas temen ser culpadas, tienden a ocultar errores. Si saben cómo actuar, avisan antes.
Controles que reducen el riesgo sin bloquear la empresa
La protección frente al phishing directivo debe combinar controles técnicos, organizativos y financieros. El objetivo no es ralentizar toda la operativa, sino introducir barreras inteligentes en los puntos donde un fraude puede causar daño real.
| Área | Control recomendado | Impacto esperado |
|---|---|---|
| Correo | Filtrado, autenticación de dominio y alertas de remitente externo | Reduce intentos y mejora la detección |
| Pagos | Doble aprobación para importes o cambios sensibles | Dificulta transferencias fraudulentas |
| Proveedores | Verificación independiente de cambios bancarios | Evita fraudes por suplantación |
| Dirección | Protocolos claros ante órdenes urgentes | Reduce presión y decisiones improvisadas |
| Respuesta | Canal interno de aviso y registro de incidentes | Acelera contención y evidencias |
Estos controles deben adaptarse al tamaño, sector y exposición de cada empresa. Una organización industrial, una empresa de servicios profesionales o una compañía con mucha actividad internacional no tendrán exactamente el mismo perfil de riesgo.
Procesos de pago: donde el fraude se convierte en pérdida
El proceso de pago es uno de los puntos más sensibles. Muchos ataques de phishing directivo buscan saltarse controles aprovechando frases como “es urgente”, “lo ha pedido dirección” o “no lo comentes todavía”.
Para reducir el riesgo, conviene revisar el proceso completo, no solo el correo recibido. Algunas medidas prácticas:
- Definir umbrales de importe que exijan doble aprobación.
- Separar funciones entre quien solicita, valida y ejecuta el pago.
- Verificar cambios de cuenta bancaria por un canal distinto al correo.
- Mantener un registro de autorizaciones y comprobaciones.
- Bloquear excepciones no documentadas, aunque vengan de dirección.
- Establecer una regla explícita: la urgencia no elimina controles.
- Revisar periódicamente proveedores críticos y datos bancarios.
- Formar a administración y finanzas con ejemplos cercanos a su operativa.
Este punto conecta directamente con presupuesto y prioridades. No todas las medidas requieren grandes inversiones, pero sí orden, criterio y disciplina. Si necesitas comparar enfoques antes de contratar apoyo externo, puedes consultar esta guía sobre cómo valorar un presupuesto NIS2 y comparar propuestas.
Doble verificación: sencilla, pero bien diseñada
La doble verificación no debe ser un trámite informal. Si un empleado recibe un correo que pide cambiar el IBAN de un proveedor, no sirve responder al mismo correo preguntando si es correcto. Si un directivo solicita una transferencia urgente, no basta con validar en el mismo canal comprometido.
Una doble verificación útil debe cumplir tres condiciones:
Canal independiente
La comprobación debe hacerse por un canal previamente conocido: teléfono registrado, plataforma corporativa, contacto validado o procedimiento interno. No por los datos incluidos en el mensaje sospechoso.
Responsabilidad definida
Debe estar claro quién puede aprobar qué. Si todo depende de “preguntar a alguien de dirección”, el control será débil y ambiguo.
Evidencia conservada
La empresa debe poder demostrar que el control se aplicó: registro en la herramienta, aprobación formal, ticket, acta o anotación verificable. En un contexto NIS2, las evidencias importan tanto como la intención.
Cultura: entrenar criterio, no generar miedo
La formación contra phishing directivo debe ir más allá de enseñar capturas de correos falsos. Los ataques actuales pueden estar bien redactados, usar información pública de la empresa y coincidir con operaciones reales.
Una cultura efectiva se construye con mensajes claros:
- Reportar una sospecha es una conducta positiva.
- Parar un pago para verificarlo no es desobedecer.
- Dirección también está sujeta a controles.
- Las excepciones deben documentarse.
- Nadie debe resolver una urgencia sensible en solitario.
Este último punto es importante. Si la alta dirección se salta sus propios procedimientos, el resto de la organización asumirá que los controles son opcionales. La coherencia del comité de dirección es parte de la seguridad.
También conviene que dirección se haga preguntas antes de aprobar iniciativas o presupuestos. Este enfoque se desarrolla en el artículo sobre preguntas clave del CEO ante NIS2.
Respuesta: qué hacer si ya ha ocurrido
La rapidez de respuesta puede marcar la diferencia. Un incidente de phishing directivo debe tener un procedimiento mínimo, conocido por finanzas, dirección, sistemas y, cuando proceda, legal o comunicación.
La respuesta debería contemplar:
- Detener pagos pendientes relacionados.
- Avisar al banco o entidad financiera cuanto antes.
- Preservar correos, cabeceras, registros y conversaciones.
- Revisar accesos comprometidos y sesiones activas.
- Cambiar credenciales si hay sospecha de robo.
- Informar internamente por un canal seguro.
- Analizar si hay proveedores o clientes afectados.
- Documentar decisiones, tiempos y medidas adoptadas.
- Revisar el proceso para corregir la causa raíz.
No se trata solo de “apagar el fuego”. También hay que aprender del incidente, ajustar controles y conservar evidencias razonables de la actuación realizada.
Cómo integrarlo en un plan NIS2 realista
El phishing directivo debe formar parte del análisis de riesgos y del plan de adaptación NIS2. No como un anexo de concienciación, sino como un escenario concreto con impacto económico, operativo y reputacional.
Un enfoque práctico puede seguir estos pasos:
- Identificar procesos sensibles: pagos, proveedores, nóminas, compras y dirección.
- Evaluar quién puede autorizar decisiones críticas.
- Revisar controles actuales y excepciones habituales.
- Priorizar medidas de bajo coste y alto impacto.
- Documentar procedimientos y responsables.
- Entrenar a los equipos implicados.
- Probar la respuesta con simulaciones realistas.
- Revisar evidencias y mejoras de forma periódica.
Si tu empresa opera en Galicia o está revisando su exposición general, también puedes ampliar contexto en este contenido sobre ciberseguridad empresarial y NIS2.
Conclusión: menos culpa, más sistema
El phishing directivo no se reduce señalando al empleado que cayó en el engaño. Se reduce diseñando procesos que no dependan de una sola persona bajo presión, implantando verificaciones proporcionadas, formando con casos reales y preparando una respuesta clara.
Para dirección, la pregunta relevante no es si alguien podría equivocarse. La pregunta es si la organización está preparada para que un error humano no se convierta en una pérdida grave.
En AACCENTIA ayudamos a evaluar estos riesgos, priorizar controles y estructurar la adaptación NIS2 con un enfoque práctico para dirección y equipos operativos. Si quieres avanzar con un plan ordenado, puedes consultar nuestra página de adaptación NIS2 para empresas.