Organización y equipo

Directivo expuesto: modelo de amenaza específico

Las amenazas propias del directivo expuesto mediática o financieramente, los vectores de ataque reales, y las medidas proporcionadas.

Publicado el 19 de febrero de 2026 18 min de lectura Critical

Última revisión: 12 de marzo de 2026

El director financiero recibe un mensaje de voz del CEO. La voz es la suya, el tono es el suyo, la urgencia es creíble: una adquisición confidencial, un anticipo que pagar antes de las 17 h, sobre todo no se lo cuentes a nadie. Transfiere 340 000 euros. El CEO nunca hizo esa llamada. La voz estaba sintetizada a partir de tres minutos de una entrevista en YouTube. Esta escena la he debriefeado tres veces en dieciocho meses.

Angle de lecture

Particulier RSSI / DSI CEO

La trampa habitual

«Tengo una seguridad de empresa.» Es la respuesta que obtengo en nueve de cada diez casos cuando planteo la seguridad personal de un directivo. Revela una confusión de perímetro que sale cara. La seguridad de empresa protege a la empresa: la infraestructura, los puestos, los correos profesionales, los accesos VPN. No protege al directivo como individuo —su vida privada, su familia, sus activos personales, su teléfono personal, su reputación—. Esos dos perímetros apenas se solapan, y el punto ciego entre ambos es precisamente por donde entran los atacantes.

La segunda trampa es más insidiosa: el directivo se cree demasiado importante para ser atacado de forma tonta, y demasiado listo para caer en una trampa burda. Ambas creencias son falsas. A un directivo no se le ataca de forma tonta, justamente: se le ataca con cuidado, con tiempo de reconocimiento, con presupuesto. Y cae en la trampa no por estupidez sino por ancho de banda —decide rápido, bajo presión, entre dos reuniones, en su teléfono, y es exactamente el campo de juego del atacante.

El discurso dominante añade una capa de teatro. Se le proponen al directivo formaciones de concienciación sobre el phishing diseñadas para el empleado medio —detectar la falta de ortografía, la dirección rara, el archivo adjunto sospechoso—. Esas señales no existen en un ataque dirigido contra un directivo. El mensaje está limpio, el remitente es creíble, el contexto es exacto. La formación para el gran público no prepara para el modelo de amenaza real. Tranquiliza, lo cual es peor.

La última trampa es la asimetría de trato dentro de la organización. El directivo es el único que puede rechazar una medida de seguridad que todo el mundo sufre. Rechaza el MFA incómodo porque tiene prisa, viaja a un país de riesgo sin preparación porque está acostumbrado, usa su teléfono personal para decisiones críticas porque es práctico. Cada exención que se concede se convierte en el eslabón más débil y más valioso de toda la cadena.

Modelo de amenaza real: por qué un directivo es un objetivo distinto

Un empleado estándar representa un acceso limitado y un adversario oportunista. Un directivo representa algo distinto en varias dimensiones simultáneamente, y sus adversarios no son solo hackers anónimos. Son también competidores en procesos de M&A, bufetes de abogados en litigio adverso, periodistas en due diligence, Estados que practican el espionaje económico, y a veces un exsocio o un excónyuge con rencor y tiempo.

El valor del acceso. Una sola cuenta de correo de CEO comprometida abre las comunicaciones sobre las transacciones de M&A en curso, las decisiones estratégicas no públicas, los intercambios con los accionistas, los contratos sensibles. Para un atacante, es una mina que puede valer decenas de millones en los mercados adecuados: uso de información privilegiada, posición de negociación, chantaje.

La influencia directa sobre los flujos financieros. La cuenta comprometida o simplemente suplantada de un directivo permite ordenar transferencias. El fraude del CEO —o BEC, Business Email Compromise— es la mecánica más rentable del momento. Según el IC3 del FBI, las pérdidas mundiales ligadas al BEC superan los 55 000 millones de dólares acumulados en la última década, con varios miles de millones declarados cada año. España no se libra: los importes documentados por las fiscalías se cifran en cientos de millones anuales, y la mayoría de los casos nunca se declaran.

La riqueza personal identificable. Los registros públicos —Registro Mercantil, BORME, datos catastrales en numerosos países— permiten cartografiar los activos de un directivo con una precisión desconcertante. Esa información alimenta el chantaje, el fraude de identidad dirigido, y en los casos extremos las amenazas físicas contra los allegados.

La exposición geopolítica. Para un directivo que opera en China, en Rusia, en ciertos países de Oriente Medio, o en cualquier zona de tensión económica, el espionaje es una realidad operativa. Los servicios de inteligencia económica de varios Estados apuntan activamente a los directivos en desplazamiento: hoteles, teléfonos, ordenadores dejados en la habitación, redes locales controladas.

La visibilidad mediática autoconstruida. Cada publicación en LinkedIn revela los temas en curso, los viajes, los contactos, los proyectos. Cada foto de congreso da una geolocalización y unas relaciones. Cada entrevista detalla la estrategia —y proporciona, de paso, la muestra de voz que servirá para el deepfake—. Esa visibilidad está construida para el negocio, pero alimenta gratis y simultáneamente el OSINT de cualquiera que se interese por el directivo.

Anécdota operativa

En 2024, dirigí la auditoría de superficie de un CEO de una empresa industrial mediana. En cuatro horas, sin nada ilegal: su dirección personal a través de una sociedad patrimonial familiar en el BORME, los modelos de sus dos coches a través de una foto de su garaje publicada por un operario, el club deportivo al que iba los martes por la noche, el nombre y la cara de su asistente, sus tres últimos desplazamientos profesionales vía LinkedIn, y el hotel de Madrid que reservaba sistemáticamente. Mientras tanto, su CISO acababa de firmar 210 000 € de EDR para el parque. El CEO, por su parte, validaba sus transferencias desde su teléfono personal, sin MFA por hardware, en el tren.

Los vectores de ataque específicos

BEC y fraude del CEO

El escenario tipo ni siquiera requiere comprometer una cuenta. El atacante suplanta el dominio —un carácter cambiado, un subdominio plausible, un nombre mostrado idéntico— y escribe a la dirección financiera con una petición de transferencia «urgente y confidencial». Cuando la cuenta está realmente comprometida (phishing, credential stuffing, leak database con contraseña reutilizada), el ataque se vuelve casi indetectable: el mensaje sale del buzón real, en el hilo de conversación real, con el estilo real.

La protección central no es técnica, es procedimental: verificación fuera de banda sistemática para toda transferencia por encima de un umbral, por un canal distinto del de la petición, hacia un número ya conocido. Este procedimiento debe aplicarse incluso —sobre todo— cuando la petición parece venir del propio CEO. El directivo debe defenderlo públicamente, si no su equipo financiero lo eludirá para no molestarle.

Spear phishing dirigido

A diferencia del phishing masivo, el spear phishing contra un directivo se construye sobre un reconocimiento profundo: agenda reciente espigada en LinkedIn, proyecto en curso mencionado en un comunicado, lista de ponentes de un evento, tono de comunicación imitado. El mensaje es creíble porque es exacto. Hace referencia a una reunión que de verdad tuvo lugar, a un interlocutor real, a un expediente en curso.

La defensa es conductual, no técnica. Un enlace en un correo, sea cual sea su credibilidad, nunca debe disparar una acción sensible sin verificación fuera de banda. El reflejo que instalar: frenar precisamente cuando el mensaje empuja a acelerar.

Deepfake de audio y vídeo

La síntesis de voz a partir de unos minutos de audio es hoy accesible, rápida y barata. El deepfake de vídeo en tiempo real, todavía imperfecto hace dos años, es ahora utilizable en videoconferencia degradada. Los casos documentados se acumulan: llamadas con voz sintetizada ordenando una transferencia, falsas videollamadas de «la dirección» validando una operación. La muestra de voz proviene de sus entrevistas, de sus pódcast, de sus intervenciones públicas. Usted mismo la ha puesto en línea.

La protección no puede basarse en el reconocimiento de la voz o del rostro. Se basa en una contraseña verbal compartida fuera de banda para las operaciones sensibles, y en la regla absoluta de que ninguna orden financiera o de acceso se valida solo con la fe de una llamada o una videollamada.

Ataques a través del entorno

El asistente, el cónyuge, los hijos adultos, los proveedores habituales —cada uno es un vector de acceso indirecto, a menudo más sencillo que el propio directivo—. Comprometer el teléfono de un asistente da la agenda, los contactos, los hábitos de desplazamiento. El perfil de Instagram de un hijo da la rutina familiar, el colegio, la segunda residencia. El atacante toma el camino menos vigilado, y ese camino esquiva casi siempre al directivo directamente.

El dispositivo personal como punto de entrada

El teléfono personal del directivo lo concentra todo: correos profesionales sincronizados a escondidas, validaciones bancarias, mensajerías, fotos geolocalizadas, aplicaciones mal mantenidas. No está ni gestionado por el MDM de la empresa, ni cubierto por el EDR, ni incluido en las copias de seguridad controladas. Es el activo más valioso y el menos protegido. Un SIM swap sobre el número personal, y el atacante intercepta los códigos TOTP por SMS de la mitad de las cuentas.

El enfoque correcto: enmarcar sin controlar

El cambio cabe en una frase: no se asegura a un directivo imponiéndole las reglas del empleado, se le asegura diseñando una protección que se adapte a su restricción real de ancho de banda. Toda medida que ralentice al directivo sin razón será eludida. Toda medida invisible una vez instalada se mantendrá. El arte consiste en desplazar la fricción del uso hacia la configuración.

El MFA por hardware en lugar del MFA incómodo. El directivo rechaza el TOTP por aplicación porque hay que sacar el teléfono, abrir la app, copiar un código, seis veces al día. Déle dos llaves FIDO2 por hardware (YubiKey, una principal, una de reserva). Un toque, sin código que copiar, resistente al phishing por construcción. La fricción desaparece una vez enrolada la llave. Es el único MFA que un directivo conserva de verdad.

La compartimentación en lugar de la prohibición. Prohibirle al directivo usar su teléfono personal fracasa siempre. Facilitarle un segundo dispositivo dedicado a los temas sensibles —M&A, litigios, datos personales— funciona, a condición de que sea tan fluido como el suyo. El dispositivo profesional se convierte en el canal de las decisiones críticas; el personal se queda para la vida privada. La separación protege la información sin pedirle al directivo que cambie sus hábitos de fondo.

Los procedimientos que se disparan sin él. El directivo no debe ser el guardián de los procedimientos, debe ser su beneficiario. La verificación fuera de banda de las transferencias, la revocación de acceso en caso de incidente, el backup cifrado automático de sus dispositivos, todo eso funciona en segundo plano, operado por otra persona. El directivo valida una vez el diseño, y luego deja de pensar en ello.

El briefing antes de los viajes de riesgo, corto y encarnado. No un documento de 40 páginas. Una conversación de quince minutos antes de un desplazamiento a una zona sensible: dispositivo de viaje virgen, comunicaciones vía Signal, sin conexión a los sistemas desde la red local del hotel, conducta a seguir en caso de requisa en la frontera (registro en frontera) o de petición de desbloqueo (divulgación forzada). Quince minutos anclan un reflejo que cuarenta páginas no crean.

La auditoría de exposición personal, tratada como inteligencia. El OSINT defensivo sobre el propio directivo, una o dos veces al año, por un tercero que parte de cero como un adversario real. El resultado es casi siempre más alarmante de lo previsto, y es precisamente lo que desbloquea la adhesión del directivo a las demás medidas. Nada convence a un CEO como ver su dirección de domicilio y la cara de su asistente recuperadas en cuatro horas.

Lo que esto implica en concreto

Angle de lecture

Particulier RSSI / DSI CEO

Para usted, como persona

Su exposición personal es el punto de entrada de todo ataque contra su organización. No su cortafuegos: usted. El atacante construye su aproximación a partir de lo que es público sobre usted, y usted es la única persona que puede decidir reducir esa superficie. La auditoría de exposición no es una opción, es su prioridad.

Sus tres prioridades, esta semana:

Dos llaves FIDO2 por hardware en sus cuentas críticas. Correo principal, banco, cuentas profesionales clave. Una YubiKey cuesta de 50 a 70 €, coja dos (principal + reserva). Un toque, sin código que copiar, y es el único MFA que resiste el spear phishing. Abandone el código por SMS, vulnerable al SIM swap.
La regla «nunca solo con la fe de un mensaje». Decida, y dígaselo a su dirección financiera y a su asistente: ninguna transferencia, ningún cambio de cuenta bancaria, ningún acceso se valida sin una llamada de verificación a un número ya conocido. Aunque la petición parezca venir de usted. Es gratis y detiene el fraude del CEO.
Una autoauditoría de exposición de una tarde. Búsquese en el Registro Mercantil y en el BORME, verifique sus direcciones de correo en Have I Been Pwned, mire su LinkedIn desconectado. Verá lo que ve un adversario. Corte la geolocalización de sus publicaciones. Pídale a sus hijos que bloqueen sus redes. Presupuesto: cero, aparte de las llaves FIDO2.

El coste real de estas tres prioridades cabe por debajo de los 200 €. El coste de una sola transferencia fraudulenta se cuenta en cientos de miles de euros.

Para usted, CISO / Dirección de TI / directivo

El directivo es el eslabón más expuesto y el menos protegido de su organización. Rechaza el MFA incómodo, viaja sin preparación, decide en su teléfono personal. Asegurarlo no es un problema técnico, es un problema de diseño y de gobernanza. El cambio reorganiza su enfoque en cinco puntos.

1. Trate la exposición individual del directivo como un activo organizativo. El atacante no apunta primero a su infraestructura, apunta a su CEO, a su director financiero, a su director jurídico. El OSINT sobre la persona física es el preámbulo del ataque a la organización. Consecuencia directa: integre la auditoría de exposición de las personas clave en su programa de seguridad, al mismo nivel que un pentest aplicativo, una o dos veces al año por perfil sensible.

2. Diseñe la fricción en el momento de la configuración, nunca en el momento del uso. Un directivo elude toda medida que lo ralentice en reunión. El FIDO2 por hardware, la compartimentación por dispositivo dedicado, los procedimientos operados por un tercero: todo eso desplaza el esfuerzo hacia la instalación y libera el uso. Consecuencia directa: prohíba el TOTP por SMS para los perfiles expuestos, despliegue dos llaves FIDO2 por directivo, y nunca le pida al directivo que sea el guardián de un procedimiento.

3. Institucionalice la verificación fuera de banda y hágala defender por el directivo. El procedimiento anti-BEC solo vale si se aplica a las peticiones que vienen del propio directivo, y si el equipo financiero no tiene miedo de dispararlo. Consecuencia directa: umbral escrito, canal de verificación impuesto, y declaración pública del directivo de que quiere que le devuelvan la llamada. Sin ese patrocinio explícito, el procedimiento se elude al primer «es urgente».

4. Cubra el dispositivo personal, que está fuera de su perímetro pero dentro de su riesgo. El teléfono personal del directivo sincroniza correos profesionales, valida accesos, geolocaliza fotos. Escapa al MDM y al EDR. Consecuencia directa: facilite un dispositivo profesional dedicado a las decisiones sensibles, bloquee el número contra el SIM swap ante el operador, y migre la validación bancaria a una app o a una llave, nunca el SMS.

5. Extienda los estándares al entorno operativo. El asistente de dirección es una prolongación del directivo: agenda, contactos, desplazamientos, a veces acceso a los sistemas. Ignorarlo crea una brecha evidente. Consecuencia directa: forme y equipe al asistente con los mismos estándares que el directivo, e inclúyalo en los briefings y en los procedimientos de respuesta a incidentes.

Para usted, dirección general

Usted es el eslabón más expuesto de su organización, y el menos protegido. No por negligencia. Por construcción. Usted es un objetivo de valor —un acceso, unos flujos financieros, una firma— y su exposición personal es el camino más corto hacia todo lo demás. El atacante no fuerza su cortafuegos. Le estudia a usted.

Lo que cambia en concreto no es técnico. Es una cuestión de prioridad y de disciplina personal.

Audite su propia exposición primero. Antes de la infraestructura, antes del EDR, antes de la próxima herramienta que su CISO quiere comprar: lo que es públicamente localizable sobre usted. Su dirección personal, sus desplazamientos recientes, la cara de su asistente, sus cuentas de correo en las filtraciones. Un tercero que parte de cero, como un adversario real, una o dos veces al año. El resultado le sorprenderá, y es precisamente lo que le hará aceptar el resto. No se protege lo que no se ha mirado.

Ponga una llave física en sus cuentas personales críticas. No sus cuentas profesionales, que el departamento de TI ya gestiona. Las suyas: su banco, su mensajería principal, sus redes sociales. Son ellas las que sirven de punto de bascula hacia el resto. Dos llaves por hardware, una principal, una de reserva. Abandone el código por SMS, que cae en un día para un objetivo que vale la pena. Usted siempre vale la pena.

Vigile lo que publica. Cada publicación revela un calendario, una localización, un interlocutor. Cada entrevista proporciona la muestra de voz que servirá para imitar su voz. Esa visibilidad la construye para el negocio. Alimenta gratis la inteligencia de cualquiera que se interese por usted. No tiene que desaparecer. Debe decidir, conscientemente, lo que da.

El eslabón débil no es el empleado que hace clic en el enlace equivocado. Es el directivo que rechaza la restricción porque es el jefe. La exención que se concede —«yo tengo prisa, ya lo veremos más tarde»— es exactamente la que el atacante espera. La seguridad empieza por usted, o no empieza.

Errores que se ven todo el tiempo

Creer que la seguridad de empresa cubre al directivo. Cubre la infraestructura, no a la persona. El punto ciego entre los dos perímetros es exactamente la zona de ataque.
Formar al directivo en el phishing como a un empleado. Las señales del phishing masivo (falta, dirección rara) no existen en un ataque dirigido. La formación para el gran público tranquiliza sin preparar.
Tolerar la exención de MFA del directivo. «Tiene prisa, ya lo pasaremos más tarde»: es esa exención la que hace del directivo el eslabón más valioso para el atacante. Una llave FIDO2 elimina la fricción, ya no hay excusa.
Mantener el SMS como segundo factor. El SIM swap elude el SMS en un día para un objetivo que vale la pena. Y un directivo siempre vale la pena.
Validar las transferencias solo con la fe de un correo o una llamada. Es la puerta de entrada del fraude del CEO y del deepfake de voz. La verificación fuera de banda cuesta dos minutos y detiene el ataque.
Olvidar al asistente y al entorno. El camino menos vigilado esquiva al directivo. El asistente no formado, el hijo que geolocaliza, el cónyuge en un Wi-Fi público: otras tantas entradas indirectas.
Viajar a una zona de riesgo sin dispositivo de viaje. El portátil habitual dejado en la habitación del hotel en Pekín ya no es el suyo a la vuelta. Un dispositivo virgen cuesta 600 €, un incidente de espionaje económico cuesta una estrategia.
Hacer una auditoría de exposición una sola vez. Una auditoría de dos años es falsa: nuevas filtraciones, nuevos mandatos, nuevas fotos. El ciclo es de seis meses, tres para los perfiles muy expuestos.

Checklist accionable

N1 Dos llaves FIDO2 por hardware en el correo y las cuentas críticas (abandonar el SMS)
N1 Cortar la geolocalización de las publicaciones públicas y auditar su LinkedIn desconectado
N1 Regla escrita: ninguna transferencia ni acceso validado solo con la fe de un correo, llamada o videollamada
N2 Procedimiento de verificación fuera de banda de las transferencias, aplicado incluso a las peticiones del directivo
N2 Dispositivo profesional dedicado a los temas sensibles (M&A, litigios, datos personales)
N2 Bloquear el número personal contra el SIM swap ante el operador
N2 Asistente de dirección formado y equipado con los mismos estándares de seguridad
N2 Contraseña verbal compartida fuera de banda para las operaciones sensibles (anti-deepfake)
N3 Auditoría OSINT de exposición personal, una o dos veces al año, por un tercero
N3 Dispositivo de viaje virgen y briefing de 15 min antes de toda zona de riesgo
N3 Seguimiento trimestral de la tasa de perfiles expuestos cubiertos por las tres medidas base

Para profundizar

Las referencias oficiales figuran en el frontmatter: las estadísticas de BEC del IC3 del FBI dan la magnitud real del fraude del CEO, las recomendaciones del INCIBE enmarcan la autenticación multifactor para los perfiles sensibles, y el panorama de amenazas de ENISA sitúa al directivo en el paisaje europeo.

Este artículo declina un principio más amplio aplicado a un perfil particular: su exposición externa precede a todo ataque, y el directivo es su objetivo privilegiado. Para cartografiar lo que ya es público sobre usted, empiece por La auditoría de exposición. Para separar de forma duradera sus identidades y sus canales, vea Compartimentación de identidad. Y para enmarcar los desplazamientos de sus perfiles expuestos sin caer en el teatro documental, lea Política de viajes empresarial.

Fuentes y lecturas complementarias

FBI IC3 — Business Email Compromise Statistics [official]
INCIBE — Recomendaciones sobre autenticación multifactor [official]
ENISA Threat Landscape [official]