Cómo una empresa fue víctima de un fraude de suplantación de proveedor: análisis real de un caso BEC
El fraude por suplantación de proveedor, conocido como BEC (Business Email Compromise), se ha convertido en una de las amenazas más rentables para los ciberdelincuentes. No se trata de ataques masivos, sino de operaciones dirigidas, silenciosas y basadas en ingeniería social y manipulación documental.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
En este artículo analizamos un caso real en el que una empresa española sufrió un fraude de 79.500 € tras recibir documentación manipulada y comunicaciones aparentemente legítimas de un proveedor extranjero. No se revelan datos sensibles, pero sí los elementos técnicos clave del caso.
El fraude BEC es uno de los ciberdelitos con mayor impacto económico en empresas españolas. Según el FBI, los fraudes BEC generaron más de 2.900 millones de dólares en pérdidas en 2023. En España, la Policía Nacional registra un aumento sostenido de casos cada año, especialmente en operaciones de compraventa entre empresas. A diferencia del phishing masivo, el fraude BEC es un ataque dirigido — el atacante estudia a su víctima antes de actuar.
1. El contexto: una operación comercial legítima
La empresa afectada estaba negociando la compra de una máquina industrial con un proveedor extranjero de reconocido prestigio. El proceso se desarrollaba de forma aparentemente normal:
- Intercambio de correos electrónicos con documentación técnica real.
- Fotografías auténticas del activo.
- Presupuestos y confirmaciones de pedido coherentes.
- Un flujo comercial habitual entre cliente y proveedor.
En apariencia, nada hacía sospechar que un tercero se había infiltrado en la comunicación.
2. El atacante se infiltra en la comunicación
El ciberdelincuente consiguió acceder a información real de la operación: modelo de la máquina, importe, fechas clave y estado de la negociación. Este nivel de detalle no se obtiene por casualidad, sino a través de algún tipo de acceso a la información.
En este tipo de fraudes, los escenarios más habituales son:
- Compromiso del correo de la empresa compradora.
- Compromiso del correo del proveedor legítimo.
- Acceso previo a documentación interna del proveedor (por filtraciones o fugas de información).
Lo relevante es que el atacante sabía exactamente cuándo y qué documento se esperaba, y aprovechó ese momento para introducir su versión manipulada.
3. El documento manipulado: la pieza clave del fraude
El atacante envió un archivo PDF que imitaba el formato del proveedor real. A simple vista, el documento parecía legítimo: logos, estructura, idioma y contenido técnico eran coherentes. Sin embargo, al analizar sus metadatos con herramientas forenses, la historia cambió por completo.
A continuación se muestra un extracto de los metadatos obtenidos con ExifTool:
ExifTool Version Number : 13.55 File Name : second.pdf File Size : 193 kB Zone Identifier : Exists File Modification Date/Time : 2026:03:26 16:02:00+01:00 File Access Date/Time : 2026:04:15 02:25:50+02:00 File Creation Date/Time : 2026:04:10 23:25:28+02:00 PDF Version : 1.7 Page Count : 5 Producer : iLovePDF Modify Date : 2026:02:26 12:56:39Z
Estos metadatos revelan varios puntos críticos:
- El documento fue modificado internamente en una fecha anterior a su creación en el sistema, lo que indica que fue reconstruido o descargado posteriormente.
- El campo Producer indica que se utilizó iLovePDF, una herramienta online no corporativa, poco compatible con un flujo documental empresarial formal.
- La presencia de Zone Identifier: Exists indica que el archivo fue descargado desde Internet, no generado internamente en un entorno controlado.
En resumen: el PDF no era un documento original del proveedor, sino un archivo manipulado y reprocesado por el atacante para introducir datos bancarios falsos.
4. La suplantación por WhatsApp Business
Para reforzar la credibilidad del fraude, el atacante utilizó también un perfil de WhatsApp Business. Este perfil incluía:
- Descripción en el idioma del proveedor legítimo.
- Imagen de maquinaria relacionada con la actividad.
- Ubicación coherente con el país del proveedor.
- Apariencia profesional y mensajes bien redactados.
Un detalle importante: WhatsApp Business no verifica identidades de forma robusta. Cualquiera puede crear un perfil que parezca una empresa real, lo que convierte esta vía en un canal ideal para reforzar suplantaciones ya iniciadas por correo electrónico.
5. El resultado: un pago desviado a una cuenta fraudulenta
Con el documento manipulado y la suplantación bien construida, el atacante consiguió que la empresa realizara una transferencia de decenas de miles de euros a una cuenta bancaria que no pertenecía al proveedor legítimo. El fraude se ejecutó de forma limpia, sin necesidad de malware ni técnicas especialmente sofisticadas.
Este tipo de ataques se apoyan más en:
- Información sobre la operación.
- Tiempo para observar y actuar en el momento adecuado.
- Ingeniería social para generar confianza.
- Manipulación documental difícil de detectar a simple vista.
6. Lecciones aprendidas de este caso
De este caso real se pueden extraer varias conclusiones relevantes para cualquier empresa:
- Un PDF no es garantía de autenticidad. Los documentos pueden ser modificados sin que el usuario lo perciba. El análisis de metadatos es clave cuando hay sospechas.
- La suplantación de identidad es cada vez más creíble. Perfiles de WhatsApp Business, correos bien redactados y documentación aparentemente legítima pueden engañar incluso a personal experimentado.
- Los fraudes BEC no siempre requieren comprometer ambos extremos. Basta con tener acceso a un buzón o a documentación interna para reconstruir la operación y atacar en el momento oportuno.
En definitiva, el fraude BEC no es solo un problema técnico, sino también de procesos y confianza. Los atacantes no siempre fuerzan puertas: muchas veces se limitan a aprovechar las grietas en la forma en que gestionamos la información y las comunicaciones.
Este caso demuestra que cualquier organización, independientemente de su tamaño, puede ser objetivo de un ataque de este tipo. Conocer cómo operan estos fraudes es el primer paso para poder detectarlos y reducir su impacto.