Diferencia con el fraude del CEO: en el whaling el directivo es la víctima que recibe el ataque; en el fraude del CEO el directivo es el remitente suplantado para presionar a un empleado. Ambos pertenecen a la familia BEC y a menudo se encadenan: primero se compromete al directivo, después se suplanta desde su propio buzón.
¿Qué es el whaling?
El whaling es una variante de spear phishing dirigida específicamente a directivos y perfiles con capacidad de decisión o firma —CEO, CFO, consejeros, dirección financiera y legal— con el objetivo de robar sus credenciales, inducir pagos o conseguir la aprobación de acciones críticas. La "ballena" es la víctima: el atacante invierte semanas en reconocimiento y construye un pretexto a medida (una operación corporativa, un litigio, un requerimiento de auditoría) porque el retorno de comprometer un solo buzón directivo supera al de mil buzones ordinarios. No confundir con el fraude del CEO: allí el directivo es el remitente suplantado; en el whaling es el objetivo.
¿Por qué importa?
Porque la capa directiva combina los tres factores que un atacante busca: máximo privilegio (acceso a resultados, operaciones societarias, capacidad de ordenar pagos), máxima exposición pública (entrevistas, LinkedIn, registro mercantil, notas de prensa que alimentan el OSINT del atacante) y, con frecuencia, mínimos controles, porque es el colectivo al que más excepciones se le conceden: sin filtros estrictos, sin MFA "porque molesta", con dispositivos personales mezclados con los corporativos. Un buzón directivo comprometido es la plataforma perfecta para el siguiente paso: leer correo durante semanas, aprender el estilo de la casa y lanzar desde dentro un fraude BEC (Business Email Compromise) contra el propio equipo financiero o contra proveedores. El FBI atribuye al BEC miles de millones de dólares anuales en pérdidas, y la irrupción de los deepfakes ha subido la apuesta: en el caso Arup (2024), un empleado en Hong Kong transfirió 25 millones de dólares tras una videollamada con recreaciones sintéticas de su CFO y otros directivos. La ingeniería social contra directivos ya no es un correo mal escrito: es una operación con presupuesto.
Puntos clave
Reconocimiento previo intensivo: agenda pública, prensa, LinkedIn, registro mercantil, firmas de correo filtradas y publicaciones del propio equipo alimentan el pretexto. Cuanto más creíble el contexto (una due diligence real, un consejo de administración fechado), más difícil es que el filtro humano salte. Reducir la huella OSINT del comité es parte de la defensa.
Vectores multicanal: correo desde dominios look-alike, smishing y vishing al móvil personal, mensajes por LinkedIn o WhatsApp y, cada vez más, deepfakes de voz y vídeo para dar la orden final. Los canales personales quedan fuera del perímetro corporativo y el atacante lo sabe.
Objetivos típicos: credenciales del buzón y del SSO corporativo (con proxies AiTM que roban el token de sesión y saltan MFA débil), autorización de transferencias, información privilegiada sobre operaciones en curso y material para extorsión o para el siguiente eslabón del fraude.
Protecciones técnicas específicas para VIPs: MFA resistente al phishing (passkeys/FIDO2) obligatorio en la capa directiva, DMARC/DKIM/SPF con política de rechazo, banners de remitente externo, vigilancia de dominios look-alike, alertas sobre reglas de reenvío en buzones VIP y acceso condicional estricto. El spoofing de dominio y de identidad visual es la base de la mayoría de estos ataques.
Protecciones de proceso: verificación fuera de banda (llamada a número conocido) para todo pago o cambio de cuenta bancaria, doble aprobación por encima de un umbral, palabras clave acordadas para órdenes urgentes y formación específica del comité de dirección con simulaciones a su medida, no la campaña genérica de phishing de toda la plantilla.
Ejemplo: whaling contra un CFO en plena operación de compra
Una empresa mediana negocia la adquisición de un competidor y la noticia salta a la prensa económica. Un grupo criminal monta la operación en dos semanas: identifica en LinkedIn al CFO y al despacho de abogados que asesora la compra, registra un dominio look-alike del despacho (una letra cambiada) y envía al CFO un correo impecable con el pretexto de un "data room actualizado con las cifras revisadas". El enlace lleva a una réplica del login de Microsoft 365 montada sobre un proxy AiTM: el CFO introduce su contraseña y aprueba la notificación MFA, y el atacante captura el token de sesión. Nadie ha explotado ninguna vulnerabilidad técnica: solo contexto, urgencia y un dominio parecido.
Durante tres semanas el atacante lee el buzón en silencio, crea una regla que desvía a una carpeta oculta los correos del banco y aprende cómo firma el CFO. Con ese material lanza la segunda fase —ya como fraude del CEO— ordenando desde el buzón real del CFO un cambio de cuenta para el siguiente pago a un proveedor de la operación. Lo que corta la cadena es un control de proceso, no uno técnico: la responsable de tesorería llama al número del proveedor que tiene en su ficha —no al del correo— antes de ejecutar el cambio. La revisión posterior con el equipo de respuesta a incidentes encuentra la regla de buzón, revoca sesiones y tokens, impone FIDO2 al comité y añade la verificación fuera de banda como norma escrita para cualquier cambio bancario.
Errores habituales
- Eximir a los directivos de los controles por comodidad o jerarquía: sin MFA fuerte, con excepciones en el filtro de correo y sin formación. Es exactamente el colectivo con más privilegio y más exposición; las excepciones deberían ser al revés: más control, no menos.
- Confundir whaling con fraude del CEO y entrenar solo al departamento de administración. La capa directiva necesita su propio entrenamiento como objetivo del ataque, con simulaciones específicas basadas en sus pretextos reales (consejos, operaciones, prensa).
- Confiar en la formación genérica anti-phishing. Los señuelos de directivo no son los de la campaña masiva: llegan con contexto real, buena redacción y urgencia plausible. Si la simulación no se parece al ataque, el reflejo no existe cuando llega el de verdad.
- Ignorar los canales personales: móvil, WhatsApp, LinkedIn y correo personal de los directivos quedan fuera del perímetro y de la telemetría corporativa, y son precisamente los canales preferidos para el primer contacto y para el vishing con voz clonada.
- No tener un procedimiento de verificación de pagos independiente del correo. Si la única fuente de verdad para ordenar una transferencia es el buzón, cuando el buzón cae, cae todo el proceso: la verificación fuera de banda a números conocidos debe ser norma escrita, también —especialmente— cuando la orden viene 'de arriba' y corre prisa.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
Soy CEO de una pyme y salgo en prensa a menudo: ¿qué debería cambiar en mi día a día?
Cuatro cosas concretas. Primera: pasa tu MFA a passkeys o llaves FIDO2 en el correo y el SSO corporativo; las notificaciones push se aprueban por cansancio y los proxies AiTM las saltan. Segunda: asume que cualquier petición urgente de pago, cambio de cuenta o datos sensibles se verifica por un canal distinto al que la trajo, sin excepciones por jerarquía. Tercera: revisa tu huella pública con ojos de atacante —agenda, viajes, operaciones en curso— y retrasa lo que puedas publicar después. Cuarta: acuerda con tu equipo financiero que nadie será penalizado por retrasar un pago para verificarlo; la presión de 'lo pide el CEO y corre prisa' es exactamente el mecanismo del fraude.
¿En qué se diferencia exactamente el whaling del fraude del CEO?
En el papel que juega el directivo. En el whaling, el directivo es el objetivo: recibe el ataque y es su credencial o su firma lo que se busca. En el fraude del CEO, el directivo es el disfraz: el atacante lo suplanta (por correo, voz o vídeo) para presionar a un empleado con capacidad de pago. Ambos pertenecen a la familia BEC y se encadenan con frecuencia: un whaling que compromete el buzón del CFO permite lanzar después un fraude del CEO desde la cuenta legítima, que es la versión más difícil de detectar porque el remitente, el hilo y el estilo son reales.
¿Cómo protejo a mi comité de dirección si no tengo equipo de seguridad propio?
Con controles de plataforma y de proceso, ninguno de los cuales exige un SOC propio. En Microsoft 365 o Google Workspace: MFA resistente al phishing para el comité, DMARC en política de rechazo, banners de remitente externo, alertas ante reglas de reenvío nuevas y acceso condicional. De proceso: verificación fuera de banda para pagos y cambios bancarios, y doble aprobación sobre un umbral. Y formación específica para directivos con simulaciones de ingeniería social realistas. Si no hay nadie que lo configure y lo vigile, un servicio externo de seguridad Microsoft 365 cubre exactamente ese hueco.
¿Los deepfakes están cambiando el whaling?
Sí, y en una dirección concreta: la fase de cierre. El correo sigue abriendo la puerta, pero la orden final llega ahora por una llamada o videollamada con voz o imagen clonadas, que es lo que derrotó los controles en el caso Arup: el empleado desconfió del correo inicial y la videollamada con los 'directivos' disipó su duda. La consecuencia práctica es que ver y oír ya no equivale a verificar. Los procesos deben apoyarse en canales y datos que el atacante no controla: devolución de llamada a números conocidos, palabras clave acordadas y límites que exigen segunda aprobación con independencia de quién ordene el pago y por qué medio. La ingeniería social evoluciona; el principio de verificación independiente no.