En 2020, un gestor de un fondo de cobertura abrió una invitación de Zoom que parecía inofensiva. Esa invitación contenía malware que permitió a los atacantes secuestrar su cuenta de correo electrónico. Desde allí, autorizaron transferencias de dinero por facturas falsas que ellos mismos habían enviado al fondo. En total, aprobaron facturas por valor de 8,7 millones de dólares. El incidente llevó al cierre definitivo de Levitas Capital, un fondo de 75 millones de dólares, después de que uno de sus mayores clientes se retirara. Este caso no es aislado: los ciberataques whalling —dirigidos específicamente a altos ejecutivos— se han convertido en una de las amenazas más rentables para los ciberdelincuentes. ¿Por qué conformarse con peces pequeños cuando las ballenas pueden proporcionar fortunas enteras?
¿Qué es un ataque whaling y por qué los ejecutivos son blancos tan atractivos?
Un ciberataque whaling es una variedad de spear phishing o compromiso de correo electrónico empresarial (BEC) dirigido a un miembro de alto perfil de la dirección de una empresa, como el CEO, CFO u otros altos cargos. La diferencia fundamental con un ataque de phishing común no está en la técnica, sino en el objetivo: la “ballena”.
Los altos ejecutivos presentan tres características que los convierten en blancos ideales. Primero, tienen poco tiempo: es probable que hagan clic en un enlace malicioso, abran un archivo adjunto peligroso o aprueben una transferencia sin revisarla a fondo. Incluso pueden desactivar controles de seguridad como la autenticación multifactor (MFA) para ahorrar segundos. Segundo, son muy visibles en línea: sus perfiles en redes sociales, entrevistas en medios y presentaciones en eventos permiten a los atacantes recolectar información con la que construir engaños convincentes, como un correo que simula ser de su asistente personal. Tercero, tienen autoridad para acceder a información corporativa sensible y lucrativa —propiedad intelectual, datos financieros— y para aprobar o solicitar transferencias de grandes sumas de dinero.
El mecanismo típico de un ataque whaling
Al igual que en cualquier campaña de spear phishing o BEC, los atacantes realizan un reconocimiento detallado de su objetivo. La información está disponible públicamente: cuentas de redes sociales, sitio web corporativo, entrevistas en prensa, vídeos de conferencias. Los ciberdelincuentes buscan conocer a los subordinados clave, colegas, eventos de la empresa (como fusiones o adquisiciones), intereses personales e incluso el estilo de comunicación del ejecutivo. Si el objetivo final es suplantar a la “ballena”, este conocimiento permite imitar su tono y generar una urgencia creíble.
Una vez recolectada la información, el adversario elabora un correo de spear phishing o BEC. Normalmente, el mensaje se falsifica para que parezca enviado por una fuente de confianza —un subordinado, un socio, un banco— y utiliza la urgencia como palanca psicológica: una transferencia impostergable, una solicitud de aprobación de último minuto, un cambio en los datos bancarios de un proveedor. El objetivo final puede ser obtener las credenciales del ejecutivo, instalar malware robador de información (infostealers) que permita acceder a secretos corporativos monetizables, o secuestrar su cuenta de correo para lanzar ataques BEC contra sus subordinados, haciéndose pasar por la ballena y ordenando transferencias millonarias a un “pez pequeño”. En una variante, el estafador se hace pasar por el jefe de la ballena —por ejemplo, el presidente del consejo— para que el ejecutivo autorice una transferencia sin sospechar.
La inteligencia artificial cambia las reglas del juego
La irrupción de la inteligencia artificial ha hecho que estos ataques sean más fáciles y efectivos. Los delincuentes utilizan modelos de lenguaje grandes (LLMs) sin restricciones o modelos de código abierto para recolectar grandes volúmenes de datos sobre sus objetivos y automatizar el reconocimiento. Luego, la IA generativa (GenAI) les permite crear correos o mensajes de texto en un lenguaje natural impecable, añadiendo contexto relevante y copiando el estilo de escritura del remitente real. La GenAI también se usa para generar deepfakes de audio y vídeo: ya se han documentado casos de estafadores que suplantan la voz de un CEO para engañar a un empleado y conseguir una transferencia, o que crean vídeos falsos de altos ejecutivos para dar órdenes fraudulentas. Con la IA, los ciberataques whaling escalan en volumen y sofisticación, democratizando capacidades que antes estaban reservadas a grupos de amenaza avanzados.
Las pérdidas millonarias no son el único daño: el caso Levitas Capital
El caso de Levitas Capital ilustra hasta dónde puede llegar el impacto. El hedge fund logró bloquear la mayoría de las transacciones fraudulentas aprobadas tras el ataque, pero el daño reputacional fue irreversible. Uno de sus mayores inversores abandonó el fondo, lo que provocó el cierre de los 75 millones de dólares gestionados. La empresa simplemente desapareció. A nivel personal, los ejecutivos engañados suelen ser convertidos en chivos expiatorios por sus superiores o consejos de administración. En 2016, el fabricante austriaco de componentes aeronáuticos FACC sufrió un ataque BEC que llevó al despido inmediato de su CEO, a pesar de que el fraude había sido ejecutado por un empleado del departamento financiero engañado por un correo falso.
Las consecuencias financieras directas incluyen la pérdida de millones de dólares en ingresos. A esto se suman multas regulatorias por filtración de datos sensibles, demandas colectivas de accionistas o clientes afectados, y la interrupción operativa mientras se investiga y se restablece la seguridad informática. La exposición pública de un ataque whaling puede erosionar la confianza de inversores, socios y clientes durante años.
Preguntas frecuentes sobre ciberataques whaling
¿Cómo puedo identificar un ataque whaling?
Un ataque whaling suele presentar señales como un correo que solicita una acción urgente y confidencial (transferencia bancaria, cambio de datos de pago, envío de credenciales), un remitente que parece conocido pero cuya dirección contiene pequeñas variaciones (por ejemplo, un carácter extra o un dominio ligeramente distinto), y un lenguaje que imita el estilo habitual del ejecutivo o de su asistente. Sin embargo, con el uso de IA, estos indicios se vuelven cada vez más sutiles.
¿Son más peligrosos que los ataques de phishing normales?
Sí, porque el objetivo tiene acceso directo a información y procesos de alto valor, y a menudo goza de una cultura corporativa que le permite saltarse controles de seguridad. Una sola transacción fraudulenta puede costar millones de dólares, como ocurrió con Levitas Capital.
¿Qué empresas son más vulnerables?
Cualquier organización con altos ejecutivos visibles en línea y procesos de aprobación de pagos poco robustos es vulnerable. Las empresas medianas que carecen de equipos de seguridad dedicados y de protocolos estrictos de verificación son blancos frecuentes, pero incluso grandes corporaciones han sufrido ataques whaling.
Estrategias para mitigar el riesgo de ciberataques whaling
Protegerse de estos ataques requiere un enfoque multicapa que combine formación ejecutiva, controles de proceso y tecnología avanzada. La formación tradicional de concienciación en ciberseguridad suele ser ineficaz con altos directivos que creen que las reglas no aplican a ellos. Por eso, los programas de entrenamiento deben ser específicos para ejecutivos: sesiones cortas, altamente personalizadas, con simulaciones que repliquen las últimas tácticas de los atacantes, incluyendo deepfakes de audio y vídeo. El contenido debe actualizarse constantemente para reflejar las nuevas TTPs (tácticas, técnicas y procedimientos) de los adversarios.
Controles de proceso y verificación obligatoria
Un paso fundamental es implementar un proceso de aprobación estricto para transferencias de grandes sumas de dinero. Esto puede incluir la verificación por dos personas autorizadas y la confirmación a través de un canal alternativo conocido y seguro —por ejemplo, una llamada telefónica a un número previamente acordado, no al que aparece en el correo. Cualquier solicitud de cambio de datos bancarios de proveedores debe ser verificada por duplicado.
Tecnología defensiva: IA contra IA
Las mismas herramientas de inteligencia artificial que usan los atacantes pueden emplearse para la defensa. Los sistemas de seguridad de correo electrónico basados en IA son capaces de detectar patrones sospechosos de comunicación, remitentes inusuales y contenido fraudulento, incluso cuando el lenguaje es perfectamente natural. El software de detección de deepfakes —tanto de audio como de vídeo— puede señalar en tiempo real si una llamada o videoconferencia es falsa. Además, adoptar un modelo de Zero Trust (confianza cero) proporciona una capa adicional de resiliencia: al aplicar el principio de mínimo privilegio y acceso just-in-time, se limita lo que los ejecutivos pueden acceder y se garantiza que sus credenciales nunca sean confiadas por defecto, incluso si son robadas.
Reducir la exposición pública de información corporativa
En un entorno donde la IA permite encontrar y weaponizar cualquier dato público, las organizaciones deben replantearse qué información corporativa comparten en abierto. Limitar la publicación de detalles sobre la estructura organizativa, eventos internos, viajes de ejecutivos y comunicaciones en redes sociales reduce el material de reconocimiento disponible para los atacantes. Esta medida, combinada con las anteriores, puede dificultar significativamente la fase de preparación de un ataque whaling.
Un futuro en el que la balanza se inclina con la IA
Los ciberataques whaling no desaparecerán. Por el contrario, la democratización de la inteligencia artificial generativa y los deepfakes hará que sean más frecuentes, más personalizados y más difíciles de detectar. La ventana de tiempo entre que un ejecutivo recibe un correo y autoriza una transferencia se mide en segundos, y un solo error puede costar millones. La responsabilidad de proteger a las ballenas recae en los equipos de seguridad, pero también en la cultura corporativa: los altos directivos deben entender que su visibilidad y autoridad los convierten en el eslabón más crítico y, a la vez, más vulnerable. La combinación de formación específica, procesos robustos de verificación, Zero Trust y herramientas de IA defensiva es la única manera de mantener un paso por delante de los whalers. Las organizaciones que no actúen ahora pueden encontrarse, como Levitas Capital, con que la próxima invitación inocente abra la puerta a la ruina.
