Le llamó su consejero delegado. No era él.
129 millones de dólares, tres acusados y dos detenidos en España: quién paga cuando la transferencia la ordena su propio empleado
Con la venia de su señoría.
Nueva York, jueves 5 de noviembre. La fiscalía federal del Distrito Sur hace pública una acusación contra tres hombres a los que atribuye haber estafado unos 129 millones de dólares a empresas de varios países [10][1]. El método que describe no exige forzar ningún sistema informático. Basta un teléfono, la voz de un consejero delegado clonada con inteligencia artificial y un empleado dispuesto a cumplir una orden. Dos de los tres acusados fueron detenidos en España; uno de ellos reside en Marbella [1][3].
El guion, según la acusación, se repetía. La persona que ordena los pagos recibe un correo de un servicio de firma electrónica: el consejero delegado le pide que firme un acuerdo de confidencialidad porque hay una operación reservada en marcha. Poco después suena el teléfono y es su voz. Le anuncia que el abogado que lleva la operación le dará las instrucciones. El abogado, de un gran despacho internacional, llama, insiste en que nadie más de la empresa debe saberlo todavía y dicta la cuenta de destino [2][3].
Ninguno de los dos era quien decía ser.
Lo que se sabe y lo que no
Los tres acusados fueron detenidos fuera de Estados Unidos, que ha pedido su extradición. No hay sentencia y a todos les ampara la presunción de inocencia [2][3]. Lo publicado describe un grupo que elegía a empleados de contabilidad con capacidad para autorizar transferencias elevadas y que trabajaba con un guion escrito para que la víctima no consultara con nadie [2][3]. Entre los perjudicados figuran una empresa tecnológica financiera británica, que perdió cerca de 11,6 millones de dólares, dos grupos hospitalarios, una gestora de fondos y un banco [1][3]. El dinero viajaba a cuentas de distintos países, España entre ellos, y se convertía en criptoactivos [1][2].
No opino sobre ese caso, que corresponde a los jueces. Me interesa otra pregunta: si mañana la llamada la recibe su empresa, ¿quién paga?
La línea que lo decide todo
Casi todo el mundo cree que, si le estafan, el banco devuelve el dinero. Es verdad a medias, y la mitad que falta es la que afecta a las empresas.
La ley de servicios de pago obliga al banco a devolver de inmediato, como máximo al final del día hábil siguiente, el importe de una operación no autorizada (art. 45 del Real Decreto-ley 19/2018) [5]. El Tribunal Supremo ha sido exigente con las entidades en ese terreno: en su sentencia 571/2025, de 9 de abril, confirmó la condena a un banco a reintegrar lo sustraído a un cliente tras el duplicado fraudulento de una tarjeta SIM, y recordó que la entidad responde de las operaciones no autorizadas salvo que pruebe fraude o negligencia grave del usuario [8].
El fraude del CEO cae al otro lado de la línea. Nadie suplanta a la empresa ante el banco. Es la empresa, por medio de su empleado, con sus claves y con su firma, quien da la orden. Una operación está autorizada cuando el ordenante ha dado su consentimiento (art. 36) [5], y aquí lo dio. Engañado, pero lo dio. Para la ley, la empresa pagó porque quiso.
¿Quién cubre la pérdida?
Los autores y quien prestó su cuenta
- Qué cabe esperar
- Responden penalmente (estafa y blanqueo) y deben devolver lo defraudado. En la práctica, cuando llega la sentencia el dinero ya no está y quien prestó la cuenta suele ser insolvente.
Su banco
- Qué cabe esperar
- No está obligado a reembolsar un pago autorizado. La discusión cambia si no verificó al beneficiario o si quien dio la orden no tenía firma autorizada en la cuenta.
El banco que recibió el dinero
- Qué cabe esperar
- Puede retener los fondos si se le avisa a tiempo. Reclamarle la pérdida exige probar que falló en sus propios controles sobre la cuenta receptora.
El seguro
- Qué cabe esperar
- Solo si la póliza cubre expresamente el fraude por suplantación de identidad, y con frecuencia con un límite muy inferior al del resto de coberturas.
El empleado
- Qué cabe esperar
- Es víctima del delito, no autor. Lo que se le pueda exigir se mide con las instrucciones que tenía por escrito.
Quien administra
- Qué cabe esperar
- No responde por el fraude en sí. Responde ante los socios si no había ningún control sobre los pagos.
Preguntas frecuentes
¿Qué delito es en España?
Estafa: engañar a otro, con ánimo de lucro, lo bastante como para que entregue dinero en su perjuicio (art. 248 del Código Penal). La pena básica es de seis meses a tres años de prisión; de uno a seis años y multa si lo defraudado supera los 50.000 euros, y de cuatro a ocho años y multa si supera los 250.000 (art. 250) [4]. Que la voz se haya fabricado con inteligencia artificial no cambia el delito. Cambia lo creíble que resulta el engaño.
¿Y quien solo prestó su cuenta para recibir el dinero?
Comete blanqueo de capitales: prisión de seis meses a seis años si sabía que el dinero procedía de un delito, y de seis meses a dos años si actuó por imprudencia grave (art. 301 del Código Penal) [4]. Además responde con su patrimonio de lo que pasó por su cuenta, aunque rara vez lo tiene.
¿El banco no comprueba ya a quién va la transferencia?
Sí, y conviene conocer el alcance. Desde el 9 de octubre de 2025 los bancos de la zona euro deben comprobar, antes de ejecutar una transferencia en euros, que el nombre del beneficiario coincide con el titular de la cuenta de destino, y avisar si no coincide (Reglamento (UE) 2024/886) [7]. Si el banco no hace esa comprobación, responde. Si avisa de que los datos no coinciden y la empresa sigue adelante, el riesgo es de la empresa. Pero en este fraude el falso abogado dicta el nombre y la cuenta, y los dos coinciden: la comprobación sale correcta porque la cuenta existe y está a nombre de quien él dice.
¿Lo cubre el seguro?
Depende de tres cláusulas que conviene leer hoy. La primera, si la póliza de ciberriesgos o la de fraude incluye la suplantación de identidad, que a menudo es una cobertura opcional. La segunda, el límite, que suele ser muy inferior al general. La tercera, las condiciones: muchas pólizas exigen que la empresa haya comprobado la orden por un segundo canal, y sin esa comprobación no pagan. El seguro de responsabilidad de administradores protege a quien administra frente a las reclamaciones, pero no repone el dinero transferido.
¿Qué le pasa al empleado que hizo la transferencia?
Fue engañado. Lo que la empresa pueda reprocharle depende de si existía un procedimiento escrito de verificación y no lo siguió, o de si nadie le había dicho nunca qué hacer ante una orden urgente y confidencial. En el segundo caso, el reproche sube un piso.
¿Y a quien administra la empresa?
Los socios, la aseguradora y, en su caso, el juez le harán la misma pregunta: qué control había sobre los pagos. La ley exige al administrador la diligencia de un ordenado empresario y que adopte las medidas precisas para el control de la sociedad (art. 225 de la Ley de Sociedades de Capital) [9].
Las primeras 24 horas
El dinero se recupera, cuando se recupera, por rapidez. El orden importa.
- Llamar al banco, al teléfono de fraude, y confirmarlo por escrito: que solicite la devolución de la transferencia y pida a la entidad de destino que retenga los fondos.
- Denunciar el mismo día, con el justificante de la transferencia, la cuenta de destino, los correos y el registro de llamadas, y pedir en la propia denuncia el bloqueo de la cuenta receptora como primera diligencia (art. 13 de la Ley de Enjuiciamiento Criminal) [6].
- Conservar la prueba: no borrar correos ni mensajes, guardar los originales y anotar horas y números.
- Avisar a la aseguradora dentro del plazo de la póliza. Un aviso tardío es el primer motivo para discutir el pago.
- Proteger al empleado. Es el testigo principal y quien mejor puede reconstruir lo ocurrido. Si teme las consecuencias, tardará en contarlo, y aquí cada hora cuenta.
El protocolo: siete reglas que caben en una página
- Dos personas para cada pago relevante. Quien lo prepara no lo aprueba.
- Devolver siempre la llamada a un número que ya constaba en la empresa. Nunca al que facilita el correo o la propia llamada.
- Cuenta nueva, pago aplazado. Cualquier alta o cambio de cuenta bancaria se verifica por un canal distinto y espera un plazo fijo antes del primer pago.
- La urgencia y el secreto no eximen de comprobar. Tampoco cuando la orden viene del primer ejecutivo. Y por escrito: nadie será sancionado por colgar y comprobar.
- Límites pactados con el banco. Tope por operación y por día, firma mancomunada a partir de un importe y aviso de cada beneficiario nuevo. Y no renunciar a la verificación del beneficiario, tampoco en los pagos en lote.
- La voz ya no identifica a nadie. Una pregunta de control acordada de antemano para cualquier orden de pago por teléfono o videollamada.
- Un simulacro al año y, el mismo día, releer la póliza.
En la misma página, los teléfonos a los que se llama si alguien sospecha que ya ha ocurrido: banco, abogado y aseguradora.
Mi criterio
Este fraude no se dirige a quien manda, sino a quien obedece. Funciona porque pide dos cosas que en una empresa suenan razonables: urgencia y discreción. Y la ley, hoy, deja la pérdida donde se dio la orden. La reforma europea de los servicios de pago que se está tramitando prevé que el banco reembolse a los consumidores cuando el estafador se hace pasar por el propio banco. No a las empresas, y no cuando se hace pasar por su consejero delegado.
Por eso la protección no está en reclamar después, sino en lo que estuviera escrito antes. El protocolo no cuesta dinero. Cuesta una decisión de quien dirige: aceptar que también sus órdenes se comprueban.
Si mañana suena el teléfono de su contabilidad y la voz es la suya, ¿quién tiene que decir que no?
Visto para sentencia.
Fuentes
- CyberScoop, «Authorities accuse trio of using AI deepfakes to defraud $129M from businesses», 06/11/2026. Enlace
- Infobae, «Tres hombres imitaron con IA la voz de directores ejecutivos y robaron USD 129 millones a empresas», 07/11/2026. Enlace
- Biometric Update, «Deepfake CEOs, stolen lawyer identities fuel alleged $129M fraud», 08/11/2026. Enlace
- Código Penal (LO 10/1995), texto consolidado, arts. 248, 250 y 301. BOE. Enlace
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, arts. 36 y 45. BOE. Enlace
- Ley de Enjuiciamiento Criminal, art. 13. BOE. Enlace
- Reglamento (UE) 2024/886 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024 (verificación del beneficiario, art. 5 quater del Reglamento (UE) n.º 260/2012).
- Tribunal Supremo, Sala de lo Civil, sentencia 571/2025, de 9 de abril (rec. 1151/2023), ECLI:ES:TS:2025:1671.
- Ley de Sociedades de Capital (Real Decreto Legislativo 1/2010), art. 225.
- Fiscalía federal del Distrito Sur de Nueva York, nota de prensa n.º 26-317, 05/11/2026 (en inglés). Enlace
