Entre estas amenazas destaca el whaling, una modalidad de phishing especialmente diseñada para engañar a altos cargos como CEOs, directores generales, responsables financieros o miembros de los comités ejecutivos. Su nombre no es casual: si el phishing -o método de suplantación de identidad- tradicional persigue ‘peces pequeños’, el whaling va a por las ‘ballenas’, es decir, los perfiles con mayor poder e impacto dentro de una organización. En definitiva, lo que coloquialmente siempre hemos dado en llamar ‘los peces gordos’.
A diferencia del phishing común -que suele basarse en correos masivos, mensajes SMS o enlaces sospechosos enviados a usuarios de a pie-, el whaling se construye con una precisión que podríamos definir como ‘quirúrgica’. Los atacantes investigan a fondo a la víctima: su cargo, su estilo de comunicación, sus responsabilidades, sus contactos habituales y hasta su presencia en redes profesionales. Nada queda al azar.
Con esa información elaboran mensajes extremadamente creíbles, que pueden incluir facturas, avisos legales, solicitudes urgentes de transferencia o documentos que parecen oficiales. El objetivo es simple: lograr que el directivo apruebe un pago, comparta información confidencial o facilite acceso a sistemas internos sin sospechar que está siendo manipulado.
Los casos que ya han sucedido -tal y como nos relatan los expertos del Área Técnica la de empresa tecnológica EUROCYBCAR, cuya CEO y fundadora es Azucena Hernández- demuestran que esta técnica no es una amenaza teórica. En uno de los incidentes más conocidos, los atacantes suplantaron la identidad del CEO de una compañía estadounidense y enviaron instrucciones ‘urgentes’ al departamento financiero para realizar varias transferencias internacionales.
El correo incluía su nombre, su fotografía y hasta su firma corporativa. El resultado fue devastador: la empresa perdió cerca de 90 millones de euros antes de detectar el fraude. Este tipo de ataques se ha multiplicado en sectores donde la velocidad de decisión es algo imprescindible y las operaciones económicas son cuantiosas, como ocurre en la industria del automóvil, especialmente en áreas como compras, logística, electrificación o acuerdos con proveedores tecnológicos.
Las consecuencias para una marca del motor pueden ir mucho más allá del impacto económico. Un ataque exitoso puede comprometer información estratégica sobre nuevos lanzamientos, acuerdos con fabricantes de baterías -algo cada vez más común en la actualidad-, planes de electrificación o datos de clientes. También puede afectar a la reputación de la compañía, generar desconfianza entre socios internacionales y provocar auditorías o sanciones regulatorias.
Por todo ello, la prevención resulta clave. Los expertos recomiendan verificar siempre cualquier solicitud inusual, especialmente si implica transferencias, cambios de cuentas bancarias o acceso a información sensible. La autenticación multifactor en las cuentas de los altos directivos -es decir, pedir más de un método de acceso: por ejemplo, un PIN y una clave enviada por SMS- es imprescindible, así como la formación continua de los equipos que trabajan cerca de ellos: asistentes, departamentos financieros, responsables de compras o personal de comunicación.
Otro principio básico es no ejecutar instrucciones financieras basadas únicamente en un correo electrónico, por muy legítimo que parezca. Confirmar por teléfono o en persona sigue siendo una de las barreras más efectivas. Finalmente, reforzar los procesos internos de aprobación -especialmente en pagos y contratos- reduce de forma drástica la probabilidad de que un atacante pueda aprovechar una urgencia o una cadena de mando poco clara.
El whaling no parece que vaya a ser una moda pasajera, sino una amenaza que no deja de crecer y que lo hace y evoluciona al mismo ritmo que la industria del motor. Y en un sector donde cada decisión puede mover millones, proteger a quienes las toman debería ser algo fundamental.
