¿Qué es el compromiso de correo electrónico comercial (BEC)?

¿Qué es el Business Email Compromise (BEC)?

¿Sabía que las empresas de todo el mundo se enfrentan a una amenaza creciente que ya les ha costado miles de millones de dólares? El Business Email Compromise (BEC) es un tipo de ciberataque que sigue evolucionando y causando estragos en organizaciones de todos los tamaños.

En esta entrada del blog, nos adentraremos en el mundo de los BEC, descubriendo sus diversas formas, cómo se desarrollan estos ataques y el devastador impacto que pueden tener en las empresas. Y lo que es más importante, le proporcionaremos estrategias y soluciones eficaces para proteger a su organización de ser víctima de estas estafas maliciosas.

Resumen

• El correo electrónico comercial comprometido (BEC) es una estafa en la que los ciberdelincuentes se hacen pasar por ejecutivos o socios para engañar a los empleados y conseguir que transfieran dinero o revelen datos confidenciales.
• Los ataques BEC pueden provocar importantes pérdidas financieras, comprometer los datos y dañar la reputación de una empresa.
• Las estrategias de prevención incluyen la formación de los empleados, sólidos sistemas de seguridad del correo electrónico, autenticación multifactor y rigurosos procedimientos de control financiero.

No se convierta en víctima del cibercrimen. Proteja sus dispositivos con el mejor antivirus y su privacidad con la mejor VPN.

Comprender el compromiso del correo electrónico empresarial (BEC)

El Business Email Compromise (BEC) es un delito en rápido aumento y muy costoso que se facilita a través de Internet. Consiste en que los ciberdelincuentes se hacen pasar por alguien de confianza, como un ejecutivo o un proveedor, para acceder a información sensible o a dinero. La prevalencia de las estafas BEC no ha dejado de aumentar, probablemente debido al incremento del trabajo a distancia, lo que la convierte en una amenaza aún más peligrosa para las empresas.

El FBI considera que el BEC es una preocupación importante, ya que puede provocar pérdidas financieras y dañar la reputación de una empresa. Para comprender mejor esta creciente amenaza, exploremos los fundamentos del BEC y su conexión con el Email Account Compromise (EAC).

Los fundamentos del BEC

El BEC es un tipo de ciberataque que implica a malos actores que se hacen pasar por alguien de confianza, como un ejecutivo de una empresa o un empleado del departamento financiero, para manipular a las personas con el fin de que divulguen información confidencial, envíen dinero o ayuden al atacante a cometer un fraude.

En algunos casos, los estafadores utilizan phishing o malware para acceder a la cuenta de correo electrónico de un empleado, como un gestor de cuentas por cobrar, y envían facturas falsas a los proveedores de la empresa, solicitando el pago a una cuenta bancaria fraudulenta. En esencia, el BEC se aprovecha de la confianza generada dentro de una organización, lo que lo convierte en una amenaza especialmente insidiosa.

La conexión con el compromiso de cuentas de correo electrónico (EAC)

Mientras que el BEC se centra en que el atacante se haga pasar por una persona de confianza, el EAC implica que el atacante obtenga acceso a una cuenta de correo electrónico válida y actúe como si fuera su propietario. Esto puede dificultar aún más la detección y detención de BEC y EAC, especialmente cuando se confía en herramientas antiguas, productos de un solo uso y las medidas de seguridad que acompañan a las plataformas en la nube.

Es esencial comprender el vínculo entre BEC y EAC, ya que cada vez más estafas del tipo BEC utilizan cuentas comprometidas para llevar a cabo sus actividades maliciosas.

Tipos comunes de estafas BEC

Para equiparnos mejor contra los ataques BEC, es crucial comprender los distintos tipos de estafas que el FBI y otros expertos en ciberseguridad han identificado. Entre ellos se incluyen el fraude del CEO, la suplantación de la identidad de un abogado, el robo de datos, el compromiso de la cuenta de correo electrónico y el compromiso del correo electrónico del proveedor. Cada tipo de estafa BEC plantea riesgos únicos, pero todos pueden provocar pérdidas financieras, daños a la reputación y otros efectos negativos para las empresas.

Profundicemos en los detalles de cada una de estas estafas BEC comunes, empezando por el fraude del CEO, que se dirige a empleados desprevenidos haciéndose pasar por ejecutivos de alto nivel.

Fraude al director general

El fraude del CEO es un tipo de ataque de phishing dirigido por correo electrónico en el que el atacante se hace pasar por el CEO de la empresa u otro alto ejecutivo. El objetivo es manipular a un empleado para que transfiera dinero o datos sensibles, como propiedad intelectual o credenciales, al atacante.

Los estafadores acceden a la cuenta de correo electrónico de un CEO y envían instrucciones a los empleados para que realicen una compra, envíen dinero mediante transferencia bancaria o incluso compren tarjetas regalo y compartan los números de serie. El fraude del CEO puede tener graves consecuencias para las empresas, con pérdidas financieras y daños a la reputación.

Esquemas de facturación de proveedores

Las estafas de facturas de proveedores consisten en que los estafadores se hacen pasar por proveedores legítimos y envían facturas falsas para engañar a las empresas para que realicen los pagos. Un atacante puede hacerse pasar por un proveedor y manipular a un empleado para que realice un pago por un servicio alterando los datos de la cuenta en una plantilla de factura de proveedor oficial.

Mantenerse alerta y aplicar medidas de seguridad son cruciales para prevenir y mitigar los daños causados por estas estafas fraudulentas.

Suplantación de un profesional jurídico

La suplantación de identidad de profesionales jurídicos es otro tipo de estafa BEC en la que los atacantes piratean las cuentas de correo electrónico de los abogados y envían solicitudes de pago o facturas fraudulentas a los clientes. El atacante puede hacerse pasar por un abogado o alguien de un equipo jurídico e intentar presionar o manipular a un empleado para que actúe.

La suplantación de la personalidad jurídica de un profesional puede acarrear pérdidas financieras, daños a la reputación y otros efectos adversos para las empresas.

Cómo se desarrollan los ataques BEC

Una estafa BEC típica implica varios pasos, desde la selección del objetivo hasta su ejecución. Comprender estos pasos puede ayudar a las organizaciones a protegerse mejor de posibles ataques. Los ataques BEC suelen producirse mediante técnicas de ingeniería social, en las que los atacantes se hacen pasar por colegas de confianza y solicitan pagos o información confidencial.

Para arrojar luz sobre cómo se desarrollan estos ataques, exploremos el proceso de selección de organizaciones y empleados, recopilación de información y, finalmente, lanzamiento del ataque.

Dirigirse a organizaciones y empleados

Los atacantes de BEC suelen dirigirse a personas concretas dentro de las organizaciones, como ejecutivos, personal de recursos humanos y de finanzas. Utilizan la ingeniería social y el spear phishing para intentar extraer información confidencial o dinero de sus objetivos.

Los estafadores suelen empezar creando una lista de correos electrónicos a los que dirigirse y haciéndose pasar por alguien de la red corporativa para engañar al objetivo y conseguir que envíe dinero a la cuenta del atacante. Ser consciente de estas tácticas y mantenerse alerta puede ayudar a los empleados a protegerse contra estos sofisticados ataques.

Recopilación de información

Los estafadores investigan y recopilan información sobre sus objetivos para que sus ataques resulten más convincentes. Podrían utilizar herramientas de generación de contactos como LinkedIn, plataformas de medios sociales, fuentes de noticias empresariales y del sector, y software de prospección y creación de listas.

A continuación, emplean técnicas de ingeniería social, phishing y reconocimiento para manipular a los objetivos para que faciliten información confidencial. Cuanta más información recopilan los atacantes, más convincentes pueden parecer sus correos electrónicos, lo que aumenta las probabilidades de éxito.

Lanzamiento del ataque

Una vez que los atacantes han recopilado suficiente información, inician la estafa BEC a través de correos electrónicos de phishing u otras tácticas de ingeniería social. Suelen empezar enviando correos electrónicos masivos que parecen proceder de una fuente legítima pero que contienen un enlace o un archivo adjunto sospechoso.

Reconocer los signos de un ataque BEC y tomar las medidas adecuadas puede ayudar a evitar pérdidas financieras y daños a la reputación.

El impacto del BEC en las empresas

El devastador impacto del Business Email Compromise (BEC) en las empresas no puede exagerarse. Es uno de los delitos en línea más perjudiciales desde el punto de vista financiero, ya que causa pérdidas millonarias en todo el mundo. Sólo en 2021, el Centro de Denuncias de Delitos en Internet (IC3) informó de pérdidas de más de 2.400 millones de dólares debidas a BEC.

Las consecuencias de un ataque BEC exitoso se extienden más allá de las pérdidas financieras, dañando la reputación de una organización y erosionando la confianza de los clientes. Examinemos con más detalle las pérdidas financieras y los daños a la reputación causados por los ataques BEC.

Pérdidas financieras

Los ataques BEC han provocado pérdidas financieras asombrosas, con más de 43.000 millones de dólares registrados en todo el mundo. Sólo en 2021, el IC3 informó de pérdidas superiores a 2.400 millones de dólares. Estas pérdidas proceden principalmente del fraude en las transferencias bancarias, el fraude en las facturas y la pérdida de información confidencial.

Para protegerse contra estas pérdidas financieras, las organizaciones deben invertir en medidas de seguridad sólidas y en la formación de sus empleados.

Daños a la reputación

Un ataque BEC exitoso puede tener consecuencias duraderas para la reputación de una empresa. Los clientes pueden perder la confianza en la organización si creen que no protegió su información confidencial. El daño a la reputación puede provocar un descenso en la fidelidad de los clientes, una caída en la captación de clientes y una disminución del valor general de la marca.

Prevenir y mitigar los ataques BEC es crucial para mantener la reputación de una empresa y la confianza de sus clientes.

Estrategias para prevenir y mitigar los ataques BEC

Para protegerse contra las estafas BEC, las organizaciones deben adoptar un enfoque multifacético que incluya la formación y concienciación de los empleados, la implementación de la autenticación multifactor (MFA) y la utilización de herramientas de seguridad del correo electrónico. Ser consciente de los escenarios comunes de ataque, crear una cultura de cumplimiento y tener una defensa en capas son esenciales para reducir el riesgo de delitos BEC.

Exploremos en detalle algunas de las estrategias más eficaces para prevenir y mitigar los ataques BEC, incluyendo la formación y concienciación de los empleados, la MFA y las herramientas de seguridad del correo electrónico.

Formación y sensibilización de los empleados

Los programas de formación y concienciación que hacen hincapié en la cultura de la seguridad y el aprendizaje continuo son cruciales para reducir el riesgo de delitos BEC. Debe enseñarse a los empleados a detectar posibles correos electrónicos y solicitudes de phishing, a crear contraseñas seguras y actualizarlas con regularidad, a hacer copias de seguridad de todos los datos esenciales y a realizar simulacros de phishing con regularidad.

Dotar a los empleados de las habilidades necesarias para identificar y abordar los correos electrónicos sospechosos y otras actividades maliciosas puede reducir significativamente la probabilidad de éxito de un ataque BEC.

Implantación de la autenticación multifactor (MFA)

La autenticación multifactor (MFA) es una medida de seguridad eficaz que requiere factores de autenticación adicionales, como un código, un PIN o una huella dactilar, junto con una contraseña para iniciar sesión. Configurar la MFA para todas las cuentas de correo electrónico de la empresa puede ayudar a protegerse contra el acceso no autorizado y los ataques de Business Email Compromise (BEC).

La utilización de estrategias MFA como las contraseñas de un solo uso (OTP), la autenticación biométrica y los tokens de hardware pueden mejorar aún más la seguridad de las cuentas de correo electrónico.

Utilizar las herramientas de seguridad del correo electrónico

Las herramientas de autenticación del correo electrónico como SPF, DKIM y DMARC pueden ayudar a protegerse contra los ataques BEC al verificar la identidad del remitente y garantizar que el mensaje no ha sido alterado.

Las soluciones avanzadas de protección contra amenazas, como Avanan, Proofpoint y Mimecast, pueden ayudar a detectar y bloquear los ataques BEC en tiempo real, mejorando la seguridad y reduciendo el riesgo de pérdidas financieras y daños a la reputación.

Soluciones para combatir las amenazas BEC

Para protegerse contra las amenazas BEC, las organizaciones deben considerar la adopción de una serie de soluciones de ciberseguridad, desde plataformas de correo electrónico seguras con funciones de seguridad integradas hasta soluciones avanzadas de protección contra amenazas que puedan detectar y bloquear los ataques BEC en tiempo real. Además, los programas de formación y concienciación de los empleados que se centran en identificar, evaluar y responder a los ataques BEC son esenciales para reducir el riesgo de estas estafas maliciosas.

Echemos un vistazo más de cerca a algunas de las soluciones disponibles para combatir las amenazas BEC, incluidas las plataformas de correo electrónico seguro y las soluciones de protección contra amenazas avanzadas.

Plataformas de correo electrónico seguras

Las plataformas de correo electrónico seguro, como la Secure Email Gateway basada en la nube de Mimecast con Targeted Threat Protection, ofrecen funciones de seguridad avanzadas para ayudar a protegerse contra las amenazas de Business Email Compromise (BEC). Estas plataformas pueden ayudar a detectar y bloquear correos electrónicos y archivos adjuntos maliciosos, así como proporcionar capas adicionales de autenticación para evitar el acceso no autorizado.

Invertir en una plataforma de correo electrónico segura es un paso crucial para salvaguardar su organización de las estafas BEC.

Soluciones avanzadas de protección contra amenazas

Las soluciones avanzadas de protección contra amenazas, como Avanan, Proofpoint, Mimecast, Agari DMARC Protection, Tessian Cloud Email Security y Barracuda Email Protection, utilizan algoritmos sofisticados y enfoques multicapa para analizar miles de señales y detectar amenazas complejas del correo electrónico. Estas soluciones ofrecen detección y bloqueo en tiempo real de los ataques BEC, lo que puede mejorar significativamente la seguridad y reducir el riesgo de pérdidas financieras y daños a la reputación.

La implantación de soluciones de protección contra amenazas avanzadas es un componente crucial en la defensa de su organización contra los ataques BEC.

Resumen

En conclusión, el Business Email Compromise (BEC) es una amenaza omnipresente y costosa que tiene el potencial de causar importantes pérdidas financieras y daños a la reputación de una empresa. Al comprender los distintos tipos de estafas BEC, cómo se desarrollan y su impacto en las empresas, las organizaciones pueden protegerse mejor contra estos ataques maliciosos. La aplicación de estrategias como la formación y concienciación de los empleados, la autenticación multifactor y la utilización de herramientas de seguridad del correo electrónico, así como la adopción de plataformas de correo electrónico seguras y soluciones de protección contra amenazas avanzadas, pueden reducir significativamente el riesgo de ser víctima de BEC. Manténgase alerta, invierta en medidas de seguridad sólidas y proteja a su organización de las devastadoras consecuencias del Business Email Compromise.

Cómo mantenerse seguro en línea:

• Utilice contraseñas seguras: Utilice una contraseña única y compleja para cada cuenta. Un gestor de contraseñas puede ayudarle a generarlas y almacenarlas. Además, active la autenticación de dos factores (2FA) siempre que esté disponible.
• Invierta en su seguridad: Comprar el mejor antivirus para Windows 11 es clave para su seguridad en línea. Un antivirus de alta calidad como Norton, McAfee o Bitdefender salvaguardará su PC de varias amenazas en línea, incluyendo malware, ransomware y spyware.
• Tenga cuidado con los intentos de phishing: Sea precavido cuando reciba comunicaciones sospechosas que le pidan información personal. Las empresas legítimas nunca le pedirán datos confidenciales por correo electrónico o mensaje de texto. Antes de hacer clic en cualquier enlace, asegúrese de la autenticidad del remitente.
• Manténgase informado: En nuestro blog cubrimos una amplia gama de temas de ciberseguridad. Y hay varias fuentes creíbles (en inglés) que ofrecen informes y recomendaciones sobre amenazas, como NIST, CISA, FBI, ENISA, Symantec, Verizon, Cisco, Crowdstrike y muchas más.

¡Manténgase seguro en Internet!

Preguntas más frecuentes

A continuación encontrará las preguntas más frecuentes.