Estafas de Compromiso de Correo Electrónico Empresarial (BEC)
Las estafas de Compromiso de Correo Electrónico Empresarial (BEC) representan uno de los esquemas de fraude más costosos dirigidos a organizaciones en todo el mundo. En estos ataques, los criminales investigan las jerarquías corporativas y patrones de comunicación, luego utilizan cuentas de correo electrónico falsificadas o comprometidas para hacerse pasar por ejecutivos, frecuentemente el CEO o CFO, y solicitan transferencias bancarias urgentes o información sensible. El Centro de Denuncias de Delitos por Internet (IC3) del FBI informó que las estafas BEC causaron más de 2.700 millones de dólares en pérdidas en casi 21.000 denuncias en 2023, con pérdidas promedio superiores a 50.000 dólares por incidente. Lo que hace que BEC sea particularmente peligroso es que explota procesos comerciales legítimos—la mayoría de las organizaciones procesan transferencias bancarias regularmente—lo que hace que la solicitud fraudulenta parezca rutinaria para el personal de contabilidad ocupado. Los estafadores a menudo realizan semanas de reconocimiento, monitoreando patrones de correo electrónico, ciclos financieros y cambios de personal antes de atacar, por lo que incluso empleados conscientes de la seguridad pueden ser víctimas.
Common Tactics
- • Suplantación de identidad de ejecutivos mediante correo electrónico falsificado: Los estafadores crean direcciones de correo electrónico que imitan estrechamente la dirección real del CEO o CFO, diferenciándose por solo uno o dos caracteres ('[email protected]' en lugar de '[email protected]'), o comprometen una cuenta de correo electrónico interna legítima para enviar solicitudes que parecen venir directamente del liderazgo de la empresa.
- • Encuadre de solicitud urgente con escenarios fabricados: Los criminales presionan a los empleados afirmando que la transferencia bancaria es necesaria para una adquisición confidencial, pago de emergencia a un proveedor, acuerdo legal, u oportunidad comercial sensible al tiempo que no puede ser discutida con otros miembros del personal debido a preocupaciones de confidencialidad o competencia.
- • Investigación y reconocimiento: Antes de lanzar el ataque, los estafadores pasan semanas o meses estudiando la estructura organizativa de la empresa objetivo, procesos financieros, nombres de empleados y noticias recientes para elaborar solicitudes que se alineen con actividades comerciales normales y hagan referencia a escenarios realistas.
- • Solicitud de transferencia bancaria a cuentas inesperadas: El estafador dirige al empleado a enviar fondos a una cuenta bancaria que difiere de la cuenta normal del proveedor, alegando que el proveedor cambió temporalmente de banco, la empresa matriz tiene un nuevo portal de pagos, o los fondos deben ir a una cuenta de depósito en garantía mantenida por un despacho de abogados.
- • Supresión de intentos de verificación: Cuando se cuestiona, el ejecutivo falso afirma que está en reuniones consecutivas, viajando internacionalmente, lidiando con una emergencia personal, o no puede discutir detalles por correo electrónico, evitando deliberadamente que el empleado llame para verificar la solicitud a través de canales normales.
- • Seguimiento de urgencia y tácticas de distracción: Los estafadores envían correos electrónicos de seguimiento afirmando que el acuerdo se está desmoronando, los competidores están listos para adquirir el objetivo, o el proveedor trabajará con otra empresa a menos que se realice el pago de inmediato, manteniendo la presión e impidiendo la reflexión.
How to Identify
- Solicitud inesperada de transferencia bancaria del liderazgo de la empresa alegando urgencia o confidencialidad: Los ejecutivos legítimos rara vez utilizan correo electrónico para solicitar transferencias bancarias urgentes sin confirmación verbal de seguimiento o procedimientos de adquisición establecidos, especialmente para destinos de pago inusuales.
- Dirección de correo electrónico que es similar pero no idéntica a direcciones conocidas de ejecutivos: Examine cuidadosamente la dirección de correo electrónico completa—los estafadores a menudo cambian una letra o utilizan un nombre de dominio similar que parece legítimo a primera vista pero difiere del dominio conocido de la empresa.
- Solicitud de enviar fondos a una cuenta diferente del historial de pagos establecido del proveedor: Si un proveedor habitual de repente solicita el pago a una nueva cuenta bancaria, especialmente una cuenta internacional, esta es una señal de alerta importante que debe desencadenar verificación independiente.
- Presión para eludir los procedimientos de aprobación normales o mantener la solicitud confidencial: Las transacciones comerciales legítimas siguen flujos de autorización establecidos; las solicitudes para eludir estos controles u ocultar la transacción de otros ejecutivos indican intención fraudulenta.
- Lenguaje vago sobre el motivo de la transferencia combinado con negativa a discutir detalles: Los estafadores proporcionan especificaciones mínimas sobre el propósito de la transferencia y se niegan a elaborar, citando confidencialidad, mientras que las solicitudes comerciales legítimas típicamente incluyen órdenes de compra detalladas, facturas o contratos.
- Estilo de comunicación inconsistente o errores gramaticales en correos electrónicos de ejecutivos: Si los correos electrónicos de un ejecutivo de la empresa contienen frases inusuales, errores gramaticales, o un tono que difiere de su estilo de comunicación normal, esto puede indicar una cuenta comprometida o falsificada.
How to Protect Yourself
- Establecer un protocolo de verificación de transferencia bancaria que requiera confirmación verbal: Antes de procesar cualquier solicitud de transferencia bancaria, requiera que los empleados llamen al solicitante utilizando un número de teléfono del directorio interno de la empresa (no un número proporcionado en el correo electrónico) para confirmar verbalmente la solicitud, cantidad y destino del pago.
- Implementar aprobación múltiple para transferencias bancarias por encima de una cantidad umbral: Requiera que las solicitudes de transferencia bancaria por encima de un monto en dólares especificado (10.000, 25.000 o superior dependiendo del tamaño de la empresa) sean aprobadas por al menos dos personas autorizadas, con verificación realizada independientemente por cada aprobador.
- Utilizar tecnologías de autenticación de correo electrónico: Implemente SPF (Marco de Política de Remitente), DKIM (Correo Identificado por Claves de Dominio) y DMARC (Autenticación, Informe y Conformidad Basados en Dominio) para prevenir la suplantación de su propio dominio, y capacite a los empleados para reconocer cuándo estas protecciones están ausentes en correos electrónicos externos.
- Conducir capacitación regular sobre tácticas BEC para personal de finanzas, contabilidad y ejecutivo: Proporcione capacitación anual o semestral de conciencia de seguridad que incluya ejemplos reales de estafas BEC, instrucción sobre procedimientos de verificación, y ejercicios de simulación donde los empleados practican la identificación de solicitudes sospechosas.
- Mantener una lista actualizada de destinos de pago autorizados y verificar todos los cambios a través de canales secundarios: Mantenga una lista documentada de todos los proveedores habituales y su información de cuenta bancaria autorizada, y requiera que cualquier cambio en el destino de pago sea verificado directamente con el proveedor utilizando un número de teléfono conocido antes de procesar.
- Monitorear la suplantación de dominio y configurar alertas de correo electrónico para actividad sospechosa: Utilice herramientas de seguridad de correo electrónico que marquen correos electrónicos de direcciones externas que se asemejen estrechamente a direcciones internas, y configure alertas para actividad inusual de transferencia bancaria, como transferencias a nuevos beneficiarios o destinos internacionales que no sean típicos para su empresa.
Real-World Examples
El gerente de contabilidad de una empresa manufacturera mediana recibió un correo electrónico que parecía ser del CEO solicitando una transferencia bancaria urgente de 87.000 dólares a un despacho de abogados para el cierre de una adquisición confidencial ese mismo día. El correo electrónico provenía de '[email protected]' (en realidad '[email protected]' con una 's' adicional), y el gerente, bajo presión de tiempo, procesó la transferencia sin llamar para verificar. Cuando la asistente real del CEO hizo seguimiento preguntando sobre la transferencia bancaria la mañana siguiente, el fraude fue descubierto, pero los fondos ya habían sido transferidos a través de cuentas intermediarias en Europa del Este y eran irrecuperables.
Un empleado de cuentas por pagar en una empresa de servicios de salud recibió un correo electrónico del CFO solicitando el pago inmediato de 143.000 dólares a un nuevo proveedor para actualizaciones de infraestructura informática. El correo electrónico enfatizaba que el acuerdo estaba cerrando ese día y no podía ser discutido con otro personal debido a confidencialidad. El empleado procesó la transferencia a la cuenta proporcionada pero luego descubrió que no existía ningún proyecto informático legítimo y que el correo electrónico del CFO había sido comprometido a través de un ataque de phishing. El estafador había pasado dos semanas monitoreando las comunicaciones por correo electrónico de la empresa para identificar patrones de pago y personal clave.
El controlador de una empresa de servicios financieros recibió múltiples correos electrónicos durante tres días que parecían ser del CEO solicitando transferencias bancarias totalizando 287.000 dólares para el pago de un proveedor de emergencia y acuerdo legal. Cada correo electrónico incluía referencias internas específicas y terminología que sugería conocimiento legítimo de las operaciones de la empresa. El controlador se volvió sospechoso cuando una solicitud de seguimiento llegó del 'CEO' pidiendo que la transacción se completara 'discretamente' sin notificar al CFO. La investigación reveló que el atacante había comprometido la cuenta de correo electrónico de un empleado de marketing junior y la utilizó para estudiar las comunicaciones internas de la empresa durante dos semanas antes de lanzar el ataque.