Fraude de CEO: Cómo los estafadores suplanten ejecutivos
El fraude de CEO, también llamado compromiso de correo electrónico empresarial (BEC), es una estafa sofisticada en la que los delincuentes suplatan a ejecutivos de empresas para engañar a los empleados y que transfieran fondos o información confidencial. El estafador generalmente se dirige a departamentos de finanzas o empleados con acceso a cuentas empresariales, creando una falsa sensación de urgencia para eludir los procedimientos normales de verificación. Según el FBI, los esquemas de BEC cuestan a las organizaciones más de $2.7 mil millones anuales, con pérdidas promedio por incidente entre $50,000 y $200,000. Esta estafa ha evolucionado significativamente desde 2013, cuando surgió por primera vez; las variantes modernas ahora incluyen esquemas de desviación de nómina, fraude de pago a proveedores y solicitudes de transferencia bancaria disfrazadas como adquisiciones confidenciales. A diferencia de los ataques de phishing que lanzan una red amplia, el fraude de CEO es altamente dirigido e investigado, con estafadores estudiando jerarquías empresariales, relaciones entre empleados y procesos financieros antes de lanzar ataques.
Common Tactics
- • Enviar correos electrónicos desde direcciones de correo falsificadas o similares que imiten la dirección real del CEO o CFO, a menudo diferenciándose por un carácter o usando nombres de dominio similares como 'empresanombre.com' en lugar de 'empresa.com'.
- • Crear urgencia artificial afirmando una adquisición confidencial, transferencia bancaria de emergencia o asunto comercial urgente que requiere acción inmediata antes del horario comercial normal o fuera de los procedimientos normales de verificación.
- • Solicitar transferencias bancarias a cuentas bancarias recién abiertas, billeteras de criptomonedas o cuentas en el extranjero, a menudo disfrazadas como pagos a proveedores, bonificaciones de empleados o honorarios de liquidación que parecen plausibles para el personal de finanzas.
- • Utilizar información recopilada de LinkedIn, sitios web de empresas y redes sociales para hacer referencia a empleados, proyectos o detalles financieros específicos que hagan que la solicitud parezca legítima e informada.
- • Instruir a las víctimas para que mantengan absoluto secreto y eviten discutir la transacción con otros empleados, alegando que el asunto es confidencial debido a discusiones de adquisición, problemas regulatorios o cuestiones legales.
- • Hacer seguimiento con correos electrónicos de presión adicionales o llamadas de 'abogados' o 'contadores' que se hacen pasar por terceros que refuerzan la urgencia y legitimidad de la solicitud financiera.
How to Identify
- Correos electrónicos de ejecutivos solicitando transferencias bancarias inusuales, especialmente a nuevos proveedores o cuentas, o pidiendo eludir los procesos normales de aprobación de pago sin justificación comercial clara.
- Direcciones de remitente casi idénticas a los correos electrónicos de ejecutivos conocidos pero que contienen variaciones ortográficas sutiles, extensiones de dominio alternativas o uso de servicios de correo electrónico externos en lugar de dominios empresariales.
- Solicitudes marcadas como altamente confidenciales, urgentes o sensibles al tiempo con instrucciones para evitar discutir el asunto con departamentos de contabilidad, legal u otros departamentos que normalmente verificarían tales transacciones.
- Inconsistencias de gramática, tono o formato en correos electrónicos de ejecutivos, como fraseología inusual, falta de información de contacto o ausencia de firmas de correo electrónico estándar utilizadas típicamente por la dirección de la empresa.
- Solicitudes de transferencia bancaria a proveedores desconocidos, nuevos beneficiarios o cuentas en diferentes países, particularmente cuando el ejecutivo solicitante normalmente se comunica a través de otros canales o nunca ha solicitado transferencias bancarias anteriormente.
- Comunicaciones de seguimiento de supuestos abogados, contadores o asociados comerciales que agreguen presión y legitimidad confirmando detalles de la transacción o proporcionando documentación legal falsa.
How to Protect Yourself
- Establecer protocolos de verificación obligatorios para todas las transferencias bancarias y transferencias de fondos que excedan un umbral especificado ($10,000+), requiriendo confirmación verbal a través de un número de teléfono conocido, no uno proporcionado en el correo electrónico.
- Crear una lista de direcciones de correo electrónico y preferencias de comunicación para todos los ejecutivos en toda la empresa, y entrenar a los empleados para verificar solicitudes a través de canales alternativos (llamada telefónica a un número conocido, verificación en persona o correo electrónico secundario).
- Implementar autenticación multifactor en todas las cuentas de correo electrónico, particularmente aquellas con acceso financiero, y habilitar estándares de autenticación de dominio de correo electrónico (SPF, DKIM, DMARC) para prevenir falsificación de correo electrónico.
- Establecer una política que requiera que las solicitudes de transferencia bancaria siempre sean aprobadas por al menos dos empleados en diferentes departamentos, con rastros de aprobación documentados separados de las comunicaciones por correo electrónico.
- Realizar capacitación regular de conciencia de seguridad enfocada específicamente en fraude de CEO, incluyendo correos electrónicos de phishing simulados y escenarios que prueben la capacidad de los empleados para identificar comunicaciones falsificadas y seguir procedimientos de verificación.
- Monitorear actividad anómala de cuentas, como reglas de reenvío de correo electrónico, inicios de sesión inesperados en ubicaciones o acceso desde nuevos dispositivos a cuentas ejecutivas, que pueden indicar compromiso de cuenta antes de que ocurra el fraude.
Real-World Examples
Un gerente de finanzas en una empresa manufacturera de tamaño medio recibió un correo electrónico del 'CEO' solicitando una transferencia bancaria urgente de $85,000 a una nueva cuenta de proveedor para el cierre de una adquisición confidencial ese día. El correo electrónico provenía de un dominio que se diferenciaba por una letra del dominio real de la empresa e incluía una solicitud de mantener el asunto en privado. En pocas horas, el empleado transfirió los fondos sin seguir el proceso normal de aprobación de tres personas de la empresa. Cuando el CEO real regresó de una reunión con clientes y preguntó sobre la transferencia, el dinero ya había sido movido a través de múltiples cuentas internacionales y era irrecuperable.
Un director de recursos humanos en una empresa de tecnología recibió lo que parecía ser un mensaje del CFO solicitando información de W-2 de empleados y detalles de depósito directo para 'actualizaciones del sistema de nómina'. El estafador obtuvo acceso a información personal de 240 empleados, que luego fue utilizada en esquemas de robo de identidad y fraude de reembolso de impuestos. La dirección de correo electrónico utilizada era casi idéntica a la dirección real del CFO pero usaba un dominio ligeramente diferente. El personal de recursos humanos no verificó a través de sus canales normales porque la solicitud provenía de alguien que 'reconocían' e involucraba procesos empresariales estándar.
El departamento de contabilidad de una startup recibió múltiples correos electrónicos durante tres días del cofundador de la empresa solicitando transferencias bancarias totalizando $180,000 para gastos de relaciones con inversionistas y honorarios de liquidación legal relacionados con una adquisición pendiente. Los correos electrónicos incluían referencias específicas a miembros de la junta directiva y detalles financieros encontrados en documentos privados de inversores de la empresa. Las llamadas de seguimiento de alguien que se hacía pasar por el abogado de la empresa reforzaban la urgencia. El equipo de finanzas realizó las dos primeras transferencias antes de darse cuenta de que los correos electrónicos eran fraudulentos cuando la asistente real del cofundador llamó para confirmar un pago completamente diferente.