¿Qué es el business email compromise (BEC)?

La suplantación de correo electrónico empresarial es un ciberataque en el que delincuentes se hacen pasar por alguien en quien confías para engañarte y lograr que envíes dinero o entregues datos sensibles. Los atacantes pasan semanas aprendiendo cómo se comunica una empresa, quién tiene la autoridad y cuándo atacar. Para cuando el correo llega, parece un correo normal de alguien que conoces.

¿Cómo funciona un ataque BEC?

Hay un método probado y fiable para estos ataques, y los estafadores lo siguen siempre.

Paso 1 – Encontrar el objetivo

La clave de un ataque de suplantación de correo electrónico empresarial es que tiene que resultar convincente. Por suerte para los atacantes, Internet es una mina de oro de información sobre posibles objetivos. Un vistazo rápido a tu perfil en redes sociales puede revelar tu trabajo, tus amigos cercanos e incluso tu tono de voz. Si juntas eso con comunicados de prensa sobre los próximos movimientos de tu empresa y biografías de sitios web corporativos, empieza a parecer creíble.

Los atacantes pueden recopilar toda esa información y, en cuestión de segundos, crear un correo que parezca y suene auténtico.

Paso 2 – Entrar en la bandeja de entrada

Para que el contenido del correo parezca real, los atacantes necesitan envolverlo en un paquete brillante y creíble. Si la dirección de correo no parece proceder de una fuente de confianza, toda la estafa se vendrá abajo.

Los atacantes podrían suplantar el dominio registrando un nombre como acme-corp.com en lugar de acmecorp.com. O, si son lo bastante hábiles, hackear la bandeja de entrada real, haciendo que sea casi imposible distinguirlo de un mensaje auténtico.

Al fin y al cabo, si parece un pato y grazna como un pato, la mayoría pensará que es un pato.

Paso 3 – Generar confianza

En estos ataques, la paciencia es la clave. Los atacantes pueden ocultarse en una bandeja de entrada hackeada durante semanas, leyendo hilos de correo y aprendiendo estilos de comunicación. Cuando el correo finalmente llega, se integra con los correos anteriores, imitando el tono y el flujo de la conversación.

Paso 4 – Hacer la petición

Una vez que los atacantes te conocen al dedillo —tu tono de voz, los nombres y cargos de tus compañeros, y lo que está pasando en tu empresa— y han logrado meterse en tu correo electrónico, envían la solicitud.

Normalmente es algo que no puede deshacerse fácilmente. Puede implicar enviar dinero a una cuenta bancaria o compartir información privada. La clave es que debe ser irreversible. 

Cuando el objetivo se da cuenta de que algo va mal, el atacante necesita que el daño ya esté hecho. Si son especialmente sigilosos, incluso podrían enviarlo durante un periodo festivo, cuando todo el mundo baja la guardia y hay más probabilidades de éxito.

Paso 5 – Desaparecer sin dejar rastro

Después de que se envían los fondos, se mueven rápidamente a través de una serie de cuentas intermediarias. Estas suelen estar en el extranjero, lo que hace que el rastro del dinero sea muy difícil de seguir incluso para las fuerzas del orden.

Ejemplo de suplantación de correo electrónico empresarial

La suplantación de correo electrónico empresarial es el jefe final de los ataques digitales. Normalmente implica a grandes empresas y sumas de dinero desorbitadas.

Toyota Boshoku ($37M)

En 2019, uno de los principales proveedores de Toyota perdió decenas de millones en una sola transferencia. El atacante entró en el sistema de correo electrónico de Toyota Boshoku. Leyó mensajes y aprendió cómo se comunicaba la empresa. Cuando surgió en la conversación una gran transferencia de dinero, pidió a alguien de la empresa con autoridad para mover dinero que actualizara los datos de la cuenta bancaria para la transferencia. Parecía legítimo y el dinero se envió. 

Así de simple, 37 millones de dólares, desaparecidos.

Google and Facebook ($120M)

Entre 2013 y 2015, Google and Facebook fueron víctimas de la estafa definitiva del proveedor falso. Un delincuente registró una empresa falsa usando exactamente el nombre de un fabricante legítimo de hardware que ambas compañías utilizaban. Falsificó contratos y envió facturas de apariencia rutinaria directamente a sus departamentos de contabilidad. Como el proveedor ya había sido verificado y era de confianza, los pagos se autorizaron sin pensarlo dos veces. Durante dos años, más de 120 millones de dólares fueron directamente a las cuentas bancarias del estafador.

Ubiquiti Networks ($46.7M)

En 2015, el gigante de redes Ubiquiti fue víctima de una estafa similar. El atacante no se molestó en crear una empresa falsa ni en hackear a proveedores externos. En su lugar, entró, suplantó a altos ejecutivos de la empresa y envió solicitudes urgentes de transferencia directamente al departamento interno de finanzas. Basándose únicamente en la autoridad del nombre del falso ejecutivo, el empleado siguió las instrucciones y transfirió los fondos al extranjero. Para cuando alguien se detuvo a comprobarlo, ya se habían enviado 46,7 millones de dólares.

Tipos de ataques de suplantación de correo electrónico empresarial

No todos los ejemplos de suplantación de correo electrónico empresarial son iguales. Por supuesto, el objetivo siempre es engañar a la gente para que entregue la mayor cantidad de dinero posible, pero el enfoque puede ser muy diferente.

Fraude del CEO (suplantación de ejecutivos)

Esta es la forma más reconocida de BEC. Un atacante suplanta a un alto ejecutivo, normalmente un CEO o CFO, y presiona a alguien de finanzas para que mueva dinero. Funciona por la dinámica de poder. Cuando el jefe quiere algo, la mayoría de la gente no se detiene a preguntar por qué. Si además se combina con una historia de fondo creíble, es suficiente para conseguir que alguien actúe sin pensárselo dos veces.

Suplantación del correo electrónico de proveedores

Los atacantes se centran en relaciones fuera de la empresa en lugar de fingir ser alguien de dentro. Apuntan a proveedores y vendedores de confianza, se cuelan en conversaciones de correo ya existentes y sustituyen los datos de pago reales por los suyos. Desde el lado de la víctima, parece una actualización rutinaria de factura de un proveedor con el que llevan años trabajando.

Toma de control de cuentas

Esta es la variante más peligrosa porque no hay suplantación técnica de por medio. El atacante está usando la cuenta real. El correo viene de una dirección real y usa el tono adecuado. El mensaje parece completamente normal, porque técnicamente lo es.

Desvío de nómina

Este no apunta al dinero de la empresa. En cambio, apunta a los empleados. Los atacantes se hacen pasar por RR. HH. o por un empleado y solicitan una actualización de la nómina, redirigiendo discretamente un salario a una cuenta que controlan. 

La víctima no se entera hasta el día de pago y, como las cantidades son menores y la solicitud parece normal, rara vez activa una alerta de fraude. Es una versión más lenta del BEC, pero si afecta a suficientes empleados, suma rápidamente.

BEC vs phishing – ¿Cuál es la diferencia?

Los correos de phishing existen desde hace mucho tiempo, y la mayoría de la gente sabe cómo es uno. Es ese que te dice que has ganado un premio o que un príncipe nigeriano necesita tu ayuda. Se envían en masa y dependen del volumen puro para pillar a alguien desprevenido.

Si el phishing es una red, el BEC es un francotirador. Los atacantes pasan semanas investigando una empresa, a veces a una persona concreta. Para cuando el correo llega, parece un mensaje de un martes por la mañana de alguien que conoces.

El phishing suele ir a por tus credenciales de acceso, pero el BEC se salta ese paso por completo y va directamente a por el dinero o los datos.

Cómo detectar un ataque de suplantación de correo electrónico empresarial

Los ataques BEC están diseñados para parecer normales. Pero si sabes qué buscar, las señales están ahí.

• La urgencia— Un correo que te presiona para mover dinero rápido, sin margen para detenerte y verificar.

• El cambio repentino — Un proveedor o compañero ha actualizado de repente su información de pago de la nada.

• La dirección casi correcta — El correo electrónico del remitente está a solo un carácter del real.

• El tono que no termina de encajar— Algo no cuadra: demasiado formal, demasiado informal o extrañamente reservado.

• La solicitud surgida de la nada — Te piden hacer algo que normalmente se tramitaría por otro canal.
  

Cómo prevenir un ataque de suplantación de correo electrónico empresarial

Saber cómo funcionan estos ataques es la mitad de la batalla. La otra mitad es asegurarte de que tu empresa no sea un objetivo fácil.

Haz una llamada

Si un correo te pide transferir dinero o actualizar datos de pago, no respondas. Llama directamente a la persona usando un número que ya tengas, no el del correo. Lleva treinta segundos y es, con diferencia, lo más eficaz que puedes hacer.

Activa la autenticación en dos factores

Si un atacante consigue las credenciales de acceso de alguien, la 2FA puede impedir la toma completa de una bandeja de entrada. No lo detendrá todo, pero hace que comprometer una cuenta sea significativamente más difícil.

Enseña a tu equipo cómo es lo correcto

La formación periódica sobre qué es el BEC, cómo funciona y cuáles son las señales de alerta puede convertir a tus empleados en una línea de defensa.

Deja que tus herramientas hagan parte del trabajo pesado

Los filtros de spam y las herramientas de autenticación de dominios como SPF, DKIM, and DMARC pueden filtrar intentos de BEC antes de que lleguen a tu equipo. La detección basada en IA va un paso más allá. Aprende cómo es el comportamiento normal del correo electrónico dentro de tu organización y marca cualquier cosa sospechosa.