Compartir este artículo
Regístrate para quedarte
conectados y
Mantente seguro
Aunque tiene un nombre anodino, Business Email Compromise (BEC) se refiere a un tipo específico y desagradable de ciberataque dirigido a empresas de todos los tamaños.
Este sofisticado pirateo se dirige a la comunicación por correo electrónico dentro de las organizaciones. Cuando tiene éxito, puede provocar pérdidas económicas, daños a la reputación y poner en peligro información confidencial.
¿Qué es el compromiso del correo electrónico empresarial?
En un nivel básico, BEC es un tipo de ciberdelincuencia en el que el estafador utiliza el correo electrónico para engañar a alguien para que envíe dinero o divulgue información confidencial de la empresa. El ciberdelincuente se hace pasar por una persona u organización que el objetivo conoce, como un proveedor, y le pide que le pague una factura falsa, información confidencial de la empresa u otros datos de los que pueda sacar provecho. Los ciberdelincuentes pueden incluso utilizar BEC para propagar malware dentro de la red de una organización convenciendo a los empleados para que hagan clic en un enlace falso o descarguen un archivo adjunto malicioso.
Los ataques BEC están aumentando, sobre todo porque muchas organizaciones tienen empleados que trabajan desde casa o en un escenario de trabajo híbrido a raíz de la pandemia COVID-19. Según un informe reciente de la empresa de software Fortra, casi una cuarta parte de los correos electrónicos que llegaron a las bandejas de entrada de las empresas en los primeros meses de 2023 se consideraron "no fiables o maliciosos." Aunque el ransomware acapara muchos titulares, el BEC es también un gran problema de ciberseguridad para las empresas.
Comprender las tácticas
Los ataques BEC adoptan diversas formas, pero son, en esencia, una evolución sofisticada y selectiva del phishing que se centra en las organizaciones. Al llevar a cabo un ataque BEC, los hackers intentan que sus correos electrónicos parezcan lo más legítimos posible y suelen hacerse pasar por entidades de confianza como colegas, proveedores o ejecutivos. Los atacantes pueden incluso conocer a la persona a la que están suplantando, como su nombre y cargo. Los correos electrónicos BEC pueden pedir dinero directamente solicitando el pago de una factura falsa, o pueden pedir información sobre cuentas bancarias. Por otra parte, pueden solicitar datos, documentos o que el objetivo haga clic en algo que propague malware.
Si la cuenta de correo electrónico de su empleado o proveedor se ve comprometida, los atacantes pueden secuestrar conversaciones reales de correo electrónico y pedir que se redirijan pagos o se actualice la información de depósito directo, por ejemplo. Desactive el reenvío de correo electrónico fuera de la organización: los administradores del sistema pueden hacerlo.
Cómo protegerse y proteger a su empresa de las estafas BEC
Forme a sus empleados
La primera línea de defensa contra el BEC es una plantilla bien informada. Lleve a cabo sesiones periódicas de formación sobre ciberseguridad para educar a los empleados sobre los riesgos asociados a los correos electrónicos de phishing, la importancia de verificar la información del remitente y la realidad de los ataques BEC. Nuestra encuesta Oh Behave 2023 reveló que el 94% de los encuestados realizó algún tipo de cambio de comportamiento después de la formación en ciberseguridad, con más de un tercio diciendo que empezaron a utilizar la autenticación multifactor y alrededor del 50% diciendo que desarrollaron un mejor ojo para el phishing.
Adoptar protocolos de autenticación del correo electrónico
Implemente protocolos de autenticación de correo electrónico como DMARC (Domain-based Message Authentication, Reporting, and Conformance) para verificar la autenticidad de los correos electrónicos entrantes. DMARC ayuda a evitar la suplantación de dominios y garantiza que los correos electrónicos procedentes de su dominio son legítimos.
Verificar el remitente
Siempre que un correo electrónico pida dinero o información confidencial, es inteligente verificar el remitente a través de otra forma de comunicación, sobre todo si la petición es inesperada o extraña. Llame al supuesto remitente utilizando un número de teléfono conocido (no el que aparece en el correo electrónico sospechoso) o reuniéndose cara a cara.
Activa la MFA
Su organización debería aplicar la MFA en todas las cuentas de correo electrónico de su organización. MFA añade otra capa de seguridad más allá de las contraseñas y aumenta significativamente sus seguridades. Cuando se implementa en toda la organización, la MFA reduce el riesgo de acceso no autorizado, incluso si las credenciales de inicio de sesión se ven comprometidas.
Actualizaciones de software
Asegúrese de que su software utiliza las últimas versiones. Mantenga actualizados los servidores de correo electrónico, el software antivirus y otras herramientas de seguridad para protegerse de las vulnerabilidades. Estas actualizaciones periódicas garantizan que sus mecanismos de defensa puedan hacer frente a las amenazas más recientes.
Plan de respuesta a incidentes
Su empresa debe desarrollar, y actualizar periódicamente, un plan de respuesta a incidentes que describa lo que ocurrirá en caso de ataque BEC. El plan debe incluir procedimientos para aislar los sistemas, alertar a las autoridades pertinentes y comunicar el ataque.
Cifrado del correo electrónico
Utilice software de cifrado de correo electrónico para que el contenido de los mensajes sea difícil de descifrar. El cifrado garantiza que, aunque un atacante acceda a las comunicaciones por correo electrónico, la información siga siendo ilegible sin la clave de descifrado adecuada.
Implantar controles financieros
Todas las organizaciones deben esforzarse por mantener controles financieros rigurosos, especialmente cuando se trata de autorizar transferencias electrónicas o transacciones sensibles. Implanta un proceso de verificación en dos pasos de las transacciones financieras para minimizar el riesgo de transferencias no autorizadas y cambios en los números de cuenta o métodos de pago.
Auditoría y control
Realice auditorías de seguridad periódicas para identificar y abordar las vulnerabilidades de su sistema de correo electrónico. Supervise continuamente su sistema para detectar actividades inusuales o sospechosas, lo que permite una respuesta rápida a los incidentes sospechosos de BEC.
No se deje engañar por los BEC
BEC sigue siendo una amenaza para empresas y otras organizaciones, pero con estrategias de prevención proactivas y robust mitigación, las empresas pueden reforzar sus defensas. Fomente una cultura de concienciación sobre la ciberseguridad y manténgase alerta frente a las amenazas en evolución. Todas estas acciones le ayudarán a prevenir el BEC, así como muchas otras amenazas a la seguridad.
