Este sofisticado ataque se dirige a la comunicación por correo electrónico dentro de las organizaciones. Cuando tiene éxito, el BEC puede provocar pérdidas financieras, daños a la reputación y la exposición de información confidencial.

¿Qué es el compromiso de correo electrónico empresarial?

A un nivel básico, el BEC es un tipo de ciberdelito en el que el estafador usa el correo electrónico para engañar a alguien para que envíe dinero o divulgue información confidencial de la empresa. El ciberdelincuente suplanta a una persona u organización que el objetivo conoce, como un proveedor, y solicita que se pague una factura falsa, información confidencial de la empresa u otros datos de los que pueda obtener beneficio. Los ciberdelincuentes incluso pueden usar el BEC para propagar malware dentro de la red de una organización al convencer a los empleados de que hagan clic en un enlace falso o descarguen un archivo adjunto malicioso.

Los ataques de BEC están aumentando, especialmente porque muchas organizaciones tienen empleados trabajando desde casa o en un esquema de trabajo híbrido a raíz de la pandemia de COVID-19. Según un informe reciente de la empresa de software Fortra, casi una cuarta parte de los correos electrónicos que se entregaron a las bandejas de entrada corporativas en los primeros meses de 2023 se consideraron "no confiables o maliciosos". Aunque el ransomware acapara muchos titulares, el BEC también es un gran problema de ciberseguridad para las empresas.

Entender las tácticas

Los ataques de BEC vienen en varias formas, pero, en esencia, son una evolución sofisticada y dirigida del phishing que se enfoca en las organizaciones. Al llevar a cabo un ataque BEC, los hackers intentan que sus correos electrónicos se vean lo más legítimos posible y por lo general suplantan a entidades de confianza como colegas, proveedores o ejecutivos. Incluso podrían saber datos de la persona a la que están pescando, como su nombre y cargo. Los correos de BEC podrían pedir dinero directamente solicitando el pago de una factura falsa, o podrían pedir información de cuentas bancarias. Por otro lado, podrían solicitar datos, documentos o que el objetivo haga clic en algo que propague malware.

Si la cuenta de correo electrónico de su empleado o proveedor se ve comprometida, los atacantes pueden secuestrar conversaciones reales por correo electrónico y pedir que se redirijan pagos o se actualice la información de depósito directo, por ejemplo. Deshabilite el reenvío de correo electrónico fuera de la organización – sus administradores de sistemas pueden hacerlo.

Cómo protegerse usted y a su empresa de las estafas BEC

Capacite a sus empleados

La primera línea de defensa contra el BEC es una fuerza laboral bien informada. Realice sesiones periódicas de capacitación sobre concientización en ciberseguridad para educar a los empleados sobre los riesgos asociados con los correos electrónicos de phishing, la importancia de verificar la información del remitente y la realidad de los ataques BEC. Nuestra encuesta Oh Behave 2023 descubrió que el 94% de los encuestados hizo algún tipo de cambio de comportamiento después de la capacitación en ciberseguridad, y más de un tercio dijo que comenzó a usar la autenticación multifactor y alrededor del 50% dijo que desarrolló un mejor ojo para detectar el phishing.

Adopte protocolos de autenticación de correo electrónico

Implemente protocolos de autenticación de correo electrónico como DMARC (Domain-based Message Authentication, Reporting, and Conformance) para verificar la autenticidad de los correos electrónicos entrantes. DMARC ayuda a prevenir la suplantación de dominios y garantiza que los correos electrónicos que se originan en su dominio sean legítimos.

Verifique al remitente

Cuando un correo electrónico pide dinero o información confidencial, verificar al remitente por medio de otra forma de comunicación siempre es inteligente, especialmente si la solicitud es inesperada o extraña. Llame al supuesto remitente usando un número de teléfono conocido (no uno del correo sospechoso) o reuniéndose en persona.

Habilite MFA

Su organización debe aplicar MFA en todas las cuentas de correo electrónico dentro de su organización. MFA agrega otra capa de seguridad más allá de las contraseñas y mejora significativamente su seguridad. Cuando se implementa en toda una organización, MFA reduce el riesgo de acceso no autorizado incluso si las credenciales de inicio de sesión se ven comprometidas.

Actualizaciones de software

Asegúrese de que su software esté ejecutando las versiones más recientes. Mantenga actualizados los servidores de correo electrónico, el software antivirus y otras herramientas de seguridad para protegerse contra vulnerabilidades. Estas actualizaciones periódicas garantizan que sus mecanismos de defensa puedan hacer frente a las amenazas más recientes.

Plan de respuesta a incidentes

Su empresa debe desarrollar y actualizar regularmente un plan de respuesta a incidentes para detallar qué sucederá en caso de un ataque BEC. El plan debe incluir procedimientos para aislar sistemas, alertar a las autoridades pertinentes y comunicar sobre el ataque.

Cifrado de correo electrónico

Use software de cifrado de correo electrónico para mantener el contenido de los correos electrónicos difícil de descifrar. El cifrado garantiza que, incluso si un atacante obtiene acceso a las comunicaciones por correo electrónico, la información permanezca ilegible sin la clave de descifrado adecuada.

Implemente controles financieros

Todas las organizaciones deben esforzarse por mantener controles financieros rigurosos, especialmente cuando se trata de autorizar transferencias bancarias o transacciones confidenciales. Implemente un proceso de verificación en dos pasos para las transacciones financieras a fin de minimizar el riesgo de transferencias no autorizadas y cambios en números de cuenta o métodos de pago.

Audite y monitoree

Realice auditorías de seguridad periódicas para identificar y abordar vulnerabilidades en su sistema de correo electrónico. Supervise continuamente su sistema para detectar actividades inusuales o sospechosas, lo que permite una respuesta rápida ante incidentes BEC sospechosos.

No permita que el BEC lo comprometa

BEC sigue siendo una amenaza para las empresas y otras organizaciones, pero con estrategias proactivas de prevención y una mitigación sólida, las empresas pueden fortalecer sus defensas. Fomente una cultura de concientización sobre ciberseguridad y manténgase alerta ante las amenazas en evolución. Todas estas acciones lo ayudan a prevenir el BEC, así como muchas otras amenazas de seguridad.