Este sofisticado ataque cibernético apunta a la comunicación por correo electrónico dentro de las organizaciones. Cuando tiene éxito, el BEC puede llevar a pérdidas financieras, daño a la reputación e información sensible comprometida.

¿Qué es el Compromiso de Correo Electrónico Empresarial?

A nivel básico, el BEC es un tipo de cibercrimen donde el estafador utiliza el correo electrónico para engañar a alguien y hacerle enviar dinero o divulgar información confidencial de la empresa. El ciberdelincuente suplanta a una persona u organización que el objetivo conoce, como un proveedor, y solicita el pago de una factura falsa, información confidencial de la empresa u otros datos de los cuales puedan beneficiarse. Los ciberdelincuentes pueden incluso utilizar BEC para propagar malware dentro de la red de una organización, convenciendo a los empleados de hacer clic en un enlace falso o descargar un archivo adjunto malicioso.

Los ataques BEC están aumentando, especialmente a medida que muchas organizaciones tienen empleados trabajando desde casa o en un escenario de trabajo híbrido debido a la pandemia de COVID-19. Según un informe reciente de la empresa de software Fortra, casi una cuarta parte de los correos electrónicos entregados a las bandejas de entrada corporativas en los primeros meses de 2023 fueron considerados "no confiables o maliciosos". Aunque el ransomware acapara muchos titulares, el BEC es también un gran problema de ciberseguridad para las empresas.

Comprendiendo las Tácticas

Los ataques BEC se presentan en varias formas, pero son, esencialmente, una evolución sofisticada y dirigida del phishing que se centra en las organizaciones. Al llevar a cabo un ataque BEC, los hackers intentan que sus correos electrónicos parezcan lo más legítimos posible y generalmente suplantan a entidades de confianza como colegas, proveedores o ejecutivos. Los atacantes incluso pueden conocer detalles acerca de la persona a la que están atacando, como su nombre y posición. Los correos electrónicos BEC pueden solicitar directamente dinero pidiendo el pago de una factura falsa, o pueden solicitar información de cuentas bancarias. Por otro lado, pueden pedir datos, documentos o que el objetivo haga clic en algo que propague malware.

Si la cuenta de correo electrónico de su empleado o proveedor está comprometida, los atacantes pueden secuestrar conversaciones de correo electrónico reales y solicitar redirigir pagos o actualizar la información de depósito directo, por ejemplo. Deshabilite el reenvío de correos electrónicos fuera de la organización: sus administradores de sistema pueden hacer esto.

Cómo protegerse a sí mismo y a su empresa de las estafas BEC

Capacite a sus empleados

La primera línea de defensa contra el BEC es una fuerza laboral bien informada. Realice sesiones regulares de capacitación en concientización sobre ciberseguridad para educar a los empleados sobre los riesgos asociados con los correos electrónicos de phishing, la importancia de verificar la información del remitente y la realidad de los ataques BEC. Nuestra encuesta Oh Behave 2023 encontró que el 94 % de los encuestados hizo algún tipo de cambio de comportamiento después de la capacitación en ciberseguridad, con más de un tercio diciendo que comenzaron a usar la autenticación multifactorial y alrededor del 50 % diciendo que desarrollaron un mejor ojo para el phishing.

Adopte protocolos de autenticación de correos electrónicos

Implemente protocolos de autenticación de correos electrónicos como DMARC (Autenticación de Mensajes Basada en Dominio, Informes y Conformidad) para verificar la autenticidad de los correos electrónicos entrantes. DMARC ayuda a prevenir la suplantación de dominios y asegura que los correos electrónicos que se originan en su dominio sean legítimos.

Verifique al remitente

Siempre que un correo electrónico solicite dinero o información sensible, siempre es inteligente verificar al remitente a través de otra forma de comunicación, especialmente si la solicitud es inesperada o extraña. Llame al supuesto remitente utilizando un número de teléfono conocido (no uno del correo electrónico sospechoso) o reúnase cara a cara.

Habilitar MFA

Su organización debe hacer cumplir el MFA en todas las cuentas de correo electrónico dentro de su organización. MFA agrega otra capa de seguridad además de las contraseñas y mejora significativamente su seguridad. Cuando se implementa en toda una organización, MFA reduce el riesgo de acceso no autorizado incluso si las credenciales de inicio de sesión están comprometidas.

Actualizaciones de software

Asegúrese de que su software esté funcionando con las versiones más recientes. Mantenga los servidores de correo electrónico, el software antivirus y otras herramientas de seguridad actualizados para protegerse contra vulnerabilidades. Estas actualizaciones periódicas aseguran que sus mecanismos de defensa puedan manejar las últimas amenazas.

Plan de respuesta a incidentes

Su empresa debe desarrollar y actualizar regularmente un plan de respuesta a incidentes para delinear qué sucederá en caso de un ataque de BEC. El plan debe incluir procedimientos para aislar sistemas, alertar a las autoridades relevantes y comunicarse sobre el ataque.

Cifrado de correo electrónico

Utilice software de cifrado de correos electrónicos para mantener el contenido de los correos difícil de descifrar. El cifrado asegura que incluso si un atacante obtiene acceso a las comunicaciones de correo electrónico, la información permanece ilegible sin la clave de descifrado adecuada.

Implemente controles financieros

Todas las organizaciones deben esforzarse por mantener controles financieros rigurosos, especialmente cuando se trata de autorizar transferencias bancarias o transacciones sensibles. Implemente un proceso de verificación en dos pasos para transacciones financieras para minimizar el riesgo de transferencias no autorizadas y cambios en los números de cuenta o métodos de pago.

Auditar y monitorear

Realice auditorías de seguridad regulares para identificar y abordar vulnerabilidades en su sistema de correo electrónico. Monitoree continuamente su sistema para detectar actividades inusuales o sospechosas, lo que permite una respuesta rápida a incidentes BEC sospechosos.

No sea comprometido por BEC

El BEC sigue siendo una amenaza para las empresas y otras organizaciones, pero con estrategias de prevención proactivas y una robusta mitigación, las empresas pueden fortalecer sus defensas. Fomente una cultura de concientización sobre ciberseguridad y mantenga la vigilancia contra amenazas en evolución. Todas estas acciones le ayudan a prevenir el BEC, así como muchas otras amenazas de seguridad.