El correo electrónico es una de las formas de comunicación más utilizadas y esenciales del mundo moderno. Ya sea con fines personales o profesionales, el correo electrónico nos permite conectar y colaborar con personas de todo el mundo. Sin embargo, el correo electrónico también nos expone a varias ciberamenazas, como la suplantación de identidad, el spear phishing, las estafas de suplantación de identidad y el ransomware. Uno de los tipos más peligrosos y costosos de ataques basados en el correo electrónico es el Business Email Compromise (BEC).
¿Qué es el Business Email Compromise o BEC?
BEC es una forma de ciberataque que se dirige a organizaciones y particulares a través de correos electrónicos fraudulentos que parecen proceder de fuentes de confianza, como colegas, socios, clientes o proveedores. El objetivo de los ataques BEC es engañar a los destinatarios para que transfieran dinero, revelen información confidencial o realicen acciones no autorizadas que beneficien a los atacantes. Los ataques BEC pueden adoptar diferentes formas, como:
- Fraude con facturas: Los atacantes envían facturas falsas para engañar a los destinatarios para que realicen pagos a cuentas fraudulentas.
- Fraude al CEO: Suplantación de un alto ejecutivo para autorizar transacciones financieras urgentes y no autorizadas.
- Suplantación de proveedores: Hacerse pasar por un proveedor de confianza para manipular a la víctima para que transfiera fondos o comparta información confidencial.
- Compromiso de cuenta: obtener acceso a la cuenta de correo electrónico de un empleado para realizar actividades no autorizadas, como enviar correos electrónicos fraudulentos a contactos.
Los ataques BEC son una amenaza grave y creciente para los usuarios de correo electrónico de todo el mundo. Los ataques BEC han provocado más de 2.700 millones de dólares en pérdidas en 2022, con 21.832 denuncias presentadas ante el IC3. Los ataques BEC pueden afectar a cualquier industria, sector o tamaño de organización, pero algunos de los más atacados son las finanzas, la sanidad, la tecnología y la fabricación.
Aprende a utilizar S/MIME para proteger el correo electrónico de tu empresa
Cómo prevenir las estafas BEC
Para protegerse contra las estafas BEC, las organizaciones deben invertir en medidas integrales de ciberseguridad. Esto incluye el despliegue de filtros de correo electrónico potentes para detectar y bloquear correos electrónicos sospechosos, la actualización periódica del software y los sistemas de seguridad, y la realización de evaluaciones de vulnerabilidad para identificar y parchear posibles puntos débiles. Además, las organizaciones deben aplicar las siguientes buenas prácticas para prevenir las estafas BEC:
- Educa a los empleados sobre las estafas BEC y cómo reconocerlas. Los empleados deben ser conscientes de los signos comunes de una estafa BEC, como solicitudes urgentes o inusuales, cambios en los detalles de pago, errores gramaticales o información del remitente que no coincide. Los empleados también deben recibir formación sobre cómo verificar la identidad y legitimidad del remitente antes de responder a cualquier solicitud por correo electrónico, especialmente si implica dinero o datos confidenciales.
- Implementa la autenticación multifactor (MFA) en todas las cuentas de correo electrónico. MFA es una función de seguridad que requiere que los usuarios proporcionen más de una prueba para demostrar su identidad, como una contraseña y un código enviado a su teléfono o correo electrónico. La MFA puede impedir el acceso no autorizado a las cuentas de correo electrónico, incluso si la contraseña está en peligro.
- Establece procedimientos de aprobación estrictos para las transacciones financieras. Las organizaciones deben tener políticas y procesos claros y coherentes para aprobar y ejecutar pagos o transferencias. Estos deben incluir la verificación de la solicitud a través de un canal diferente, como una llamada telefónica o una reunión cara a cara, y requerir múltiples aprobaciones de diferentes niveles de autoridad. Las organizaciones también deben limitar el número de empleados que tienen autoridad para iniciar o aprobar transacciones, y controlar su actividad y uso del correo electrónico.
- Adopta una política de contraseñas segura y utiliza un gestor de contraseñas. Las contraseñas son la primera línea de defensa contra los ciberataques, y deben ser fuertes, complejas y únicas para cada cuenta. Un gestor de contraseñas es una herramienta que ayuda a los usuarios a crear y almacenar contraseñas de forma segura, y a rellenarlas automáticamente cuando sea necesario. Un gestor de contraseñas puede evitar que los usuarios reutilicen contraseñas o caigan en correos electrónicos de phishing que les pidan sus credenciales.
- Realiza regularmente copias de seguridad de los datos y mantén un plan de recuperación ante desastres. En caso de que una estafa BEC tenga éxito, las organizaciones deben tener una copia de seguridad de sus datos y un plan para restaurar sus operaciones lo antes posible. Una copia de seguridad es una copia de los datos que se almacena en una ubicación o dispositivo diferente, y puede ayudar a recuperar datos perdidos o dañados. Un plan de recuperación de desastres es un conjunto de pasos y procedimientos que describen cómo responder y recuperarse de un ciberataque, y puede ayudar a minimizar el impacto y los daños de una estafa BEC.
Las estafas BEC son una grave amenaza para la seguridad y la reputación de cualquier organización. Siguiendo estos consejos, las organizaciones pueden reducir el riesgo de ser víctimas de una estafa BEC y proteger su información sensible y sus activos financieros.
Seguridad frente a futuras amenazas
Para protegernos de los ataques BEC, debemos seguir algunas buenas prácticas y consejos, cómo verificar la identidad y autenticidad del remitente, utilizar contraseñas seguras y autenticación multifactor, educar y formar a los empleados y realizar auditorías de seguridad periódicas.
Sin embargo, la forma más eficaz de prevenir y mitigar los ataques BEC es utilizar una comunicación por correo electrónico segura y cifrada con certificados digitales. Los certificados digitales verifican la identidad y autenticidad del remitente y el destinatario de un correo electrónico, y permiten cifrar y firmar digitalmente los mensajes de correo electrónico.
Mediante el uso de certificados digitales, se puede garantizar la confidencialidad, integridad y autenticidad de nuestra comunicación por correo electrónico, y mejorar la confianza y reputación de la organización y las comunicaciones por correo electrónico.
