El correo electrónico sigue siendo el principal vector de ataque utilizado por los ciberdelincuentes, por lo que, comprometer el correo electrónico empresarial (Business Email Compromise, o BEC) se está convirtiendo en uno de los tipos de ataques de phishing preferidos por los ciberdelincuentes en el mundo.

Los BEC  Business Email Compromise son un tipo de estafa dirigida a empresas que realizan transferencias electrónicas y tienen proveedores en el extranjero.  De acuerdo con Trend Micro se  trata de correos en los que los cibercriminales buscan engañar a la gente para que les envíen dinero en bitcoins o información empresarial y/o personal de carácter confidencial.

A diferencia de los ataques de phishing tradicionales, los BEC son dirigidos y diseñados para cada víctima. En la mayoría de las ocasiones los ciberdelincuentes estudian las últimas noticias de las empresas e investigan las redes sociales de los empleados para hacer que el ataque sea lo más convincente posible. Este nivel de personalización  hace que sean capaces de engañar a los incautos.

Los ataques de BEC son dañinos porque el impacto no sólo es económico,también tienen impacto en la reputación e imagen pública de la organización víctima, así como implicaciones en la situación laboral de los implicados.

En los ataques de este tipo a menudo, los atacantes se hacen pasar por el CEO  (CEO Fraud) o cualquier ejecutivo autorizado para hacer transferencias bancarias.

Algunos de los mensajes de correo electrónico que mandan en campañas de BEC o CEO Fraud tienen asuntos con palabras como solicitud , pago , transferencia y urgente , entre otros. 

Según el FBI, hay 5 tipos de estafas BEC :

• El esquema de facturas falsas: las empresas con proveedores extranjeros a menudo son blanco de esta táctica, en la que los atacantes fingen ser los proveedores que solicitan transferencias de fondos para pagos hacia una cuenta diferente que es propiedad de los estafadores. 
• CEO Fraud o Fraude del CEO: los atacantes se hacen pasar por el CEO de la empresa víctima o cualquier otro ejecutivo de la misma que tenga autoridad para autorizar transferencias y envían un correo electrónico a los empleados de finanzas, solicitándoles que transfieran dinero a una cuenta que tienen en su poder.
• Cuenta comprometida: piratean la cuenta de correo electrónico de un ejecutivo o empleado y la utilizan para solicitar pagos de facturas a los proveedores que figuran en sus contactos de correo electrónico, para que envíen los pagos a cuentas bancarias fraudulentas.
• Suplantación de identidad de los abogados: los atacantes fingen ser un abogado o alguien de una firma de abogados que está supuestamente a cargo de asuntos cruciales y confidenciales. Normalmente, tales solicitudes falsas se realizan por correo electrónico o por teléfono, y al final del día laboral.
• Robo de datos: los empleados de RR. HH. y contabilidad tienen acceso a información de identificación Personal (PII) o declaraciones de impuestos de empleados y ejecutivos. Los cibercriminales utilizan dichos datos para futuros ataques.

Las estafas de BEC pueden ser sumamente efectivas y difíciles de detectar debido a que los correos que utilizan no tienen enlaces o archivos adjuntos maliciosos, por lo que pueden evadir las soluciones tradicionales fácilmente superando los filtros de spam y otras protecciones.

¿Cómo podemos evitar el Business Email Compromise?

 La capacitación y el conocimiento de los empleados pueden ayudar a las organizaciones a detectar este tipo de estafas. En especial porque los atacantes dependen de la ingeniería social y del hecho de que los empleados ocupados, cansados o ingenuos respondan a sus solicitudes falsas de dinero o información.

Algunas de las mejores prácticas que se recomiendan para evitar el BEC son las siguientes:

• Bloquear correos electrónicos fraudulentos implementando el Sender Policy Framework (SPF), las claves de dominio del correo identificado (DKIM) y agregar las capacidades de autentificación de mensajes basados en dominios, informes y conformidad (DMARC).
• Habilitar la autenticación de factor múltiple y solicitar cambios periódicos de contraseña para detener ataques de cuentas comprometidas.
• Establecer procesos de aprobación para transferencias electrónicas.
• Ofrecer capacitación periódica sobre educación informática con un enfoque centrado en las personas para combatir los ataques de correo electrónico.

Sigue estos 3 tips y evita ataques BEC

• Protege los sistemas corporativos de intentos de piratería, mediante una estrategia de seguridad integral que contemple las mejores prácticas y tecnologías que te ayuden a mantener segura toda tu red, estancias de nube, endpoints y el correo electrónico.
• Mantente atento y desconfía de todas las solicitudes o cambios de pago 'urgentes' sospechosas o inesperadas. Capacita a los colaboradores a través de campañas de concientización.
• Pon en marcha un programa de awareness y entrenamiento sobre amenazas cibernéticas en el que participen todos tus colaboradores con perfil técnico y no técnico.

Si deseas aprender más sobre los riesgos del Business Email Compromise y otros temas relacionados con ciberseguridad, ponte en contacto con nosotros y habla con un Consultor Experto. 

No olvides registrarte en nuestro próximo Capture The Flag: Back To The Future 2020 este 28 de Mayo, y pon a prueba tus tácticas de ataque y defensa para evitar ciberataques, recuerda que el cupo es limitado. ¡Reserva tu lugar ya!