El compromiso del correo electrónico empresarial (BEC) es una categoría distinta de delito financiero, no una variante de phishing dirigida casualmente a ejecutivos. El phishing tiene éxito al lograr que alguien haga clic en algo indebido. El compromiso del correo electrónico empresarial funciona sin nada de esa maquinaria: todo el ataque consiste en un correo electrónico bien investigado que le pide a una persona específica que haga algo que encaja de forma verosímil en un día laboral normal. Los incidentes más grandes pueden mover cifras de seis dígitos en una sola transferencia y, para cuando alguien se da cuenta, el dinero normalmente ya salió del país.
No se detecta ninguna de las señales que un filtro de phishing o un empleado bien capacitado buscarían normalmente. Eso es lo que diferencia al compromiso del correo electrónico empresarial del phishing común, y es la razón por la que la concientización general sobre phishing no puede hacer mucho para detenerlo. Le mostraremos cómo detectar el compromiso del correo electrónico empresarial y proteger a su organización.
¿Qué es el compromiso del correo electrónico empresarial?
El compromiso del correo electrónico empresarial es un ataque dirigido en el que un delincuente se hace pasar por alguien de confianza para el destinatario —generalmente un alto ejecutivo, un proveedor o un compañero de trabajo— y solicita una transferencia bancaria, un cambio en los detalles de pago o credenciales confidenciales.
Por lo general, no hay ningún malware(nueva ventana) ni enlace malicioso involucrado. Lo que varía es la forma en que se falsifica la identidad del remitente, y los atacantes tienen más opciones de las que la mayoría supone:
- Dominios similares: el atacante registra un dominio casi idéntico al real, cambiando una sola letra o agregando un guion, confiando en que nadie leerá la dirección con atención.
- Suplantación de identidad del nombre para mostrar: el nombre para mostrar en el campo “De” se configura para que coincida con la persona de confianza (“Juan Pérez”), mientras que la dirección real no tiene ninguna relación. Muchos clientes de correo electrónico móvil solo muestran el nombre para mostrar por defecto, por lo que la dirección real ni siquiera aparece en pantalla.
- Suplantación de identidad del encabezado: SMTP, el protocolo que transmite el correo electrónico, no verifica el encabezado “From” por sí mismo, por lo que un atacante puede enviar un mensaje que afirme provenir de la dirección real sin tener control sobre ella. El hecho de que llegue a la bandeja de entrada depende de las verificaciones de autenticación del dominio receptor.
- Manipulación de la dirección de respuesta: la dirección visible en “De” parece legítima, pero se configura una dirección “Responder a” diferente en segundo plano, de modo que en cuanto la víctima hace clic en responder, la conversación se desvía discretamente hacia el atacante.
- Compromiso de cuenta: el atacante obtiene acceso a una cuenta de correo electrónico legítima y envía la solicitud desde su interior.
La última de estas opciones, el compromiso de cuenta, es la más difícil de detectar, porque técnicamente no hay nada malo en el correo electrónico. Provino de la dirección real, en el dominio de correo electrónico personalizado real, e incluso puede continuar un hilo que el destinatario ya ha visto antes.
Cómo funciona el plan de ataque del compromiso del correo electrónico empresarial
Los ataques de compromiso del correo electrónico empresarial son planificados, no improvisados, y la preparación es generalmente donde se concentra la mayor parte del esfuerzo del delincuente.
Investigación
Comienza con el reconocimiento: los perfiles de LinkedIn revelan quién tiene qué cargo y quién le reporta a quién, los comunicados de prensa de la empresa anuncian fusiones, rondas de financiación o nuevas relaciones con proveedores, y una respuesta automática de fuera de la oficina puede brindarle al atacante el detalle que más necesita: la confirmación de que el ejecutivo real está fuera de alcance en este momento.
Elegir un objetivo
A partir de ahí, el atacante pasa a la selección del objetivo. No todos los empleados son útiles para un intento de compromiso del correo electrónico empresarial; el objetivo debe ser alguien con la autoridad necesaria para mover dinero o cambiar los detalles de pago, lo que generalmente reduce el campo a finanzas, cuentas por pagar, recursos humanos o nómina.
Comienza la suplantación de identidad
Una vez elegidos el objetivo y una narrativa verosímil, sigue la suplantación de identidad, ya sea a través de un dominio similar falsificado o de un buzón genuinamente comprometido, adaptándose al tono, la firma y el nivel de formalidad que usaría el remitente real.
Se establece el contacto
El atacante interactúa con alguien dentro de la empresa, haciendo una solicitud o exigencia urgente. Puede tratarse de una adquisición que debe concretarse hoy mismo, un auditor que necesita las cifras de inmediato o un colega en apuros que no logra comunicarse por teléfono.
Por lo general, la solicitud será una transferencia bancaria, un cambio en los detalles bancarios o una petición de credenciales de inicio de sesión, presentada como algo que simplemente debe hacerse y no como algo que deba cuestionarse.
Cuatro escenarios comunes de compromiso del correo electrónico empresarial
Estas son algunas de las tácticas más comunes que utilizan los atacantes en el compromiso del correo electrónico empresarial.
Fraude del CEO
Un correo electrónico parece provenir del CEO, el director general u otro alto directivo, pidiéndole a un miembro del equipo de finanzas que procese un pago urgente y, a menudo, confidencial. La aparente jerarquía del remitente hace la mayor parte del trabajo en este caso, ya que pocos empleados se sienten cómodos cuestionando una solicitud que parece provenir de los altos mandos.
Fraude de facturas
Un proveedor con el que la empresa ya trabaja parece notificar un cambio en los detalles bancarios, normalmente coordinado para llegar justo antes del vencimiento de una factura real. Dado que ya existen una relación comercial y un pago legítimos, esta versión suele ser la más difícil de detectar para un equipo de finanzas y representa algunas de las mayores pérdidas individuales que reportan las empresas.
Redireccionamiento de nómina
Un correo electrónico que se hace pasar por un empleado o, en ocasiones, por el propio departamento de RR. HH., solicita al área de nóminas que actualice los detalles bancarios antes del próximo ciclo de pago. La solicitud es lo suficientemente pequeña y cotidiana como para que rara vez se revise una segunda vez, que es exactamente por lo que funciona.
Suplantación del soporte técnico
Un mensaje que se hace pasar por el equipo interno de TI o de soporte técnico pide a un empleado que confirme una contraseña o apruebe una solicitud de inicio de sesión antes de una actualización del sistema. A diferencia de los otros tres, este escenario no busca dinero de forma directa. Busca las credenciales que facilitan la ejecución de cualquier otra forma de compromiso del correo electrónico empresarial.
Lo que realmente cuesta el compromiso del correo electrónico empresarial
Las pérdidas por compromiso del correo electrónico empresarial se reportan de manera diferente al fraude común con tarjetas, lo que explica en parte por qué es fácil subestimar la magnitud del problema. El Centro de Denuncias de Delitos en Internet del FBI registró 2770 millones de dólares(nueva ventana) en pérdidas por compromiso del correo electrónico empresarial en 21 442 incidentes reportados en 2024, y su recuento acumulado de esta estafa sitúa las pérdidas globales expuestas por encima de los 55 000 millones de dólares(nueva ventana) durante la última década. Sin embargo, los promedios ocultan la realidad. Los casos que llegaron a los titulares muestran lo que un solo correo electrónico bien estructurado puede movilizar.
Entre 2013 y 2015, un estafador lituano facturó a Facebook y Google un total combinado de 121 millones de dólares(nueva ventana) mediante facturas falsas de una empresa que se hacía pasar por Quanta Computer, un proveedor de hardware que ambas compañías utilizaban legítimamente. Como las facturas encajaban en una relación comercial existente, los equipos de contabilidad las pagaron y continuaron haciéndolo durante dos años.
En 2016, el proveedor aeroespacial austriaco FACC se vio afectado por un correo electrónico que suplantaba a su entonces CEO, solicitando una transferencia de aproximadamente 50 millones de euros(nueva ventana) para un supuesto proyecto de adquisición, exactamente el pretexto descrito al inicio de este artículo. La empresa detuvo parte de la transferencia tras descubrir el fraude, pero el resto nunca se recuperó.
Estos casos describen una categoría de delito que se comporta de manera diferente a la mayoría de las estadísticas de phishing. El phishing se mide en volumen: millones de correos electrónicos casi idénticos, la mayoría de los cuales son interceptados por un filtro antes de que alguien los vea.
El compromiso del correo electrónico empresarial se mide en incidentes individuales, cada uno estructurado en torno a un único objetivo y un único pago, y cada uno capaz de causar más daño en una sola tarde de lo que jamás podrían causar miles de correos electrónicos de phishing bloqueados.
Cualquier organización que haya movilizado fondos mediante transferencias bancarias o modificado los detalles bancarios de un proveedor en el pasado debe considerar esto como un riesgo financiero activo y reportar los incidentes sospechosos a su centro nacional de denuncias de fraudes: el IC3 del FBI en los Estados Unidos, Action Fraud en el Reino Unido y las entidades equivalentes en otros países.
Los controles que realmente detienen el compromiso del correo electrónico empresarial
Dado que el compromiso del correo electrónico empresarial elude las señales de advertencia técnicas en las que se basa la capacitación sobre phishing, los controles para detenerlo también son diferentes. La concientización ayuda, pero las defensas verdaderamente eficaces son de carácter procesal y técnico, y no dependen simplemente de que los empleados lean los correos electrónicos con más cuidado.
Autorización doble
La autorización doble en cualquier pago que supere un límite determinado debe ser obligatoria, no una cortesía concedida cuando alguien recuerda solicitarla. La aprobación de una sola persona nunca debería bastar para transferir una suma importante de dinero, independientemente de cuán jerárquica o urgente parezca la solicitud.
Verificación por devolución de llamada
La verificación por llamada cierra la brecha que el correo electrónico por sí solo no puede cubrir. Cualquier solicitud para cambiar los detalles bancarios o liberar un pago debe confirmarse por teléfono mediante un número previamente registrado en sus archivos, nunca con uno provisto en el propio correo electrónico, ya que un número facilitado por el atacante simplemente comunicará de nuevo al destinatario con él.
Revisar los procedimientos de aprobación de pagos
Las revisiones periódicas de los procedimientos de aprobación de pagos también ayudan a reducir el riesgo de compromiso del correo electrónico empresarial con el tiempo. A medida que las empresas crecen, las excepciones temporales y los atajos informales suelen incorporarse a las operaciones diarias sin que nadie se pregunte si siguen siendo adecuados. Revisar quién puede autorizar pagos, cómo se aprueban los cambios en los detalles bancarios y qué transacciones requieren una verificación adicional ayuda a garantizar que los controles financieros sigan ajustándose al nivel de riesgo actual de la organización. Incluso los procedimientos bien diseñados pierden eficacia si no se vuelven a examinar a medida que la empresa evoluciona.
Autenticación de correo electrónico
La autenticación de correo electrónico técnica es un componente clave de la seguridad del correo electrónico y resulta fundamental aquí de una manera que no aplica a la mayoría de los casos de phishing, ya que el compromiso del correo electrónico empresarial recurre con frecuencia a la suplantación de identidad del propio dominio de la organización para hacerse pasar por sus ejecutivos.
DMARC, al trabajar junto con SPF y DKIM, indica a los servidores de correo receptores qué hacer con los mensajes que no superan la autenticación frente a su dominio, lo que dificulta significativamente que un atacante envíe un correo electrónico que aparente provenir de su propio CEO.
Cultura de seguridad abierta
Nada de esto funciona sin una norma cultural de base: siempre es aceptable hacer una pausa y verificar una solicitud, sin importar quién parezca pedirla. Los empleados que temen parecer obstructivos o desconfiados ante un superior son exactamente a quienes está diseñado para atrapar un intento de compromiso del correo electrónico empresarial, y ese temor solo desaparece cuando el liderazgo deja en claro, repetidamente, que cuestionar una solicitud inusual es algo esperado, no una deslealtad.
Cómo detectar las señales de advertencia de un intento de compromiso del correo electrónico empresarial
El compromiso del correo electrónico empresarial rara vez se manifiesta a través de señales de advertencia técnicas obvias. El correo electrónico puede provenir de una dirección conocida, hacer referencia a un proyecto real y usar un lenguaje que coincida con conversaciones anteriores. Por eso, el contexto que rodea a la solicitud a menudo importa más que el propio correo electrónico.
Varios patrones aparecen repetidamente en las investigaciones sobre el compromiso del correo electrónico empresarial. Una solicitud que eluda los procedimientos de aprobación normales siempre debería generar dudas. Lo mismo ocurre con las instrucciones inesperadas de mantener un pago como confidencial, los cambios en los datos bancarios de un proveedor poco antes del vencimiento de una factura o las solicitudes que llegan cuando un ejecutivo de alto rango está de viaje y es difícil de contactar. Los atacantes eligen deliberadamente situaciones en las que es menos probable que los empleados verifiquen la solicitud a través de otro canal.
Los pequeños cambios en el estilo de comunicación también pueden dar pistas. Un ejecutivo que normalmente delega las aprobaciones financieras podría, de repente, solicitar un pago en persona. Un proveedor que suele comunicarse a través de un gestor de cuentas podría enviar instrucciones bancarias desde un contacto diferente. Ninguna de estas señales demuestra un ataque por sí sola, pero deberían motivar una verificación adicional antes de transferir dinero o cambiar los datos de una cuenta.
El enfoque más seguro consiste en tratar las solicitudes financieras inusuales como excepciones a los procesos empresariales y no como situaciones que requieran decisiones urgentes. Una llamada telefónica breve a un número de confianza o una confirmación a través de un canal de comunicación interno establecido pueden evitar una pérdida que, de lo contrario, tardaría semanas o meses en recuperarse.
¿Cómo facilitan las credenciales el compromiso del correo electrónico empresarial?
No todos los intentos de compromiso del correo electrónico empresarial se basan en un dominio falsificado o similar. A veces, comienzan con una cuenta de correo electrónico genuinamente comprometida, en la que el atacante simplemente inició sesión con una contraseña que ya había quedado expuesta en otro lugar.
Una vez dentro, no necesitan fingir nada. Pueden leer hilos antiguos, imitar el tono y el formato a la perfección, y enviar la solicitud fraudulenta desde una dirección que supera todos los controles de autenticación, porque realmente es la propia cuenta del remitente.
Aquí es donde la higiene de contraseñas y la prevención del compromiso del correo electrónico empresarial se cruzan directamente. El Data Breach Observatory de Proton rastrea con qué frecuencia aparecen credenciales empresariales en bases de datos delictivas mucho antes de que alguien dentro de la empresa afectada se dé cuenta, y el compromiso de cuentas es exactamente el resultado que esos datos facilitan.
Un correo electrónico empresarial seguro y contraseñas únicas en cada cuenta, combinados con la autenticación multifactor (MFA), hacen que una contraseña filtrada en una vulneración no pueda reutilizarse para ingresar a un buzón y lanzar un intento de compromiso del correo electrónico empresarial desde adentro.
Un gestor de contraseñas empresarial como Proton Pass for Business hace que sea realista mantener este estándar en toda la organización, en lugar de depender de que cada empleado recuerde no reutilizar contraseñas. Cuando las credenciales se generan y almacenan adecuadamente, las vulnerabilidades a filtraciones de datos y las tomas de control de cuentas se reducen de forma significativa.
Protege las cuentas de tu empresa del compromiso con un gestor de contraseñas empresarial seguro.
