El compromiso del correo electrónico corporativo (BEC) es una categoría diferenciada de delito financiero, no una variante de suplantación dirigida por casualidad a ejecutivos. La suplantación tiene éxito al conseguir que alguien haga clic en algo que no debería. El compromiso del correo electrónico corporativo tiene éxito sin nada de esa maquinaria: todo el ataque consiste en un correo electrónico bien investigado que le pide a una persona específica que haga algo que encaja de forma plausible dentro de una jornada laboral normal. Los incidentes más graves pueden mover cifras de seis dígitos en una sola transferencia y, para cuando alguien se da cuenta, el dinero normalmente ya ha salido del país.
No se detecta ninguna de las señales que un filtro contra la suplantación o un empleado bien formado buscarían normalmente. Eso es lo que separa el compromiso del correo electrónico corporativo de la suplantación habitual, y es la razón por la que la concienciación general sobre la suplantación no puede hacer mucho para detenerlo. Te mostraremos cómo detectar el compromiso del correo electrónico corporativo y proteger tu organización.
¿Qué es el compromiso del correo electrónico corporativo?
El compromiso del correo electrónico corporativo es un ataque dirigido en el que un delincuente suplanta la identidad de alguien de confianza para el objetivo, por lo general un alto ejecutivo, un proveedor o un compañero interno, y solicita una transferencia bancaria, un cambio en los detalles de pago o credenciales confidenciales.
Por lo general, no hay ningún malware(ventana nueva) ni enlace malicioso implicado. Lo que varía es cómo se falsea la identidad del remitente, y los atacantes tienen más opciones de las que la mayoría de la gente imagina:
- Dominios similares: el atacante registra un dominio casi idéntico al real, cambiando una sola letra o añadiendo un guion, y confía en que nadie lea la dirección con atención.
- Suplantación del nombre a mostrar: el nombre a mostrar en «De» se configura para que coincida con la persona de confianza —«John Smith»—, mientras que la dirección real no tiene ninguna relación. Muchos clientes de correo electrónico móviles muestran solo el nombre a mostrar por defecto, por lo que la dirección real ni siquiera aparece en pantalla.
- Suplantación de encabezados: SMTP, el protocolo que transfiere el correo electrónico, no verifica por sí mismo el encabezado «De», por lo que un atacante puede enviar un mensaje que afirme provenir de la dirección real sin haberla controlado nunca. Si llega o no a la bandeja de entrada depende de las comprobaciones de autenticación del dominio receptor.
- Manipulación de la dirección de respuesta: la dirección visible «De» parece legítima, pero se configura una dirección Reply-To diferente por detrás, por lo que en el momento en que el destinatario hace clic en responder, la conversación se desvía discretamente hacia el atacante.
- Compromiso de cuenta: el atacante obtiene acceso a una cuenta de correo electrónico legítima y envía la solicitud desde su interior.
El último de estos métodos, el compromiso de cuenta, es el más difícil de detectar, porque técnicamente no hay absolutamente nada incorrecto en el correo electrónico. Provino de la dirección real, en el dominio de correo electrónico personalizado auténtico, e incluso puede continuar un hilo que el objetivo ya ha visto antes.
Cómo funciona el manual de ataque del compromiso del correo electrónico corporativo
Los ataques de compromiso del correo electrónico corporativo se construyen, no se improvisan, y la preparación suele ser donde va la mayor parte del esfuerzo del delincuente.
Investigación
Comienza con el reconocimiento: los perfiles de LinkedIn revelan quién ocupa cada cargo y quién depende de quién, los comunicados de prensa de la empresa anuncian fusiones, rondas de financiación o nuevas relaciones con proveedores, y una respuesta automática de fuera de la oficina puede proporcionar al atacante el detalle que más necesita: la confirmación de que el ejecutivo real no está disponible en este momento.
Elección del objetivo
A partir de ahí, el atacante pasa a la selección del objetivo. No todos los empleados son útiles para un intento de compromiso del correo electrónico corporativo; el objetivo debe ser alguien con la autoridad real de mover dinero o cambiar los detalles de pago, lo que suele reducir el campo a finanzas, cuentas por pagar, recursos humanos o nóminas.
Comienza la suplantación de identidad
Una vez elegidos el objetivo y una narrativa plausible, sigue la suplantación, ya sea a través de un dominio similar falsificado o de un buzón genuinamente comprometido, adaptado al tono, la firma y el nivel de formalidad que usaría el remitente real.
Se establece el contacto
El atacante interactúa con alguien de la empresa, realizando una solicitud o exigencia urgente. Puede tratarse de una adquisición que debe cerrarse hoy, un auditor que necesita las cifras de inmediato o un compañero en apuros que no consigue comunicarse por teléfono.
Por lo general, la solicitud consistirá en una transferencia bancaria, un cambio de datos bancarios o una solicitud de credenciales de inicio de sesión, presentada como algo que simplemente debe hacerse, no como algo que deba cuestionarse.
Cuatro situaciones comunes de compromiso del correo electrónico corporativo
Estas son algunas de las tácticas más comunes de compromiso del correo electrónico corporativo que utilizan los atacantes.
Fraude del CEO
Un correo electrónico parece provenir del CEO, director general u otro directivo de alto nivel, pidiéndole a un miembro del equipo financiero que procese un pago urgente, a menudo confidencial. El rango aparente del remitente hace casi todo el trabajo aquí, ya que pocos empleados se sienten cómodos cuestionando una solicitud que parece provenir de la cúpula directiva.
Fraude de facturas
Un proveedor con el que la empresa ya trabaja parece notificar un cambio en los datos bancarios, normalmente coordinado para llegar justo antes de que venza una factura real. Dado que ya existen una relación comercial legítima y un pago real, esta versión suele ser la más difícil de detectar para un equipo financiero, y representa algunas de las mayores pérdidas individuales que declaran las empresas.
Desvío de nóminas
Un correo electrónico que suplanta a un empleado o, en ocasiones, al propio departamento de recursos humanos, solicita a nóminas que actualice los datos bancarios antes del próximo pago. La solicitud es lo suficientemente pequeña y cotidiana como para que rara vez se revise dos veces, razón por la cual funciona.
Suplantación del soporte de TI
Un mensaje que se hace pasar por el departamento de TI interno o un soporte técnico pide a un empleado que confirme una contraseña o apruebe una solicitud de inicio de sesión antes de una actualización del sistema. A diferencia de las otras tres, este escenario no busca dinero directamente, sino las credenciales que facilitan la ejecución de cualquier otra forma de compromiso del correo electrónico corporativo.
Cuánto cuesta realmente el compromiso del correo electrónico corporativo
Las pérdidas por compromiso del correo electrónico corporativo se notifican de forma diferente a las del fraude común con tarjetas, lo que explica en parte por qué es fácil subestimar la magnitud del problema. El Centro de Denuncias de Delitos en Internet del FBI registró 2770 millones de dólares(ventana nueva) en pérdidas por compromiso del correo electrónico corporativo en 21.442 incidentes denunciados en 2024, y su recuento acumulado de esta estafa sitúa las pérdidas globales expuestas por encima de los 55 000 millones de dólares(ventana nueva) durante la última década. Sin embargo, los promedios ocultan la verdadera historia. Los casos que llegaron a los titulares muestran lo que un solo correo electrónico bien estructurado puede llegar a mover.
Entre 2013 y 2015, un estafador lituano facturó a Facebook y Google un total conjunto de 121 millones de dólares(ventana nueva) utilizando facturas falsas de una empresa que suplantaba a Quanta Computer, un proveedor de hardware que ambas empresas utilizaban legítimamente. Como las facturas encajaban con una relación comercial existente, los equipos de contabilidad las pagaron y continuaron haciéndolo durante dos años.
En 2016, el proveedor aeroespacial austriaco FACC sufrió el impacto de un correo electrónico que suplantaba a su entonces CEO, en el que se solicitaba una transferencia de aproximadamente 50 millones de euros(ventana nueva) para un supuesto proyecto de adquisición, el mismo pretexto descrito al inicio de este artículo. La empresa detuvo parte de la transferencia tras descubrir el fraude, pero el resto nunca se recuperó.
Estos casos describen una categoría de delito que se comporta de manera diferente a la mayoría de las estadísticas de suplantación. La suplantación se mide en volumen: millones de correos electrónicos casi idénticos, la mayoría interceptados por un filtro antes de que nadie los vea.
El compromiso del correo electrónico corporativo se mide en incidentes individuales, cada uno estructurado en torno a un único objetivo y un único pago, y cada uno capaz de hacer más daño en una sola tarde de lo que jamás podrían hacer mil correos electrónicos de suplantación bloqueados.
Cualquier organización que haya transferido dinero mediante transferencia bancaria o haya modificado los datos bancarios de un proveedor en el pasado debería considerar esto como un riesgo financiero activo y notificar los incidentes sospechosos a su centro nacional de denuncia de fraudes: el IC3 del FBI en Estados Unidos, Action Fraud en el Reino Unido y organismos equivalentes en otros lugares.
Los controles que realmente detienen el compromiso del correo electrónico corporativo
Dado que el compromiso del correo electrónico corporativo elude las señales de alerta técnicas en las que se basa la formación contra la suplantación, los controles para detenerlo también son diferentes. La concienciación ayuda, pero las defensas que realmente funcionan son procedimentales y técnicas, no una cuestión de que los empleados lean los correos electrónicos con más atención.
Autorización dual
La autorización dual en cualquier pago que supere un umbral establecido debe ser obligatoria, no una cortesía que se concede cuando alguien se acuerda de pedirla. La aprobación de una sola persona nunca debería bastar para mover una suma significativa de dinero, con independencia de lo importante o urgente que parezca la solicitud.
Verificación por devolución de llamada
La verificación por devolución de llamada cierra la brecha que el correo electrónico por sí solo no puede resolver. Cualquier solicitud para cambiar los datos bancarios o emitir un pago debe confirmarse por teléfono mediante un número que ya conste en los archivos, nunca con uno facilitado en el propio correo electrónico, ya que un número proporcionado por el atacante simplemente vuelve a conectar al destinatario con el atacante.
Revisar los procedimientos de aprobación de pagos
Las revisiones periódicas de los procedimientos de aprobación de pagos también ayudan a reducir el riesgo de compromiso del correo electrónico corporativo a lo largo del tiempo. A medida que las empresas crecen, las excepciones temporales y los atajos informales a menudo pasan a formar parte de las operaciones cotidianas sin que nadie se cuestione si siguen siendo adecuados. Revisar quién puede autorizar pagos, cómo se aprueban las modificaciones de datos bancarios y qué transacciones requieren una verificación adicional ayuda a garantizar que los controles financieros sigan adecuándose al nivel actual de riesgo de la organización. Incluso los procedimientos bien diseñados pierden eficacia si no se vuelven a examinar a medida que la empresa evoluciona.
Autenticación del correo electrónico
La autenticación del correo electrónico técnica es un componente clave de la seguridad del correo electrónico y es relevante aquí de una forma en que no lo es para la mayoría de los casos de suplantación, ya que el compromiso del correo electrónico corporativo a menudo se basa en falsificar el propio dominio de una organización para suplantar a sus directivos.
DMARC, al funcionar junto con SPF y DKIM, indica a los servidores de correo electrónico receptores qué hacer con los mensajes que no logran autenticarse con tu dominio, lo que dificulta enormemente que un atacante envíe un correo electrónico que parezca proceder de tu propio CEO.
Cultura de seguridad abierta
Nada de esto funciona sin una norma cultural de base: siempre es aceptable hacer una pausa y verificar una solicitud, sin importar quién parezca pedirla. Los empleados que temen parecer obstructivos o desconfiados ante un superior son precisamente aquellos a quienes un intento de compromiso del correo electrónico corporativo está diseñado para engañar, y ese temor solo desaparece cuando la dirección deja claro, una y otra vez, que cuestionar una solicitud inusual es lo esperado, no un acto de deslealtad.
Cómo detectar las señales de advertencia de un intento de compromiso del correo electrónico corporativo
El compromiso del correo electrónico corporativo rara vez se manifiesta a través de señales de advertencia técnicas evidentes. El correo electrónico puede provenir de una dirección conocida, hacer referencia a un proyecto real y utilizar un lenguaje que coincide con conversaciones anteriores. Por eso, el contexto que rodea a la solicitud suele importar más que el propio correo electrónico.
Varios patrones aparecen repetidamente en las investigaciones sobre el compromiso del correo electrónico corporativo. Una solicitud que elude los procedimientos habituales de aprobación siempre debería suscitar dudas. Lo mismo ocurre con instrucciones inesperadas de mantener un pago confidencial, cambios en los datos bancarios de un proveedor poco antes de que venza una factura o solicitudes que llegan mientras un directivo está de viaje y es difícil comunicarse con él. Los atacantes eligen deliberadamente situaciones en las que es menos probable que los empleados verifiquen la solicitud a través de otro canal.
Los pequeños cambios en el estilo de comunicación también pueden dar pistas. Un ejecutivo que normalmente delega las aprobaciones financieras puede pedir de repente un pago de forma personal. Un proveedor que habitualmente se comunica a través de un gestor de cuentas puede enviar instrucciones bancarias desde un contacto diferente. Ninguno de estos indicios demuestra un ataque por sí solo, pero deberían motivar una verificación adicional antes de transferir dinero o cambiar los datos de una cuenta.
El enfoque más seguro es tratar las solicitudes financieras inusuales como excepciones en los procesos de la empresa y no como situaciones que requieren decisiones urgentes. Una breve llamada telefónica utilizando un número de confianza, o la confirmación a través de un canal de comunicación interno establecido, puede evitar una pérdida que, de otro modo, llevaría semanas o meses recuperar.
¿Cómo facilitan las credenciales el compromiso del correo electrónico corporativo?
No todos los intentos de compromiso del correo electrónico corporativo se basan en un dominio similar falsificado. A veces, comienza con una cuenta de correo electrónico auténticamente comprometida, en la que el atacante simplemente inició sesión utilizando una contraseña que ya había sido expuesta en otro lugar.
Una vez dentro, no necesitan fingir nada. Pueden leer hilos antiguos, imitar el tono y el formato a la perfección y enviar la solicitud fraudulenta desde una dirección que supera todas las comprobaciones de autenticación, porque realmente es la propia cuenta del remitente.
Aquí es donde los buenos hábitos con las contraseñas y la prevención del compromiso del correo electrónico corporativo coinciden de lleno. El Observatorio de filtraciones de datos de Proton realiza un seguimiento de la frecuencia con la que las credenciales corporativas aparecen en bases de datos delictivas mucho antes de que alguien dentro de la empresa afectada se dé cuenta, y el compromiso de la cuenta es exactamente el resultado que esos datos hacen posible.
Un correo electrónico empresarial seguro y contraseñas únicas en cada cuenta, combinados con la autenticación multifactor (MFA), hacen que una contraseña filtrada en una vulneración no pueda reutilizarse para entrar en un buzón y lanzar un ataque de compromiso del correo electrónico corporativo desde dentro.
Un gestor de contraseñas empresarial como Proton Pass for Business hace que este estándar sea realista de mantener en toda la organización, en lugar de depender de que cada empleado recuerde no reutilizar contraseñas. Cuando las credenciales se generan y almacenan adecuadamente, las vulnerabilidades ante filtraciones de datos y las apropiaciones de cuentas se reducen notablemente.
Protege las cuentas de tu empresa contra el compromiso con un gestor de contraseñas empresarial seguro.
