El fraude por suplantación de correo electrónico empresarial (BEC): qué es y cómo prevenirlo
El «Business Email Compromise» (BEC) es uno de los ciberataques más perjudiciales desde el punto de vista económico a los que puede enfrentarse una organización, y uno de los menos comprendidos. A diferencia del ransomware, que se manifiesta de forma ostensible, el BEC actúa de forma silenciosa, a menudo durante semanas o meses, aprovechándose de la confianza en lugar de la tecnología para robar dinero y datos.
Según el informe «State of the MSP» de Kaseya de 2026, el 44 % de los MSP señalan que al menos el 10 % de sus clientes sufrieron un ciberataque en 2025, y el BEC es, de forma sistemática, uno de los tipos de ataque más habituales y costosos que subyacen a dichos incidentes.
El Centro de Denuncias de Delitos en Internet (IC3) del FBI clasifica sistemáticamente el BEC como una de las categorías de ciberdelitos más costosas. El FBI ha titulado su aviso sobre el BEC «La estafa de los 55 000 millones de dólares», lo que refleja las pérdidas globales acumuladas desde octubre de 2013 hasta diciembre de 2023. En 2024, las denuncias relacionadas con el BEC se tradujeron en unas pérdidas ajustadas de 2.77 mil millones de dólares solo en EE. UU., repartidas en 21.442 incidentes denunciados. El ataque funciona porque es engañosamente sencillo: sin malware, sin cifrado, sin vulnerabilidades técnicas, solo un correo electrónico convincente de alguien en quien confías.
Detén los ataques de BEC antes de que te salgan caros
INKY , de Kaseya, analiza cada correo electrónico comparándolo con los patrones de comunicación de tu organización, detectando los intentos de suplantación de identidad y las solicitudes anómalas que eluden los filtros tradicionales.
Descubre cómo funciona « INKY »
¿Qué es el «Business Email Compromise»?
El BEC es un tipo de ataque fraudulento en el que un actor malintencionado utiliza un correo electrónico de apariencia legítima —procedente de una cuenta comprometida, un dominio falsificado o un contacto suplantado— para engañar a una persona con autoridad financiera o sobre datos y que esta realice una acción perjudicial. Dicha acción suele consistir en un pago fraudulento, una transferencia de datos confidenciales o la revelación de credenciales que permita un acceso adicional.
Lo que distingue al BEC del phishing convencional es su enfoque y su objetivo. El phishing masivo lanza una amplia red para obtener credenciales. El BEC se centra en personas concretas de una organización específica y está diseñado para generar beneficios económicos inmediatos, normalmente mediante una transferencia bancaria, la compra de tarjetas regalo, el desvío de nóminas o la modificación de los datos de las cuentas de pago.
El BEC se denomina a veces «compromiso de la cuenta de correo electrónico» (EAC) cuando el ataque implica el compromiso real de una cuenta auténtica, en lugar de suplantación de identidad o falsificación. Ambos términos describen la misma categoría de amenaza y el mismo riesgo financiero.
Cómo funcionan los ataques BEC
Los ataques de tipo BEC siguen un enfoque estructurado. En primer lugar, los atacantes investigan la organización objetivo e identifican al personal clave de los departamentos de finanzas, contabilidad, recursos humanos y la alta dirección a través de LinkedIn, las páginas web de las empresas y las redes sociales. A continuación, trazan un mapa de las relaciones: quién depende de quién, quién aprueba los pagos y quién tiene autoridad para modificar los datos de pago.
El acceso inicial puede producirse mediante un ataque de phishing que comprometa una cuenta de correo electrónico real, o mediante la suplantación de dominio, que crea una dirección de correo electrónico visualmente similar a la auténtica (por ejemplo, finance@c0mpany.com en lugar de finance@company.com). Una vez dentro de una cuenta legítima, los atacantes suelen supervisar el correo electrónico de forma silenciosa durante semanas, analizando los patrones de comunicación, los acuerdos en curso y el estilo de redacción de la persona suplantada antes de poner en marcha el fraude.
El ataque en sí suele consistir en un único correo electrónico enviado en el momento oportuno: «Por favor, actualiza los datos de la cuenta bancaria de la factura de Smith con los siguientes datos» o «¿Podrías tramitar urgentemente una transferencia bancaria para esta adquisición? Estoy en reuniones todo el día». La combinación de una aparente autoridad, la urgencia y un contexto específico hace que la solicitud resulte verosímil. El lapso de tiempo que transcurre entre el envío del correo electrónico y el descubrimiento del fraude suele ser suficiente para que los fondos se transfieran sin posibilidad de recuperación.
Los cinco escenarios del BEC
El FBI identifica cinco tipos principales de ataques BEC:
El fraude del «CEO» consiste en suplantar la identidad de un alto directivo para presionar a un empleado a fin de que realice una transferencia fraudulenta o revele información confidencial. La solicitud suele llegar cuando el directivo se encuentra de viaje o no está disponible para verificarla.
El «compromiso de una cuenta» consiste en la violación efectiva de una cuenta de correo electrónico empresarial utilizada para solicitar pagos fraudulentos a proveedores o clientes del titular de dicha cuenta. A diferencia de la suplantación de identidad, el correo electrónico procede realmente de la cuenta auténtica.
La estafa de las facturas falsas consiste en suplantar la identidad de un vendedor o proveedor y solicitar el pago a una nueva cuenta bancaria, interceptando así un pago real que se esperaba recibir.
La suplantación de identidad de un abogado consiste en hacerse pasar por un asesor jurídico para exigir información confidencial o un pago urgente relacionado con un asunto judicial pendiente, aprovechándose de la dinámica de autoridad propia de la relación jurídica.
El robo de datos se centra en los departamentos de recursos humanos o finanzas con el fin de obtener los registros fiscales de los empleados, la información sobre nóminas o los datos personales. A menudo, esto constituye un paso previo a otros fraudes o al robo de identidad, más que a una transferencia económica inmediata.
Por qué es tan difícil detectar el BEC
El BEC elude la mayoría de los controles de seguridad tradicionales, ya que se basa en la ingeniería social en lugar de en el malware. Los filtros de seguridad del correo electrónico no detectan un mensaje procedente de una cuenta legítima que haya sido comprometida. Ningún archivo adjunto ni enlace malicioso activa la protección de los terminales. La comunicación parece, en todos los sentidos técnicos, un correo electrónico empresarial normal.
El reto de la detección es de carácter conductual: reconocer que una solicitud no se ajusta al proceso empresarial habitual, que la urgencia es inusual o que se está recibiendo una modificación de una orden de pago a través de un canal atípico. Se trata de valoraciones humanas, no técnicas, y por eso el BEC sigue siendo eficaz incluso en entornos técnicamente sofisticados.
El BEC potenciado por IA está complicando aún más las cosas. Los atacantes utilizan ahora la IA para generar mensajes que imitan con precisión el estilo de redacción de una persona, basándose en el contexto real de los hilos de correo electrónico vigilados. Los indicios que antes un lector atento podría haber detectado —como expresiones ligeramente inusuales o un lenguaje genérico— están cada vez más ausentes en los intentos actuales de BEC.
Cómo protegerse contra el BEC
Autenticación del correo electrónico. Las políticas DMARC, DKIM y SPF evitan la suplantación de dominios. Una política DMARC configurada para rechazar mensajes impide que los atacantes envíen correos electrónicos que parezcan proceder de tu dominio. Esto aborda el vector de suplantación de identidad, pero no el de compromiso de la cuenta, por lo que son necesarios controles en varias capas.
Seguridad del correo electrónico basada en la inteligencia artificial. Soluciones como Inky, incluida en Kaseya 365 User, utilizan la inteligencia artificial para analizar los patrones de comunicación por correo electrónico y señalar anomalías: mensajes de nuevos remitentes que afirman tener autoridad ejecutiva, solicitudes que se desvían de los patrones habituales de comunicación o características que coinciden con perfiles conocidos de BEC. A diferencia de los filtros basados en firmas, el análisis de comportamiento detecta solicitudes inusuales en su contexto, incluso cuando proceden de fuentes que parecen legítimas.
Controles de procesos para transacciones financieras. La defensa más eficaz contra el fraude de pagos mediante BEC es un control de procesos realizado por personas: una verificación «fuera de banda» por teléfono a un número conocido —no al que figura en el correo electrónico sospechoso— antes de ejecutar cualquier modificación en las instrucciones de pago o cualquier transferencia bancaria de cuantía elevada. No se debe autorizar mediante correo electrónico únicamente ninguna transacción financiera que supere un umbral definido.
Formación de los empleados. El personal de finanzas y los asistentes ejecutivos, principales objetivos del BEC, necesitan formación específica sobre los escenarios del BEC y los procedimientos de verificación que deben seguir cuando reciban solicitudes de pago inusuales. La formación general sobre concienciación frente al phishing no abarca las estrategias específicas del BEC que utilizan los atacantes.
Supervisión de la dark web. Las credenciales comprometidas que permiten el secuestro de cuentas mediante el BEC suelen aparecer en foros de la dark web antes de que los atacantes las utilicen. Dark Web ID, disponible a través de Kaseya, supervisa continuamente las credenciales de tu dominio y ofrece alertas tempranas que permiten restablecer las contraseñas antes de que se produzca el uso indebido de las cuentas.
Autenticación multifactorial (MFA) en todas las cuentas de correo electrónico. El ataque BEC mediante suplantación de cuenta requiere acceso a la cuenta comprometida. La autenticación multifactorial impide que el robo de credenciales permita dicho acceso. Aunque un atacante consiga la contraseña mediante phishing o «credential stuffing», no podrá iniciar sesión sin el segundo factor.
Descubre cómo un usuario de «Kaseya 365 » combate el BEC mediante la seguridad del correo electrónico basada en IA y la vigilancia de la dark web.
Puntos clave
- El BEC es una de las categorías de ciberdelincuencia más costosas en términos de pérdidas económicas totales, ya que provoca daños por valor de miles de millones cada año a través del fraude, más que mediante la explotación técnica. La cifra acumulada del FBI entre 2013 y 2023 asciende a 55 000 millones de dólares.
- El BEC elude los controles técnicos de seguridad porque utiliza cuentas de confianza o suplantaciones de identidad muy convincentes, en lugar de malware o archivos adjuntos maliciosos.
- Las medidas de defensa más eficaces combinan controles técnicos (DMARC, seguridad del correo electrónico basada en IA, autenticación multifactorial) con controles de procesos (verificación fuera de banda para transacciones financieras) y formación específica para los empleados.
- La inteligencia artificial está haciendo que el BEC sea más difícil de detectar, al generar suplantaciones de identidad que se ajustan perfectamente al contexto. La detección requiere cada vez más el reconocimiento de anomalías de comportamiento, en lugar del análisis de contenidos.
