Ten cuidado con estos 5 tipos de estafas BEC

¿Cuál es la mayor amenaza cibernética a la que se enfrentan las empresas? No es el ransomware, a pesar de que este suele captar todos los titulares. Se trata del compromiso de el correo electrónico empresarial (BEC). A veces denominado compromiso de cuentas de correo electrónico (EAC), el BEC puede provocar pérdidas empresariales potencialmente devastadoras. Desafortunadamente, la naturaleza camaleónica del BEC dificulta que la mayoría de las víctimas puedan detectarlo a tiempo. Esto es un problema grave, ya que este tipo de ataque puede causar rápidamente daños masivos en los ingresos, la reputación y la productividad de una empresa. Esta inmersión en el complejo mundo del BEC le ayudará a desarrollar y mantener una sólida postura defensiva frente a la amenaza cibernética más costosa de la actualidad.

Pago urgente requerido o estafas de facturas

La variedad más común de ataque BEC es la estafa de facturas o de pago urgente. En este escenario, los ciberdelincuentes se hacen pasar por representantes de una empresa o agencia gubernamental y le dicen a la víctima que debe pagar una factura de inmediato para evitar consecuencias negativas, como la interrupción de su servicio telefónico. Por lo general, solicitan una transferencia bancaria a una cuenta fraudulenta, pero a veces piden el pago mediante una tarjeta de regalo o de dinero.

Ejemplos

• El FBI recibió numerosos informes sobre fraudes de facturas BEC relacionados con la COVID-19 y dirigidos a grandes organizaciones de atención médica. Las víctimas recibieron mensajes que afirmaban que debían pagar una factura falsa de inmediato para que la organización obtuviera un envío de suministros médicos o vacunas muy necesarios. Se indicó a las víctimas que pagaran mediante transferencia bancaria. Por supuesto, ningún suministro llegó jamás a esos desafortunados proveedores de atención médica.
• Tanto Facebook como Google fueron víctimas de estafas de facturas perpetradas por los mismos ciberdelincuentes, lo que resultó en pérdidas colectivas de aproximadamente 121 millones de dólares. El ciudadano lituano Evaldas Rimasauskas y sus asociados formaron una empresa falsa que utilizaba el nombre de un proveedor de hardware real, "Quanta Computer". A continuación, el grupo presentó facturas fraudulentas a Facebook y Google, las cuales pagaron sin demora, directamente en cuentas bancarias controladas por los delincuentes.

Estafas de suplantación de ejecutivos

Los ciberdelincuentes pueden hacerse pasar por un ejecutivo de la empresa de la víctima u otra organización para persuadirla de que descargue un documento malicioso, les envíe dinero, proporcione información confidencial (como datos financieros) o les ayude a acceder a sistemas y datos restringidos.

Ejemplos

• En el fabricante de juguetes Mattel, unos ciberdelincuentes que se hicieron pasar por ejecutivos de una empresa china engañaron a un directivo para que aprobara un pago en el extranjero por valor de 3 millones de dólares destinado a su empresa falsa en China. El ejecutivo descubrió poco después que la empresa china no existía y que había transferido ese dinero a los ciberdelincuentes.
• Pathé, una empresa cinematográfica francesa, sufrió un ataque BEC en el que los ciberdelincuentes suplantaron la identidad del director ejecutivo de la compañía. Los actores maliciosos se presentaron ante los directivos de la división holandesa de la empresa utilizando una dirección de correo electrónico similar al dominio legítimo de la compañía, pathe.com. Los estafadores convencieron a los ejecutivos para que transfirieran fondos a una cuenta bancaria "nueva" (fraudulenta) para pagar la supuesta adquisición de una empresa en Dubái, lo que resultó en una pérdida de 21 millones de dólares.

Estafas por tergiversación

 En un escenario de tergiversación, los ciberdelincuentes se dirigen a empleados de determinados departamentos con la intención de engañarlos para que proporcionen información confidencial o realicen pagos. Pueden hacerse pasar por funcionarios gubernamentales o incluso por ejecutivos y compañeros dentro de la organización de la víctima.

Ejemplos

• La organización benéfica Save the Children perdió 1 millón de dólares a causa del BEC. En esa estafa, el atacante logró acceder a la cuenta de correo electrónico de un empleado y la usó para enviar facturas falsas y otros documentos al departamento de contabilidad de la organización benéfica, afirmando que el dinero era necesario para pagar paneles solares inexistentes para una clínica en Pakistán. El departamento de contabilidad no sospechó nada porque las fuentes de las facturas provenían de una dirección de confianza.
• En un incidente ocurrido en Snapchat, unos ciberdelincuentes se pusieron en contacto con un empleado con privilegios en el departamento de recursos humanos de la empresa. Al fingir ser el director ejecutivo que solicitaba información para un propósito comercial rutinario, los ciberdelincuentes lograron engañar al empleado para que les enviara datos financieros confidenciales, incluidos los detalles de nómina de empleados actuales y anteriores. El gigante tecnológico Ubiquiti Networks fue víctima de un ataque BEC y sufrió pérdidas de 46 millones de dólares en 2015 después de que unos estafadores que se hacían pasar por empleados persuadieran a otros trabajadores del departamento de finanzas para que les enviaran dinero por motivos que parecían legítimos.

Estafas con tarjetas de regalo

La urgencia es una característica distintiva de las estafas BEC con tarjetas de regalo. Los ciberdelincuentes asustan a sus víctimas diciéndoles, por ejemplo, que les cortarán la electricidad de su empresa por falta de pago a menos que abonen la factura inmediatamente con una tarjeta de regalo. La Comisión Federal de Comercio de EE. UU. (FTC) ofrece varios ejemplos de escenarios de estafas con tarjetas de regalo con los que se ha encontrado.

• La víctima recibe un correo electrónico que supuestamente proviene de una agencia gubernamental, a menudo el Servicio de Impuestos Internos (IRS) de EE. UU. o la Administración del Seguro Social.
• Afirman que la víctima o la empresa de la víctima deben pagar impuestos o una multa, y que se enfrentarán a consecuencias graves si no se pagan de inmediato.
• Un ciberdelincuente envía un mensaje fingiendo ser del soporte técnico de Apple o Microsoft, afirmando que hay un problema con los sistemas o servicios de la empresa y que la víctima debe pagar para solucionarlo.
• En una estafa común y alarmante con tarjetas de regalo, los ciberdelincuentes se hacen pasar por representantes de un servicio público, como una compañía eléctrica, y amenazan con cortar el servicio si la víctima no paga de inmediato.
• Los ciberdelincuentes fingen ser clientes que afirman haber enviado un pago incorrecto y que se les debe dinero, a veces amenazando con acciones legales si el "pago excesivo" no se devuelve rápidamente.

Fraude de credenciales o información

Una estafa BEC de compromiso de credenciales comienza cuando los ciberdelincuentes piden a la víctima que proporcione sus credenciales bajo el pretexto de que han perdido las que ya se les habían asignado o de que no se les dieron las correctas para completar una tarea. Ambas variantes conducen al mismo resultado: un ciberdelincuente engaña a un empleado para que le otorgue acceso a sistemas, cuentas y datos a los que no debería tener acceso.

Ejemplos

• Twitter fue víctima de un ataque BEC. En este incidente, unos ciberdelincuentes que se hacían pasar por contratistas de reparaciones se pusieron en contacto con empleados de Twitter. Convencieron a un empleado de Twitter de que había habido una confusión y no habían recibido las credenciales correctas para acceder a un sistema que requería reparaciones. Tras obtener las credenciales de acceso del incauto empleado, los ciberdelincuentes pudieron tomar el control de cuentas pertenecientes a celebridades, como Donald Trump y Elon Musk, y utilizarlas con fines maliciosos.
• En febrero de 2021, el célebre empresario Obinwanne Okeke fue condenado a 10 años de prisión por su participación en una trama de BEC que provocó pérdidas de al menos 11 millones de dólares a sus víctimas. Mediante el uso de correos electrónicos de phishing para asegurar las credenciales de inicio de sesión de ejecutivos de empresas (incluido el director financiero de la compañía británica Unatrac Holding), obtuvo una vía directa para llevar a cabo un ataque BEC.

Graphus protege a las empresas contra el peligro del BEC

La seguridad de correo electrónico impulsada por inteligencia artificial de Graphus representa una defensa sólida contra amenazas de compromiso de correo electrónico empresarial (BEC) y otros ataques de tipo phishing. En comparación con las protecciones de correo integradas o una pasarela SEG, las soluciones de seguridad de correo automatizadas y basadas en API como Graphus evitan que un 40 % más de mensajes de spear phishing lleguen a la bandeja de entrada de los empleados. Así es como lo logra:

• TrustGraph actúa como un potente escudo entre las bandejas de entrada de los empleados y los mensajes maliciosos. Esta tecnología patentada utiliza más de 50 puntos de datos distintos para detectar mensajes de phishing sofisticados, incluso ataques de día cero.
• EmployeeShield muestra un cuadro llamativo y destacado en los mensajes sospechosos para recordar a los usuarios que deben actuar con precaución. Los empleados pueden marcar un mensaje como legítimo o malicioso con un solo clic.
• Phish911 facilita que los empleados reporten cualquier mensaje que consideren inseguro. Cuando un empleado reporta un correo potencialmente malicioso, este se elimina de inmediato de todas las bandejas de entrada.
• Despliegue sencillo e integración sin esfuerzo mediante API con Microsoft 365 y Google Workspace
• A mitad de precio que la competencia