Vulneración de correo electrónico de empresas (BEC)

Los mensajes de correo electrónico de impostores engañan a la gente para que envíe dinero, a veces cientos de miles de dólares en una sola transferencia electrónica, o información empresarial o personal de carácter confidencial. Esos mensajes dan la impresión de que provienen del director ejecutivo o de otra persona de jerarquía y piden al destinatario que mantenga todos los detalles de manera confidencial.

El correo electrónico de impostores se conoce con distintos nombres y a menudo se le llama vulneración de correo electrónico de empresas o fraude de director ejecutivo. Esa amenaza está diseñada para engañar a la víctima a fin de que piense que recibió un mensaje de un alto ejecutivo de su empresa, como el director ejecutivo o el director financiero, en el cual se le pide que haga una transferencia de dinero fuera de la empresa (por lo general) o de información que identifique a personas, como formularios con datos de salarios e impuestos. Esas amenazas son sumamente dirigidas y comienzan con una buena cantidad de investigación a fin de encontrar a la persona adecuada dentro de una organización, averiguar su cadena de mando y determinar la mejor hora para enviarle el mensaje; de preferencia cuando el “remitente” se encuentre de viaje para aumentar la posibilidades de éxito. No obstante, a pesar de la cantidad de trabajo que se requiere, la cantidad de ese tipo de amenazas es cuantiosa y miles de empresas se ven afectadas por ellas mes tras mes. El FBI calcula que los mensajes de correo electrónico de impostores costaron a empresas más de 2 mil millones de dólares en 2015. Debido a que las amenazas dependen de la ingeniería social en lugar del malware, los mensajes de correo electrónico de impostores a menudo pueden evadir las soluciones de seguridad que solamente buscan contenido o comportamiento mal intencionado.

Muchas defensas de seguridad de correo electrónico buscan documentos malintencionados o direcciones de URL conocidas que se encuentran en listas negras para identificar los mensajes de correo electrónico como sospechosos. Sin embargo, las amenazas de correo electrónico de impostores raramente presentan esas delatadoras características. En su lugar, dependen de la ingeniería social y del hecho de que los empleados ocupados, cansados o ingenuos responderán a las solicitudes falsas de dinero o información. Los empleados vigilantes son la última línea de defensa en contra de las amenazas de impostores. Al igual que con muchos artimañas de phishing y otros ataques basados en el correo electrónico, las amenazas de correo electrónico de impostores incluyen distintivos comunes que deben enviar una señal de alarma a los usuarios, si es que esos mensajes logran sortear las defensas de su organización:

• Ejecutivos de alto nivel que piden información no habitual: ¿Cuántos directores ejecutivos realmente desean analizar la información de salarios e impuestos de empleados individuales? Aunque la mayoría de nosotros de forma natural respondería de forma presta a un mensaje de correo electrónico procedente de la alta gerencia, vale la pena hacer una pausa y reflexionar en que si tiene sentido la solicitud por correo electrónico. Un director financiero podría pedir datos de remuneración acumulados o un informe especial, pero es muy poco probable que lo hagan los empleados individuales.
• La mayoría de las organizaciones cuentan con sistemas de contabilidad por medio de los cuales se deben procesar las facturas y los pagos, sin importar cuán urgente sea la solicitud. Si se sortean esos canales, por ejemplo, con un mensaje de correo electrónico enviado directamente por un ejecutivo en el que se solicite que se realice una transferencia de dinero urgente lo antes posible, el destinatario debería entrar en sospechas.
• Solicitudes que rodean los canales normales: La mayoría de las organizaciones cuentan con sistemas de contabilidad por medio de los cuales se deben procesar las facturas y los pagos, sin importar cuán urgente sea la solicitud. Si se sortean esos canales, por ejemplo, con un mensaje de correo electrónico enviado directamente por un ejecutivo en el que se solicite que se realice una transferencia de dinero urgente lo antes posible, el destinatario debería entrar en sospechas.
• Errores ortográficos o formatos de fecha no habituales: Algunos mensajes de correo electrónico de señuelo contienen una gramática impecable y algunos directores ejecutivos escriben los mensajes en un lenguaje cortado. Sin embargo, la presencia de formatos de fecha distintos (día, mes y año en EE.UU.) o la construcción gramatical que sugiera que el mensaje fue escrito por una persona no nativa es común en muchos de esos ataques.
• La dirección de respuesta no concuerda con la del remitente: Esto es raramente obvio en clientes de correo electrónico o en aplicaciones de correo web. Sin embargo, las amenazas de correo electrónico de impostores en general se caracterizan por tener direcciones de remitentes falsos. También podrían utilizar dominios de imitación que engañan a los destinatarios a simple vista (por ejemplo: sud0minio.com en lugar de sudominio.com).

Las siguientes son sugerencias que protegen a las organizaciones ante esos ataques cada vez más comunes:

• No se confíe. Pedir aclaración, reenviar el mensaje al departamento de TI o consultar con un colega son mejores opciones que transferir cienes de miles de dólares a una empresa falsa en China.
• Si tiene la corazonada de que algo no está bien, es probable que así sea. Inste a los empleados a que confíen en sus instintos y se pregunten: “¿En verdad me pediría el gerente general que hiciera esto?”. O bien: “¿Por qué no presenta este proveedor su factura por medio de nuestro portal?”.
• Haga una pausa. A menudo, los atacantes sincronizan sus campañas con las horas más ocupadas del día con una buena razón. Si una gerente de recursos humanos está dando un rápido vistazo a su correo electrónico, lo más seguro es que hará una pausa y reflexionará en cuanto a si una solicitud particular resulta sospechosa.

Quizá el mensaje más importante es que debe haber soluciones robustas de seguridad de correo electrónico, redes y extremos trabajando a la par de las iniciativas de capacitación de los usuarios.

Defiéndase del correo electrónico de impostores con Proofpoint Email Protection. Seguridad de correo electrónico para protegerse.