El otoño pasado, una asistente administrativa recién contratada en un prestigioso bufete de abogados de la Costa Este recibió, a lo largo de seis meses, tres correos electrónicos de un socio en los que se le pedía que transfiriera un total de 240,000 dólares a un consultor externo.
Como no quería disgustar a uno de sus superiores, la administrativa realizó las transferencias. Todo parecía ir bien… hasta que, unos meses más tarde, se descubrió que un ciberdelincuente se había hecho pasar por el socio y se había apropiado del dinero. La empresa presentó una reclamación al seguro cibernético por sus pérdidas, pero esta fue denegada porque su empleado no había cumplido con una política interna de doble autenticación que exigía que varias personas revisaran las transferencias de gran cuantía.
«Lamentablemente, los casos de suplantación de identidad en el correo electrónico empresarial de nuevos empleados como este se están convirtiendo en algo demasiado habitual», afirma Kirsten Bay, directora ejecutiva de Cysurance, una agencia de seguros cibernéticos. «Los atacantes suelen estar atentos a las nuevas direcciones de correo electrónico corporativas o a las publicaciones en redes sociales sobre personas que empiezan un nuevo trabajo». A continuación, se hacen pasar digitalmente por directivos de la empresa, aprovechando la reticencia de los empleados a cuestionar la legitimidad de los correos electrónicos procedentes del personal de alto rango».
Aunque hoy en día muchas organizaciones consideran que el ransomware es su principal motivo de preocupación, los ataques de suplantación de identidad en el correo electrónico empresarial (BEC) (se abre en una nueva pestaña), que existen desde hace mucho más tiempo, están aumentando en frecuencia, complejidad y gravedad.
«El ransomware acapara toda la atención porque se trata de ataques más llamativos, más atractivos y con un aire de intriga», afirma Eric Gyasi, vicepresidente de gestión de relaciones y abogado de Stroz Friedberg, una empresa de Aon. «El suplantación de identidad en el correo electrónico empresarial, por otra parte, no es un tema del que a la gente le guste hablar. Esto suele ocurrir cuando les han estafado y, por lo tanto, se sienten en ridículo. Por eso, el público no oye hablar tanto de ellos. Sin embargo, se trata de un problema tan generalizado en términos de volumen como los ataques de ransomware de , si no más».
Una amenaza que crece silenciosamente
De hecho, el Centro de Denuncias de Delitos en Internet del FBI (IC3) señala el BEC como el delito en Internet que causa mayores pérdidas económicas. En 2021, las estafas de tipo BEC y EAC (compromiso de cuentas de correo electrónico) provocaron unas pérdidas cibernéticas a nivel mundial de aproximadamente 2.4 000 millones de dólares (se abre en una nueva pestaña), frente a los 49.2 millones de dólares causados por el ransomware, según el FBI. Es más, según el FBI, entre July 2019 y December 2021, los ataques de tipo BEC/EAC se dispararon un 65 % y han supuesto a las organizaciones un coste aproximado de 43.3 000 millones de dólares desde 2016 (se abre en una nueva pestaña).
«El ransomware acapara toda la atención porque se trata de ataques más llamativos, más atractivos y con un aire de misterio.»Eric Gyasi, vicepresidente de gestión de proyectos de Stroz Friedberg
El BEC suele dirigirse a empresas que realizan transferencias bancarias con regularidad. Los estafadores acceden a una cuenta de correo electrónico de un empleado para obtener información sobre los proveedores de la empresa. A continuación, envían una solicitud fraudulenta de pago mediante transferencia bancaria a un proveedor. A continuación, se engaña al vendedor para que envíe dinero a una cuenta controlada por el autor del delito.
Hubo un tiempo en el que estas cosas resultaban bastante fáciles de detectar. El usuario podría encontrar logotipos de marcas reproducidos de forma deficiente, un inglés incorrecto o mensajes de captación ridículos en los correos electrónicos y suponer que se trata de intentos de phishing. Sin embargo, hoy en día los ciberdelincuentes son más eficaces a la hora de borrar sus huellas. Están suplantando las direcciones de correo electrónico del director general y del director financiero y enviando mensajes falsos a los destinatarios que resultan imposibles de distinguir de los auténticos.
Asimismo, están analizando las empresas y las actividades de los empleados para integrarse de forma natural en conversaciones clave en momentos decisivos. Si se enteran de una fusión, por ejemplo, podrían aprovechar esa información para hacerse pasar por parte de los implicados en la operación y engañar a la gente para que les envíe dinero.
Esto ocurre con más frecuencia de lo que las organizaciones están dispuestas a admitir en casi todos los sectores, entre ellos:
- El sector inmobiliario, , donde los estafadores han estado desviando cientos de miles de dólares de los fondos de vendedores y compradores. Según el FBI, unas 13,638 personas fueron víctimas de fraude inmobiliario mediante transferencias bancarias en 2020, con pérdidas que ascendieron a más de 213 millones de dólares. La BEC fue la principal responsable de gran parte de ello.
- El sector sanitario, , donde los ciberdelincuentes han estado lanzando ataques de tipo BEC contra procesadores de pagos para desviar los pagos de las víctimas. En abril, por ejemplo, una empresa del sector sanitario con más de 175 profesionales médicos descubrió que alguien que se hacía pasar por un empleado había modificado las instrucciones de la cámara de compensación automatizada (ACH) de uno de sus proveedores de procesamiento de pagos con el fin de desviar unos 840,000 dólares al ladrón en lugar de a los profesionales a los que estaban destinados, según el FBI.
- Filantropía, , donde los ciberdelincuentes han sustraído fondos destinados a ayudar a personas de todo el mundo. Durante las vacaciones de 2020, por ejemplo, unos piratas informáticos falsificaron una factura que parecía auténtica, la enviaron a One Treasure Island —una organización sin ánimo de lucro de San Francisco dedicada a ayudar a las personas sin hogar— y convencieron a alguien para que enviara 650,000 dólares a una cuenta bancaria en Odessa, Texas, en tres pagos distintos. La organización recuperó 37,000 dólares de una cuenta bloqueada, pero perdió el resto.
«. Dada la naturaleza humana, estas estafas son más fáciles de llevar a cabo de lo que podría pensarse.»Frank Dickson, vicepresidente del grupo y analista de seguridad y confianza de IDC
Dado el nivel de sofisticación que están alcanzando los piratas informáticos, resulta evidente que los ataques de tipo BEC no van a desaparecer. En todo caso, los avances en tecnologías automatizadas como la inteligencia artificial (IA) y el aprendizaje automático (ML), así como la continua evolución de los «deepfakes» de audio y vídeo, están acelerando sus esfuerzos.
Pero, más allá de eso, el BEC sigue teniendo éxito porque se aprovecha de la naturaleza confiada de los seres humanos. La mayoría de las personas no se atreven a cuestionar los correos electrónicos que parecen proceder de altos directivos, socios importantes, clientes o medios de comunicación. Y no siempre revisan minuciosamente cada dirección de correo electrónico para comprobar que se haya escrito siguiendo el formato adecuado de la empresa porque, seamos sinceros, no tienen tiempo para ello —y es probable que nunca lo tengan—.
Medidas de respuesta fundamentales
Los observadores señalan que las organizaciones deben contrarrestar las tendencias humanas mediante la aplicación de las siguientes buenas prácticas tecnológicas y procedimentales:
Invierta en educación y sensibilización. Según el Informe «Verizon 2022 Data Breach Investigations Report», , el 82 % de las filtraciones de datos «tuvieron un componente humano», lo que incluye ataques sociales, errores y uso indebido. De hecho, a diferencia del ransomware u otros ataques, el BEC ni siquiera necesita malware para tener éxito, afirma Frank Dickson, vicepresidente del grupo y analista de seguridad y confianza de la empresa de investigación IDC. «Dada la naturaleza humana, estas estafas son más fáciles de llevar a cabo de lo que podría pensarse», afirma.
Dickson afirma que es fundamental invertir en programas de formación que ayuden a los empleados a detectar y responder ante posibles intentos de estafa de tipo BEC.
Implemente la autenticación multifactorial (MFA) de . La autenticación multifactorial ha contribuido a reducir al mínimo los ataques de ransomware y, en la actualidad, constituye un requisito básico en las pólizas de seguro cibernético. Y hay una razón para ello: contar con controles y verificaciones adicionales antes de que alguien pueda acceder a una red, a un correo electrónico o a una cuenta financiera puede frustrar de raíz un intento de estafa BEC. Por el contrario, no disponer de MFA puede acarrear graves consecuencias. De hecho, de todos los casos de BEC que la empresa de supervisión de seguridad Arctic Wolf registró durante la primera parte del año, el 80 % de las organizaciones afectadas carecían de autenticación multifactorial (MFA).
Adopten una estrategia de defensa por capas. Aunque los ataques de tipo BEC no son necesariamente sofisticados desde el punto de vista tecnológico, la aplicación de medidas de seguridad básicas y la actualización periódica de los sistemas informáticos pueden resultar de gran ayuda. Los analistas recomiendan utilizar filtros antispam, implementar procesos seguros para compartir archivos y adoptar enfoques de «confianza cero» ( ), en los que toda persona o máquina que intente acceder a una red se considera sospechosa hasta que se demuestre lo contrario.
Aunque el ransomware sigue acaparando la atención mundial, los expertos señalan que las organizaciones no pueden tomarse a la ligera el problema del suplantación de identidad en el correo electrónico empresarial. Esta amenaza, de la que apenas se habla, no va a desaparecer. En todo caso, está aumentando en frecuencia, complejidad y gravedad. Es fundamental abordar esta cuestión ahora mismo.
