El compromiso del correo empresarial (BEC) es una estafa en la que los delincuentes se hacen pasar por directivos, empleados o proveedores por correo electrónico para que una empresa transfiera dinero o entregue datos sensibles.
Cómo funciona el BEC
Los atacantes entran en un buzón real —normalmente mediante phishing o contraseñas reutilizadas— o registran un dominio casi idéntico que solo cambia una letra. Estudian las conversaciones en curso y atacan en el momento oportuno.
Escenarios típicos:
- fraude del CEO: el «director» pide con urgencia a contabilidad una transferencia confidencial;
- facturas falsas: un «proveedor» comunica nuevos datos bancarios;
- desvío de nóminas: un «empleado» pide a recursos humanos cambiar su cuenta;
- robo de datos: solicitudes de documentos fiscales o registros de clientes.
Los correos BEC a menudo no contienen enlaces ni adjuntos, por lo que los filtros rara vez los detectan. Cada vez más se refuerzan con una llamada o una videollamada con un deepfake de voz o de rostro.
Por qué el BEC es importante
Según el Internet Crime Complaint Center (IC3) del FBI, el BEC causa pérdidas de miles de millones de dólares cada año, muy por encima del ransomware en pérdidas directas denunciadas. Un solo ataque puede costar millones a una empresa, y el dinero enviado al extranjero a través de cuentas de mulas es difícil de recuperar.
Cómo protegerse
- Verifique cualquier pago o cambio de datos bancarios llamando a un número conocido, nunca al que aparece en el correo.
- Exija la aprobación de dos personas para transferencias grandes o inusuales.
- Proteja los buzones con MFA y alerte ante nuevas reglas de reenvío y de bandeja de entrada.
- Configure DMARC y marque los remitentes externos y los dominios parecidos.
