Compromiso del correo empresarial y fraude de transferencias: reglas de verificación que lo detienen
Los delincuentes se hacen pasar por proveedores o ejecutivos para desviar pagos. Conozca cómo funciona el BEC y las reglas de verificación que lo detienen.
El compromiso del correo electrónico empresarial (BEC, por sus siglas en inglés) es una estafa en la que un delincuente se hace pasar por alguien de confianza para su empresa, como un proveedor, su director general, una compañía de títulos o su contador, y pide por correo un pago o un cambio de datos bancarios. La mejor protección no es un software: es una regla escrita según la cual toda nueva solicitud de pago y todo cambio de instrucciones bancarias se confirma por teléfono, con un número que usted ya tenía registrado, antes de mover cualquier dinero. Esta guía explica cómo funciona la estafa y los procedimientos de verificación que la detienen.
Cómo funciona el compromiso del correo empresarial
El FBI describe el BEC como una estafa sofisticada dirigida a empresas y personas que realizan transferencias de fondos legítimas. Los delincuentes se introducen en una conversación por correo mediante ingeniería social o entrando en un buzón real, y luego la usan para desviar el dinero. Algunas variantes piden información personal de los empleados en lugar de dinero.
La mayoría de los casos sigue uno de estos patrones:
- Fraude de facturas de proveedores. Un mensaje que parece venir de un proveedor real dice que su banco cambió y que la próxima factura debe pagarse a una cuenta nueva.
- Suplantación de ejecutivos. Alguien que se hace pasar por el dueño o el director financiero pide a un empleado enviar una transferencia urgente, comprar tarjetas de regalo o "encargarse de un negocio confidencial" sin decírselo a nadie.
- Fraude en bienes raíces y cierres. Las instrucciones de transferencia para un cierre o un depósito se cambian a último momento, una preocupación frecuente para empresas de títulos, despachos legales y negocios inmobiliarios del sur de la Florida.
- Desvío de nómina. Un "empleado" pide a Recursos Humanos que cambie la cuenta donde se deposita su sueldo.
- Solicitudes de datos. Un "ejecutivo" pide formularios W-2 o expedientes de empleados.
Por qué resulta tan convincente
Los mensajes de BEC a menudo salen de un buzón real que fue comprometido, así que llegan en medio de una conversación auténtica, citan números de factura reales y usan el tono adecuado. Cuando el atacante no logra entrar en una cuenta real, registra un dominio parecido (con una letra cambiada, o .co en lugar de .com) o falsifica el nombre visible del remitente. El FBI también advierte que los atacantes que controlan un buzón pueden crear reglas de reenvío ocultas para vigilar la conversación e intervenir en el momento justo.
Las señales de alerta que debe enseñar a su equipo
Ninguna señal por sí sola prueba un fraude, pero todas deben activar el procedimiento de verificación cada vez:
- Un cambio de cuenta bancaria, número de ruta o forma de pago, sobre todo si llega por correo.
- Urgencia o secreto: "esto tiene que salir hoy", "no me llame, estoy en una reunión", "que quede entre nosotros".
- Un cambio de último momento en las instrucciones de transferencia justo antes de un cierre o de un ciclo de pagos.
- Una negativa a hablar por teléfono o videollamada.
- Pequeñas diferencias en la dirección o el dominio del remitente, fáciles de pasar por alto en un teléfono. Configure las aplicaciones de correo para que muestren la dirección completa, como recomienda el FBI.
- Un nuevo beneficiario en otro país o una cuenta personal para lo que debería ser un pago comercial.
Procedimientos de verificación que detienen el BEC
El hilo común de las recomendaciones del FBI, el IC3 y la FTC es sencillo: verifique las solicitudes fuera del correo electrónico. Conviértalo en una política escrita para que ningún empleado tenga que decidir por su cuenta si "molesta" al jefe o al proveedor.
1. La regla de devolver la llamada
Toda solicitud de enviar dinero a una cuenta nueva, o de cambiar datos de pago existentes, debe confirmarse con una llamada a un número que usted ya tenía antes de recibir la solicitud: el del contrato original, el del registro de proveedores o el del sitio web de la empresa que usted mismo escribió en el navegador. Nunca use el teléfono, el enlace ni la firma del mensaje sospechoso. El FBI advierte específicamente que no se contacte al proveedor a través del número que aparece en el correo.
2. Una política escrita para cambios de pago
Ponga estas reglas por escrito y compártalas con finanzas, los gerentes de oficina y cualquier persona que apruebe facturas:
- Los cambios de datos bancarios de proveedores solo se aceptan en un formulario firmado, nunca con un simple correo.
- Cada cambio se confirma devolviendo la llamada y queda registrado: quién llamó, a qué número, quién confirmó, fecha y hora.
- Los datos modificados activan un periodo de espera antes del primer pago a la nueva cuenta, siempre que su flujo de caja lo permita.
- Los cambios de depósito de nómina los hace el propio empleado en su portal de Recursos Humanos o de nómina con MFA, no por correo.
3. Doble aprobación de pagos
Exija que dos personas aprueben las transferencias y los pagos ACH por encima del límite que usted elija, y cualquier pago a un beneficiario nuevo. La mayoría de las plataformas de banca empresarial lo permiten. El FBI recomienda añadir un segundo paso de verificación para las transferencias de dinero, en especial las de montos altos.
4. Informe a sus proveedores y clientes de cómo trabaja
Comunique por escrito a sus proveedores y clientes que su empresa nunca cambia sus datos bancarios por correo electrónico, y pídales que lo llamen si alguna vez reciben un mensaje así. Las empresas de títulos, los despachos legales y las firmas contables suelen incluir este aviso en sus firmas de correo y cartas de contratación.
Controles técnicos que dificultan el BEC
Los procedimientos detienen el dinero; la tecnología reduce la frecuencia con la que la estafa llega a su bandeja de entrada.
- Autenticación multifactor (MFA) en todos los buzones, para que una contraseña robada no baste para apoderarse de una cuenta.
- Autenticación del correo (SPF, DKIM y DMARC) en su propio dominio. La FTC los recomienda para que los servidores receptores puedan comprobar que el correo realmente salió de usted. Requieren cuidado al configurarlos para no bloquear correo legítimo.
- Etiquetas de remitente externo que marquen los mensajes que vienen de fuera de la empresa.
- Alertas ante nuevas reglas de reenvío e inicios de sesión inusuales en Microsoft 365 o Google Workspace, y una revisión periódica de las reglas de los buzones, como sugiere el FBI.
- Vigilancia de dominios parecidos al suyo.
Si cree que envió dinero a un estafador
El tiempo es decisivo. Según el IC3 del FBI, actúe de inmediato:
- Llame a su banco enseguida y pida que solicite la devolución de la transferencia y contacte al banco receptor. Las políticas varían según la institución.
- Presente una denuncia en ic3.gov lo antes posible, sin importar el monto. El IC3 puede ayudar a los bancos y a las autoridades a congelar fondos.
- Asegure el buzón: cambie la contraseña, cierre todas las sesiones, revise los métodos de MFA y elimine las reglas de reenvío desconocidas.
- Conserve las pruebas: guarde los correos originales con sus encabezados completos. No borre nada.
- Avise por teléfono al proveedor o cliente cuyo nombre se usó, para que no engañen a otros.
Si el atacante entró en uno de sus buzones, trátelo como un incidente de seguridad. Revise a qué más tenía acceso esa cuenta y si se expuso información personal, lo que puede generar obligaciones de notificación.
Lista de verificación de una página para su oficina
- Regla escrita de devolver la llamada para beneficiarios nuevos y cambios bancarios
- Números de teléfono confiables guardados fuera del correo
- Doble aprobación para transferencias y beneficiarios nuevos
- MFA en todos los buzones, incluidos los compartidos y los de ejecutivos
- SPF, DKIM y DMARC configurados en su dominio
- Alertas de nuevas reglas de reenvío e inicios de sesión de riesgo
- Una breve capacitación anual para finanzas y el personal de recepción
- Línea de fraude del banco y enlace al IC3 a la vista del personal de finanzas
El compromiso del correo empresarial es, ante todo, un problema de personas y procesos. La buena noticia es que unas pocas reglas claras, aplicadas siempre y sin excepciones, detienen la mayoría de los intentos. Si desea ayuda para configurar la protección de sus buzones, la autenticación del correo y una política de verificación de pagos adaptada a la forma real de trabajar de su equipo, solicite una evaluación de TI gratuita. Core Florida IT trabaja con empresas de todo Miami-Dade y el sur de la Florida.
