BEC es ingeniería social pura, no malware. Los atacantes hacen su tarea: rastrean perfiles de LinkedIn, registran dominios de proveedores falsificados y estudian el flujo de cuentas por pagar de una empresa antes de enviar un correo. En algunos casos, se saltan la falsificación por completo y comprometen la cuenta de correo real de un proveedor, luego se insertan directamente en un hilo existente, respondiendo desde una bandeja de entrada legítima en la que el objetivo ya confía, con un "cambio rápido" en las instrucciones de pago.

Como no hay ningún archivo adjunto ni enlace que marcar, estos correos suelen pasar desapercibidos para los escáneres diseñados para detectar malware. Eso es lo que distingue al BEC del phishing común, y por eso detenerlo depende del juicio humano, de pasos de verificación y del monitoreo de identidad, no solo de los filtros de spam.

Ejemplo de la estafa BEC: dominios falsificados

Una versión clásica de este ataque comienza con un dominio que a simple vista parece correcto. Podrías recibir un correo que parece provenir de LegitConstruction.com, pero que en realidad se origina en Legit-Construction.com, un dominio parecido con un carácter adicional que la mayoría no notará en una bandeja de entrada ocupada. El hacker también usará un nombre de visualización amigable, algo como "Legit Construction Accounts Payable", para que el mensaje parezca legítimo a simple vista en tu cliente de correo. A partir de ahí, le escriben a cuentas por pagar con una cuenta bancaria "actualizada" para el pago de una factura próxima. El dominio se ve lo suficientemente parecido como para que nadie lo verifique dos veces, y los fondos van directo al atacante.

Si crees que has identificado o has sido víctima de un ataque de BEC, actúa de inmediato. Notifica a tu banco, a la gerencia y a cualquier otra parte involucrada de inmediato para que puedan intentar recuperar los fondos perdidos.

Reconoce las señales de alerta de BEC

Las señales comunes de un intento de BEC incluyen:

• Urgencia: presión para actuar de inmediato, como "envía esto en la próxima hora"

• Suplantación de dominio: una dirección de remitente que se parece a un dominio confiable, pero no es exactamente igual

• Horarios fuera de lo habitual: solicitudes que llegan fuera del horario laboral normal o justo antes de un día feriado

• Cambios repentinos en datos bancarios: un proveedor o ejecutivo que pide actualizar la información de pago sin motivo aparente

• Instrucciones de transferencia que no coinciden: detalles que no coinciden con la comunicación previa del proveedor

• Cuentas de correo personales: un mensaje desde una cuenta personal de Gmail o similar que reemplaza a la cuenta laboral, a veces alegando problemas con la cuenta corporativa

• Nuevas reglas de reenvío: reglas agregadas discretamente al buzón de un ejecutivo para redirigir u ocultar mensajes

Cualquiera de estas señales por sí sola podría no significar nada. Varias juntas merecen una segunda mirada antes de que alguien actúe según el correo.

Aplica MFA y autenticación de correo electrónico

Los flujos de aprobación y los pasos de verificación pueden intervenir antes de que una solicitud llegue a la bandeja de entrada de alguien. La autenticación multifactor (MFA) y la autenticación de correo electrónico ayudan a detener al atacante antes de que llegue tan lejos. La MFA detiene la gran mayoría de los intentos de relleno de credenciales, así que debería ser innegociable en los sistemas de correo y financieros. Combina eso con DMARC, DKIM y SPF configurados correctamente en tu dominio, junto con filtros que bloqueen dominios similares y marquen direcciones de respuesta que no coincidan. 

Estos son los mismos trucos que hacen posibles las estafas de suplantación de dominio como la del ejemplo anterior, y son la base técnica de cualquier proceso de aprobación o política de seguridad del correo electrónico.

Capacita a los empleados para detectar BEC y generar un informe

Los mejores procesos del mundo solo funcionan si los empleados los siguen, y eso solo ocurre con capacitación real, no con una presentación que ven una vez al año. La capacitación continua de security awareness training, que incluye phishing simulado y escenarios de ingeniería social basados en amenazas reales, enseña al personal a reconocer las señales de alerta y a generar un informe de los mensajes sospechosos antes de hacer clic o responder, no después.

Huntress Managed Security Awareness Training ofrece episodios cortos de ciberseguridad narrados como historias y simulaciones de phishing basadas en inteligencia de amenazas actual proveniente de millones de endpoints e identidades, además de funciones como Phishing Defense Coaching y asignaciones basadas en comportamiento, para que el hábito perdure mucho después de terminada la capacitación.

El hecho de que alguien no trabaje en el área de contabilidad no significa que no vaya a ser blanco de un ataque. La práctica hace al maestro; no dejes que la primera vez que tu organización enfrente un intento de BEC sea en condiciones reales.

Incluso una buena prevención no detectará todo, así que ayuda saber cómo se ve un ataque en curso:

• Anomalías de tiempo: Solicitudes enviadas fuera del horario laboral o justo antes de un feriado

• Señales financieras de alerta: Un cambio inesperado en los datos bancarios o una reorientación de pago presentada como urgente

• Indicadores técnicos: Nuevas reglas de reenvío en el buzón de un ejecutivo, inicios de sesión con patrones de viaje imposibles, o un aumento repentino de intentos fallidos de MFA

Cualquiera de estas señales por sí sola puede tener una explicación. Juntas, suelen ser indicio de que alguien ya está adentro.

Las organizaciones más resilientes no dependen solo de las políticas. Combinan flujos de trabajo internos sólidos con un monitoreo de identidad que detecta a los atacantes incluso cuando un empleado no lo hace.

Ese es el rol que cumple Huntress Managed ITDR: monitorea de forma continua las identidades y los entornos de correo de Microsoft 365 y Google Workspace las 24 horas, los 7 días de la semana, y detecta y responde a amenazas basadas en identidad como la apropiación de cuenta, el compromiso de correo empresarial (BEC), los inicios de sesión no autorizados, las reglas maliciosas de bandeja de entrada y reenvío, las aplicaciones OAuth fraudulentas y las anomalías de ubicación.

Huntress Managed SAT refuerza esto del lado humano, con capacitaciones envolventes basadas en historias y simulaciones de phishing fundamentadas en amenazas reales, gestionadas por Huntress y con el respaldo de inteligencia de amenazas propia proveniente de millones de endpoints e identidades, para que los empleados desarrollen el instinto de detectar un intento de BEC y generar un informe antes de que se convierta en una transferencia bancaria.

Huntress Managed EDR cubre lo que sucede si el próximo paso de un atacante implica malware para robar credenciales u otros puntos de apoyo en los endpoints, con protección integral de endpoints, detecciones de comportamiento y remediación activa en endpoints con Windows, macOS y Linux.

Los tres funcionan a través de la Huntress Managed Security Platform, una plataforma de seguridad gestionada, unificada y agéntica que combina datos de endpoints, identidades, registros y usuarios en capacitación para fortalecer la integridad de los endpoints, la resiliencia de la identidad y la preparación operativa desde una sola vista, de modo que los equipos de TI reducidos puedan ver y actuar frente a amenazas de identidad, correo y endpoints sin tener que combinar herramientas por su cuenta.

Para ver a Huntress en acción, puedes programar una demo o iniciar una prueba gratuita y poner a Huntress a trabajar para tu equipo.