Debido a la accesibilidad del correo electrónico, hemos visto un aumento del abuso que se ha vuelto más sofisticado a lo largo de los años. Los ataques de compromiso de correo electrónico empresarial (BEC) le costaron a las organizaciones aproximadamente $ 1.77 mil millones en pérdidas en 2019 solo para los EE. informa el FBI, que recibió un total de 23,775 denuncias relacionadas con esta amenaza. Este abuso de dominio ha provocado una pérdida de más de $ 26 mil millones en todo el mundo y se espera que aumente de manera constante a medida que las personas trabajan cada vez más de forma remota.

¿Qué es el compromiso del correo electrónico comercial?

BEC es una forma de delito cibernético que utiliza el fraude por correo electrónico para engañar a las organizaciones. Si bien el nombre indica que se dirige solo a empresas, todos los propietarios de dominios pueden verse afectados.

En un exploit de BEC, los ciberdelincuentes envían correos electrónicos diseñados socialmente que parecen provenir de alguien que conocen. Puede parecer que proviene de un ejecutivo o gerente de su empresa o de un socio comercial o proveedor de la cadena de suministro. Estos correos electrónicos le pedirán que revele información comercial, Solicite un pago o solicite compras con tarjetas de regalo que parezcan legítimas, pero envíen el dinero directamente a un delincuente.

Muchas veces, un ataque BEC intentará comprometer su cuenta de correo electrónico. Una vez que los delincuentes tienen acceso a su cuenta, pueden obtener información privada, obtener acceso a la red informática de su empresa e instalar ransomware y otro malware.

¿Cómo ocurre el compromiso del correo electrónico empresarial?

En un BEC, los atacantes podrían:

  • Sitios web y cuentas de correo electrónico falsas utilizando ligeras variaciones en direcciones legítimas (kelly.smith@example.com frente a kelley.smith@example.com). Los dominios de correo electrónico no seguros también pueden falsificarse para engañar a las víctimas y hacerles creer que las cuentas falsas son auténticas.
  • Envíe correos electrónicos de spear-phishing. Se cree que estos correos electrónicos falsos provienen de un remitente confiable y hacen que las víctimas revelen información confidencial o realicen un pago.
  • Instale malware. Este software malicioso puede infiltrarse en las redes de una empresa y acceder a hilos de correo electrónico sobre facturación y facturas, lo que proporciona a los delincuentes información sobre cómo programar las solicitudes de pago para que no generen sospechas. El malware también permite a los delincuentes acceder a datos personales, incluidas contraseñas e información de cuentas financieras.

Aquí hay cinco tipos principales de Estafas BEC según lo identificado por el FBI:

  • Esquema de facturas falsas: las empresas con proveedores extranjeros a menudo son el blanco de esta táctica, en la que los atacantes fingen ser los proveedores que solicitan transferencias de fondos para pagos a una cuenta propiedad de estafadores.
  • Fraude de CEO: los atacantes se hacen pasar por el CEO de una empresa u otro ejecutivo y envían un correo electrónico a los empleados de finanzas solicitando una transferencia financiera a una cuenta ilegítima.
  • Compromiso de la cuenta: la cuenta de correo electrónico de un empleado es pirateada y utilizada para solicitar el pago de facturas a los proveedores que figuran en sus contactos de correo electrónico. En realidad, los pagos se envían a cuentas bancarias fraudulentas.
  • Suplantación de identidad de abogado: un atacante se hará pasar por un abogado u otro representante de un bufete de abogados responsable de asuntos delicados. Este tipo de ataques a menudo ocurren a través del correo electrónico durante el final de la jornada laboral, donde las víctimas son empleados de bajo nivel sin el conocimiento o la autoridad para cuestionar la validez de la comunicación.
  • Robo de datos: los empleados de RR.HH. y contabilidad serán el objetivo para obtener información personal o confidencial sobre los empleados o ejecutivos. Estos datos pueden resultar muy útiles para futuros ataques.

¿Por qué el compromiso del correo electrónico empresarial constituye un problema?

A medida que más y más negocios se conectan, hay una mayor oportunidad para que los ciberdelincuentes se dirijan a personas en ataques BEC y otros delitos cibernéticos. El mundo está viendo un aumento en la frecuencia, la complejidad y la cantidad de pérdidas asociadas con este crimen. De acuerdo a una Informe 2020 de APWG, hubo un aumento considerable en la pérdida promedio de los ataques BEC de $ 54,000 en el primer trimestre de 2020 a $ 80,183 en el segundo trimestre. 

Los delincuentes buscan constantemente nuevas formas de victimizar a las personas. Se han vuelto más sofisticados desde los días en que los ataques de phishing se realizaban de forma masiva y aleatoria. Estos actores se involucran en una investigación significativa y explotarán emociones y eventos actuales como elecciones, desastres naturales, ataques terroristas y eventos globales como la pandemia COVID-19. 

¿Cuáles son las señales de advertencia que podrían indicar un posible ataque BEC?

Los ciberdelincuentes son astutos y utilizan tácticas probadas para explotar a sus víctimas. Esté alerta a estas señales de advertencia:

  • Urgencia inexplicada
  • Cambios de última hora en las instrucciones de transferencia o en la información de la cuenta del destinatario
  • Cambios de última hora en plataformas de comunicación establecidas o direcciones de cuentas de correo electrónico
  • Comunicaciones solo por correo electrónico y negativa a comunicarse por teléfono o plataformas de voz o video en línea
  • Solicitudes de pago avanzado de servicios cuando no se requerían previamente
  • Solicitudes inesperadas de empleados o empleadores para cambiar la información de depósito directo

Los ciberdelincuentes se adaptan muy rápidamente cuando encuentran una nueva táctica o un evento actual que pueden explotar. Mantenerse al tanto de la forma en que evolucionan las tácticas ayudará a las organizaciones a tomar las precauciones adecuadas para defenderse de estos ataques altamente dirigidos y evitar ser víctimas de los últimos trucos.

Cómo prevenir el compromiso del correo electrónico empresarial

Como propietario de un dominio, el primer riesgo a considerar es el abuso de su (s) dominio (s), el activo de cara al público que se utiliza para comunicarse dentro de la organización y con las partes interesadas externas, como posibles clientes, clientes actuales y proveedores. El riesgo de abuso del dominio organizacional es extraordinariamente alto, pero también es un problema fácil de resolver. 

Informes y conformidad de autenticación de mensajes basados ​​en dominio (DMARC), un estándar de Internet abierto y las mejores prácticas de la industria, combate la suplantación de dominio y permite a las organizaciones tomar el control de su presencia en línea y evitar la erosión de la marca causada por una violación de datos. Como DMARC La adopción en todo el ecosistema del correo electrónico continúa acelerándose, el canal vital de comunicación por correo electrónico e Internet en su conjunto se volverán más seguros. 

Como usuario final, aquí hay algunas formas de protegerse de BEC y ataques de phishing:

  • Nunca proporcione credenciales de inicio de sesión, números de cuenta o información de identificación personal en respuesta a correos electrónicos.
  • Tenga cuidado con la información que comparte en las redes sociales. Sin darse cuenta, puede proporcionar a los delincuentes la información que necesitan para adivinar su contraseña, responder a sus preguntas de seguridad o crear un engaño de ingeniería social.
  • No haga clic en enlaces ni abra archivos adjuntos en un correo electrónico o mensaje de texto no solicitado pidiéndole que actualice o verifique la información de la cuenta. En su lugar, busque el número de teléfono de la empresa (no utilice el que aparece en el correo electrónico cuestionable) y llame a la empresa para preguntar si la solicitud es legítima.
  • Examine de cerca la dirección de correo electrónico, la URL, la ortografía y la gramática. Los estafadores usan pequeñas diferencias para engañarlo y ganarse su confianza.
  • Configure la autenticación de dos factores o de varios factores.
  • Verifique las solicitudes de pago y compra en tiempo real para asegurarse de que sean legítimas. También debe verificar cualquier cambio en el número de cuenta o los procedimientos de pago con la persona que realiza la solicitud.
  • Sea especialmente consciente si la solicitud es urgente, urgente o juega con sus emociones. Esas son técnicas de engaño ancestrales.

Educar a usted mismo y a sus empleados sobre los peligros de BEC es extremadamente importante, ya que un sistema de correo electrónico comprometido puede causar un daño duradero a la reputación y las finanzas de su organización. Ser consciente de los riesgos y tomar medidas de seguridad ayudará a mantener a raya los problemas.

Como dmarcian puede ayudar a

Para la mayoría de las organizaciones, el proceso de implementación DMARC es una rara oportunidad de centrarse en su postura de seguridad en Internet. Como primer paso, puede utilizar nuestro verificador de dominio para analizar el estado de su (s) dominio (s). 

Nuestra expertos estarán encantados de compartir cómo se puede mejorar radicalmente la postura de seguridad de su organización. Contáctenos para obtener más información o registrarse en un prueba gratuita y obtenga ayuda en el camino.

¿Desea continuar la conversación? Diríjase al Foro de dmarcian