En resumen
El fraude BEC (Business Email Compromise) es un engaño por correo en el que alguien se hace pasar por un proveedor, un ejecutivo o un cliente para conseguir un pago o datos. No necesita virus ni enlaces: basta un mensaje creíble y urgente. Se previene combinando la autenticación del dominio (SPF, DKIM y DMARC), un filtro que analice el contexto de cada mensaje y un proceso interno para verificar cualquier cambio de datos bancarios.
Qué es el fraude BEC
BEC son las siglas en inglés de Business Email Compromise, "compromiso del correo empresarial". El atacante estudia a la empresa, identifica quién paga las facturas o quién puede autorizar una transferencia, y le escribe haciéndose pasar por alguien de confianza.
A diferencia del phishing masivo, no busca a miles de personas: busca a una, con un mensaje escrito para ella.
Las formas más comunes
- Factura falsa de un proveedor. "Cambiamos de banco, por favor paga esta factura a la nueva cuenta."
- Suplantación del gerente. Un pedido de pago urgente y confidencial, supuestamente del gerente general, mientras está de viaje.
- Proveedor comprometido. El atacante entra al correo real de un proveedor y responde dentro de una conversación verdadera.
- Abogado o asesor falso. Un supuesto abogado pide una transferencia "por una operación reservada".
- Cambio de cuenta de sueldo. Un correo a recursos humanos, a nombre de un trabajador, pidiendo depositar su sueldo en otra cuenta.
Por qué los filtros tradicionales no lo detectan
Un correo BEC suele no tener enlaces ni adjuntos, está bien escrito y a veces llega desde una cuenta real. Para un filtro basado en reglas de spam, como SpamAssassin, parece un correo normal. Lo explicamos en detalle en por qué SpamAssassin no detecta el phishing dirigido.
Señales de alerta
- Un pedido de cambio de datos bancarios, aunque venga de un proveedor conocido.
- Urgencia y pedidos de confidencialidad: "no lo comentes, necesito que salga hoy".
- Un dominio con una letra distinta o un sufijo diferente al habitual.
- La respuesta se dirige a otra dirección (Reply-To) que la del remitente.
- Un remitente que nunca antes había escrito a esa persona.
- Horarios o formas de escribir poco habituales para esa persona.
Cómo prevenirlo
En el correo y el servidor:
- Configura SPF, DKIM y DMARC en todos tus dominios, para que nadie pueda enviar correo usando exactamente tu dominio.
- Usa un filtro que detecte BEC y suplantación analizando el contexto de cada mensaje, no solo su contenido. Es lo que hace Clisec para servidores cPanel.
- Marca visiblemente los correos que llegan desde fuera de la organización.
En los procesos:
- Verifica cualquier cambio de datos bancarios por teléfono, a un número que ya tengas, nunca al que venga en el correo.
- Exige una segunda aprobación para pagos fuera de lo habitual.
- Explica estas señales al equipo de finanzas, compras y recursos humanos.
Qué hacer si ya ocurrió
- Llama de inmediato a tu banco para intentar detener o revertir la transferencia. Las primeras horas son las más importantes.
- Si una cuenta de correo fue comprometida, cambia su contraseña, activa la verificación en dos pasos y revisa si tiene reglas de reenvío que no creaste.
- Guarda los correos originales con sus encabezados completos.
- Haz la denuncia ante la PDI (Brigada Investigadora del Cibercrimen) o Carabineros.
- Avisa al proveedor o a la persona suplantada, para que revisen su propia seguridad.
Preguntas frecuentes
¿El fraude BEC es lo mismo que el phishing?
Es un tipo de phishing dirigido. La diferencia es que el BEC busca un pago o datos del negocio, y muchas veces no usa enlaces ni archivos: solo un mensaje convincente.
¿Un antispam detiene el fraude BEC?
Un antispam basado en reglas genéricas normalmente no lo detiene, porque el mensaje no parece spam. Se necesita un filtro que analice el contexto: quién escribe, desde qué dominio y qué está pidiendo.
¿DMARC evita el fraude BEC?
Evita que suplanten exactamente tu dominio, que es un paso importante. No evita los dominios parecidos ni los ataques desde cuentas reales comprometidas de terceros.
Protege todas las cuentas de tu servidor contra el fraude BEC
Clisec detecta phishing dirigido, suplantación y fraude BEC en el correo entrante de todo tu servidor cPanel, sin cambiar registros MX.