Prevención del Business Email Compromise: Guía práctica contra el fraude por transferencias para pymes

TL;DR: La prevención del business email compromise no se trata de comprar el “juguete” de seguridad más sofisticado. Se trata de reforzar su dominio de correo (SPF, DKIM, DMARC), blindar los inicios de sesión (MFA resistente al phishing) y establecer un proceso de verificación aburrido y repetible para los pagos a proveedores, de modo que un solo correo sospechoso no pueda redirigir su dinero.

Si usted es una pequeña empresa del condado de Palm Beach, el BEC es costoso porque apunta a su flujo de trabajo real. El estafador no necesita “entrar” como en una película de Hollywood. Solo necesita un buzón débil y un empleado con prisa.

Por qué importa la prevención del business email compromise (y por qué los filtros no lo detectan)

Veo este problema exacto tres veces por semana. No siempre como “nos hackearon”. Más bien: “Pagamos una factura y ahora el proveedor dice que nunca la recibió”. Eso es fraude de facturas y la prevención del fraude por transferencias es la única respuesta sensata.

Antes, las estafas llegaban por correo postal con mala ortografía y una dirección de retorno de “Banco Totalmente Real, Nigeria”. Ahora parecen su dueño, su contable o su proveedor. La misma estafa, mejor disfraz.

Cómo suele verse el BEC en las pymes

• Estafas de suplantación de ejecutivos: “Hola, necesito que esto se pague hoy. Estoy en una reunión.” (Les encantan las reuniones. Las reuniones son su coartada.)
• Redirección de pagos a proveedores: “Cambiamos de banco. Por favor actualice los datos de ACH.”
• Sustitución de adjuntos de facturas: Hilo real del proveedor, PDF falso, nuevo número de ruta.
• Toma de control del buzón: El atacante inicia sesión en un buzón real, observa conversaciones y luego ataca en el momento oportuno.

Por qué las herramientas de seguridad tradicionales a menudo “se encogen de hombros”

El BEC a menudo utiliza:

• Cuentas legítimas (buzones comprometidos), por lo que el correo no es obviamente “spam”.
• Dominios similares (suplantación de dominio) como vend0r.com en lugar de vendor.com.
• Nada de malware, solo ingeniería social y presión para pagar.

Si su “plan de seguridad” es “tenemos un antivirus”, es como decir que previene el robo de autos porque tiene un volante. Ayuda, pero no es suficiente.

Prevención del business email compromise paso 1: Asegure su dominio (SPF, DKIM, DMARC)

Empecemos por lo poco glamoroso que sí funciona. La configuración de DMARC SPF DKIM es la forma de decirle al mundo qué servidores están autorizados a enviar correo como su dominio y cómo deben tratar los receptores a los impostores.

No omita esto porque suene “técnico”. Antes teníamos que configurar jumpers IRQ en tarjetas de sonido y sobrevivimos. Usted puede con unos cuantos registros DNS.

SPF: Quién puede enviar como usted

SPF es un registro DNS que enumera las fuentes de envío aprobadas (como Microsoft 365, Google Workspace, el mailer de su sitio web, su sistema de tickets). Si lo hace mal, rompe el correo. Si no lo hace, los atacantes tienen más facilidad para suplantarlo.

• Haga inventario de cada servicio que envía correo como su dominio.
• Publique un solo registro SPF (no cinco compitiendo entre sí).
• Manténgalo dentro de los límites de búsquedas DNS (sí, hay límites, porque claro que los hay).

DKIM: Demuestre que el mensaje no fue alterado

DKIM firma el correo saliente para que los destinatarios puedan verificar que provino de su dominio y que no fue manipulado. Actívelo en su plataforma principal de correo y en cualquier remitente de terceros compatible.

DMARC: Indique a los receptores qué hacer con los falsos

DMARC vincula SPF y DKIM y le permite publicar una política: monitorear, poner en cuarentena o rechazar. Empiece con monitoreo y luego endurezca.

1. p=none con reportes para ver quién está enviando como usted.
2. Corrija remitentes legítimos que fallen la alineación.
3. Pase a p=quarantine.
4. Luego a p=reject cuando tenga confianza.

Además, lea los reportes. Si no lee los reportes, no implementó DMARC. Solo decoró el DNS.

Detección de suplantación de dominio: la verificación humana simple

Incluso con DMARC, su personal necesita un hábito: pasar el cursor y verificar. Revise la dirección real, no el nombre para mostrar. Un estafador se llamará encantado “Cuentas por pagar” y esperará que nadie mire.

Prevención del fraude por transferencias paso 2: Ponga por escrito una política de solicitud de cambio de pagos

Aquí está lo que no debe hacer: aceptar cambios bancarios por correo electrónico. Nunca. No me importa si el correo es educado, urgente o incluye una carita sonriente. (Sí, los estafadores usan caritas sonrientes ahora. Vivimos tiempos oscuros.)

La regla de verificación de pagos a proveedores (aburrida, pero funciona)

Use verificación fuera de banda para cualquiera de estos casos:

• Alta de un nuevo proveedor
• Cambios en datos de ACH o transferencias
• “Envíelo a una cuenta diferente esta vez”
• Pagos urgentes fuera del calendario normal

Fuera de banda significa: verificar por un canal que el atacante no controla. Ejemplos:

• Llame a un número verificado de su archivo maestro de proveedores (no al número del correo).
• Use un portal de proveedores que ya utilice (e inicie sesión de forma independiente).
• Confirmación en persona para cambios de alto monto (sí, en serio).

Aprobación de dos personas para transferencias y cambios de ACH

Las transferencias no deben ser “una persona, una bandeja de entrada, un clic”. Exija:

• Solicitante y aprobador son personas distintas.
• El aprobador verifica fuera de banda.
• Confirmación documentada (ticket, nota, registro de llamada).

Es la misma idea que no dejar que un solo adolescente sea el único con las llaves del auto y la tarjeta de crédito. Los controles existen porque los humanos son humanos.

Señales de alerta de fraude de facturas que su equipo debe dejar de ignorar

• Nuevos datos bancarios “con vigencia inmediata”
• Gramática extraña de un proveedor normalmente profesional
• La dirección de Reply-to difiere de la dirección From
• Instrucciones de pago movidas del portal a un PDF por correo
• Presión: “El CEO lo aprobó, hágalo ya”

Seguridad de correo para pequeñas empresas paso 3: Detenga reglas de buzón y ataques de reenvío

Si tuviera un dólar por cada vez que un atacante creó una regla de bandeja de entrada furtiva, podría jubilarme y comprar un almacén de monitores CRT beige por nostalgia.

Un movimiento clásico es un ataque de reenvío de correo o una regla del buzón que silenciosamente:

• Reenvía todo el correo a una dirección externa
• Mueve correos de cambio bancario a Archivo o feeds RSS
• Elimina alertas de seguridad

Lista de verificación para auditoría de reglas del buzón

En entornos de Microsoft 365 o Google Workspace, conviene hacer revisiones periódicas. Como mínimo, revise:

• Reglas de bandeja de entrada que reenvían, redirigen o eliminan
• Configuraciones de reenvío a nivel de buzón hacia dominios externos
• Acceso delegado y contraseñas de aplicaciones (si aún están habilitadas)
• Consentimientos de apps OAuth que parecen “útiles” pero no lo son

Si encuentra reglas sin explicación, asuma compromiso hasta que se demuestre lo contrario. No “espere a ver”. Así es como el dinero sale de su cuenta.

Protección BEC paso 4: Use MFA resistente al phishing y acceso condicional

Mire, no voy a endulzarlo: los códigos por SMS son mejor que nada, pero no son el estándar de oro. Para la protección BEC, necesita MFA resistente al phishing donde su plataforma lo permita.

Qué usar (y qué no)

• Mejor: Passkeys (FIDO2) o llaves de seguridad de hardware para administradores y usuarios de finanzas.
• Bueno: App de autenticación con coincidencia de números y políticas sólidas de inicio de sesión.
• Evite cuando sea posible: MFA solo por SMS para roles de alto riesgo.

Acceso condicional: detenga inicios de sesión riesgosos antes de que sean su problema

El acceso condicional (disponible en muchas configuraciones de identidad empresarial) puede bloquear o exigir verificación adicional según señales de riesgo como ubicaciones desconocidas, viajes imposibles o dispositivos no administrados. No necesita “magia de IA”. Necesita reglas que digan: los buzones de finanzas no inician sesión desde países aleatorios a las 3 a. m.

Capacitación de concienciación del usuario que no haga perder el tiempo a todos

Antes, la capacitación era “no haga clic en eso”. Sigue siendo cierto. Pero el BEC moderno requiere hábitos un poco mejores.

Enseñe tres comportamientos y repítalos para siempre

1. Reduzca la velocidad del movimiento de dinero. La urgencia es el combustible de la estafa.
2. Verifique cambios de pago fuera de banda. Siempre.
3. Reporte correos extraños rápido. No después de que la transferencia se procese.

Manténgalo breve, por rol y relevante para contabilidad, personal administrativo y ejecutivos. El “CEO” suele ser el objetivo más fácil porque está ocupado y acostumbrado a que le obedezcan. (Sí, lo dije.)

Para reconocimiento general de phishing, Microsoft tiene un recurso decente en lenguaje claro aquí: Guía de Microsoft Support para reconocer y evitar el phishing.

Respuesta a incidentes por BEC: qué hacer en la primera hora

Esto es lo que realmente pasa cuando se ignora: el atacante cobra, el proveedor se molesta, su banco hace preguntas y de repente todos quieren un “plan de ciberseguridad” para ayer.

Si sospecha BEC o una toma de control del buzón, haga esto en este orden:

Contención (ahora mismo, no después)

• Restablezca la contraseña del usuario y revoque las sesiones activas.
• Deshabilite el reenvío externo y elimine reglas sospechosas de la bandeja de entrada.
• Verifique métodos de MFA agregados recientemente y elimine cualquier cosa que no haya aprobado.
• Revise los registros de inicio de sesión para ubicaciones y dispositivos inusuales.

Control de daños en pagos

• Llame de inmediato al departamento de fraude de su banco con los detalles de la transferencia.
• Contacte al banco receptor si es posible (el tiempo importa).
• Conserve los correos, encabezados y registros de auditoría para la investigación.

Erradicación y recuperación

• Escanee los endpoints afectados y elimine cualquier malware que haya facilitado el compromiso. Si necesita ayuda, empiece con servicios profesionales de eliminación de virus y limpieza de malware.
• Audite todos los buzones relacionados con finanzas para reglas, reenvío y delegados.
• Confirme que SPF/DKIM/DMARC estén correctos y aplicados.
• Rote credenciales de cualquier app vinculada al buzón (herramientas contables, CRMs, remitentes de correo).

Acciones posteriores: corrija el proceso para que no se repita

Actualice su política de solicitud de cambio de pagos, endurezca MFA y documente quién aprueba qué. Además, asegúrese de tener copias de seguridad de los datos críticos del negocio. Si no tiene un backup, no tiene datos. Solo los está “pidiendo prestados”. Empiece aquí: backups empresariales administrados para recuperación ante ransomware y fraude.

Lista práctica para pymes del condado de Palm Beach (imprímala y péguela en la pared)

• Autenticación de correo: SPF correcto, DKIM habilitado, DMARC implementado y avanzando hacia la aplicación estricta.
• Protección BEC: MFA resistente al phishing para dueños, administradores y finanzas; deshabilite autenticación heredada cuando sea posible.
• Acceso condicional: Bloquee inicios de sesión riesgosos y exija dispositivos conformes para roles sensibles.
• Verificación de pagos a proveedores: Confirmación fuera de banda para todos los cambios de datos bancarios, más aprobación de dos personas.
• Auditoría de reglas del buzón: Revisión mensual de reenvío, reglas, delegados y consentimientos sospechosos de apps.
• Respuesta a incidentes por BEC: Pasos por escrito para la primera hora, información de contacto del banco y plan de retención de logs.
• Plan de recuperación: Backups probados y un plan de restauración rápida. Si ocurre lo peor, los servicios profesionales de recuperación de datos pueden ayudar, pero es más lento y más costoso que hacer backups correctamente.

Nota local desde detrás del mostrador de reparación (West Palm Beach y alrededores)

Fix My PC Store tiene su sede en West Palm Beach y trabajamos con empresas en todo el condado de Palm Beach. Eso incluye los sospechosos habituales: West Palm Beach, Palm Beach Gardens, Lake Worth Beach, Boynton Beach, Jupiter, Wellington, Royal Palm Beach y Boca Ratón. Al BEC no le importa en qué código postal esté, pero le encantan las pymes que “piensan ocuparse de la seguridad más adelante”.

Si quiere una lectura más profunda sobre cómo funciona el BEC y por qué sigue ganando, Malwarebytes lo explica con claridad: Resumen de Malwarebytes sobre Business Email Compromise (BEC) y su prevención.

Si usted se toma en serio la prevención del business email compromise, la mejor decisión es una evaluación de seguridad breve y enfocada: verificar la autenticación DNS, revisar la configuración de su tenant, probar MFA y validar su flujo de pagos. Eso es lo que deberían ser los servicios de ciberseguridad para pequeñas empresas. No un informe de 90 páginas que nadie lee.