Secuestro de hilos de correo en 2026: Detenga estafas BEC que parecen internas

En mis tiempos, las estafas llegaban por fax, o aparecía un tipo con corbata intentando venderle un “contrato de mantenimiento” para su impresora de matriz de puntos. En 2026, la estafa aparece como una respuesta perfectamente normal dentro de una conversación de correo perfectamente real. Eso es secuestro de hilos de correo, y veo las consecuencias con demasiada frecuencia: “Cambiamos la información bancaria del proveedor como decía el correo” y luego el dinero desaparece como un calcetín en una lavandería.

Esto es una variante de business email compromise (BEC) que funciona porque parece interna. No es un correo raro de la nada. No es un príncipe con una maleta de oro. Es su hilo en curso con su tenedor de libros, su proveedor, su project manager, su HOA, su contratista, su CPA. Mismo asunto. Mismo historial. Mismo tono. A veces incluso la misma firma. Y por eso es peligroso.

Si usted dirige un negocio en el condado de Palm Beach (West Palm, Palm Beach Gardens, Lake Worth, Boynton, Wellington, Jupiter, Boca y todos los lugares donde la gente todavía cree que “wire transfer” suena elegante), esta es su lista de verificación práctica. Sin exageraciones. Sin “sinergia impulsada por IA”. Solo controles aburridos pero efectivos.

¿Qué es el secuestro de hilos de correo (y por qué supera su filtro de spam)?

El secuestro de hilos de correo normalmente comienza con una sesión de buzón robada. El atacante entra al correo de alguien (a menudo por reutilización de contraseñas, malos hábitos con MFA o un phishing exitoso). Luego se queda en silencio, leyendo como un vecino entrometido. Cuando el momento es el adecuado, responde dentro de una conversación existente para impulsar un cambio de pago o una solicitud urgente.

Cómo se ve en el mundo real

• Fraude de facturas: “Aquí está la factura actualizada. Por favor envíe ACH a la nueva cuenta.”
• Estafa de cambio de pago a proveedor: “Cambiamos de banco. Actualice nuestra información de routing/cuenta en adelante.”
• Disparates de gift cards: “Necesito que compres gift cards para un cliente ASAP. Estoy en una reunión.” (Si su CEO siempre está en una reunión, quizá ese sea el verdadero problema.)

El atacante puede usar el buzón real comprometido para responder, o puede hacer spoofing del dominio e imitar el nombre para mostrar. De cualquier forma, el correo cae dentro del hilo en el que usted confía. Su cerebro ve “continuación”, no “ataque”.

Señales de alerta de Business Email Compromise (BEC): lo sutil que la gente pasa por alto

Mire, no voy a endulzarlo: la mayoría de las pérdidas por BEC ocurren porque alguien no se detuvo 30 segundos. Estas son las señales que veo tres veces por semana.

Señales de alerta dentro del mensaje

• Urgencia de pago: “Solo hoy”, “antes del cutoff”, “ASAP”, “confidencial”.
• Cambio de proceso a mitad de camino: nuevo banco, nuevo correo, nuevo portal, nuevo “contacto de contabilidad”.
• Redacción extraña: tono ligeramente fuera, faltan bromas internas, demasiado formal o puntuación rara (como alguien intentando sonar humano).
• Presión con adjuntos o enlaces: “Abra este PDF” que en realidad es una trampa para credenciales.

Señales de alerta en la identidad del remitente

• Suplantación del nombre para mostrar: Dice “Mary Smith” pero la dirección no es la dirección real de Mary.
• Spoofing de dominio: vendorname.com se convierte en vend0rname.com o vendorname.co.
• Incongruencia en Reply-To: From parece normal, Reply-To apunta a otro lugar.

Esto es lo que NO debe hacer: no confíe en “está en el mismo hilo, así que debe estar bien”. Los hilos de correo no son a prueba de manipulación. Son más como una cinta de VCR. Cualquiera puede grabar encima de lo bueno si usted la deja en la máquina.

Lista de verificación contra el secuestro de hilos: protección BEC que realmente funciona

No necesita lo más nuevo. Necesita lo que funciona. Esta es la lista de “controles aburridos” que previene la mayoría del fraude de facturas y el redireccionamiento de pagos.

1) Refuerce la seguridad de Microsoft 365 (y deje de confiar en la suerte)

Si usted usa Microsoft 365, trátelo como su sistema contable, no como una bandeja de correo gratis que venía con internet.

• Exija MFA para todos (sí, para todos). Si necesita un repaso, lea Soporte de Microsoft: qué es la autenticación multifactor (MFA).
• Use Conditional Access donde tenga sentido: bloquee inicios de sesión desde países con los que no hace negocios, exija dispositivos compatibles para cuentas admin y restrinja el acceso a buzones de finanzas. (Sí, es una molestia. También lo es perder $48,000.)
• Deshabilite la autenticación heredada si todavía está por ahí. A los atacantes les encantan las puertas viejas que nunca se cerraron con llave.
• Separe las cuentas admin de las cuentas de correo de uso diario. Un admin no debería estar buscando cupones y abriendo adjuntos.

2) Refuerce la seguridad de Google Workspace (misma idea, botones distintos)

• Haga cumplir la verificación en 2 pasos para todos los usuarios, y especialmente para finanzas y ejecutivos.
• Revise el acceso de apps de terceros y elimine cualquier cosa sospechosa o sin uso.
• Verifique la configuración de reenvío y enrutamiento para que el correo no se copie silenciosamente a una dirección controlada por un atacante.

3) Audite reglas del buzón y reenvíos (porque a los atacantes les encanta la automatización)

Esta es la parte que todos olvidan. El atacante entra y luego crea reglas de bandeja de entrada como:

• Reenviar automáticamente cualquier correo que contenga “invoice”, “wire”, “ACH”, “payment” a una dirección externa
• Mover automáticamente correos de proveedores a RSS o Archivo para que nadie lo note
• Eliminar automáticamente mensajes de “security alert”

Haga una auditoría de reglas del buzón para ejecutivos, contabilidad y cualquier persona que apruebe pagos. Si encuentra reenvíos que usted no configuró, asuma compromiso hasta que se demuestre lo contrario.

4) Active DMARC, SPF y DKIM (para que el spoofing sea más difícil)

No son escudos mágicos, pero importan. SPF ayuda a indicar qué servidores pueden enviar por su dominio. DKIM firma el correo para que sea más difícil manipularlo. DMARC le dice a los sistemas receptores qué hacer cuando SPF/DKIM fallan (monitor, quarantine, reject).

Dos verdades contundentes:

• DMARC no detiene a un atacante que ya está dentro de un buzón real. Por eso todavía necesita MFA y controles de inicio de sesión.
• DMARC ayuda mucho con el spoofing de dominio y algunos intentos de suplantación. Vale la pena hacerlo correctamente.

5) Capacite al personal sobre la suplantación del nombre para mostrar (porque los humanos leen nombres, no direcciones)

La mayoría de los usuarios miran el nombre para mostrar y siguen adelante. Así es como “Nombre del CEO <random-gmail-address>” termina cobrando. Enseñe al personal a hacer clic en el remitente y verificar la dirección real, especialmente en solicitudes de pago.

Fraude de facturas y estafa de cambio de pago a proveedor: la única política que lo salva

Si después de leer esto solo hace una cosa, haga esta: implemente un proceso de verificación de pagos fuera de banda. Eso significa que usted verifica los cambios de pago usando un método que no sea el hilo de correo que está viendo en ese momento.

Un proceso simple de verificación de pagos (aburrido, efectivo)

1. Ningún cambio de datos bancarios solo por correo. Nunca. Ni para ACH, ni para wire, ni para “nuevas instrucciones de remesa”.
2. Llame a un número de teléfono verificado desde su registro maestro de proveedores, no al número que aparece en el correo.
3. Exija aprobación de dos personas para nuevos beneficiarios o cambios bancarios (contabilidad + propietario/CFO).
4. Haga un pago de prueba pequeño para cuentas nuevas cuando sea posible, y luego confirme la recepción por teléfono.
5. Documente la verificación en su sistema contable o sistema de tickets. Si no está por escrito, no ocurrió.

En mis tiempos, la gente le gritaba al televisor porque el reloj del VCR parpadeaba 12:00. Ahora estamos enviando montos de cinco cifras basados en una respuesta que dice “Sent from my iPhone.” Progreso.

Microsoft 365 y Google Workspace: qué revisar después de sospechar un secuestro

Esto es lo que realmente pasa cuando usted ignora esto: el atacante se queda en el buzón, aprende sus ritmos de pago y vuelve a atacar más adelante. Así que si sospecha secuestro de hilos, no solo borre el mensaje y siga con su día.

Acciones inmediatas (la primera hora)

• Restablezca la contraseña del usuario y revoque sesiones activas (cerrar sesión en todas partes).
• Revise los métodos de MFA por cambios (nuevo teléfono, nueva app, nuevo número).
• Revise reglas de bandeja de entrada, reenvío y acceso delegado.
• Busque correos similares enviados a otros empleados o proveedores.
• Avise a contabilidad y pause pagos vinculados a ese hilo hasta verificar.

Acciones de seguimiento (lo que la gente se salta y luego lamenta)

• Revise los registros de inicio de sesión por IPs inusuales, ubicaciones, viajes imposibles y fallos repetidos.
• Revise consentimientos de apps OAuth (a veces los atacantes agregan apps “útiles” que mantienen el acceso incluso después de cambiar la contraseña).
• Endurezca las cuentas de finanzas con reglas de acceso más estrictas que las del personal general.

Si necesita ayuda para hacer esto sin que se le caiga el día, para eso existen literalmente nuestros servicios de ciberseguridad administrada para empresas. Preferimos prevenir el desastre antes que limpiarlo después de que su banco diga “lo sentimos”.

Dónde encajan la eliminación de virus y los respaldos (sí, esto sigue relacionado)

La gente escucha BEC y asume que es “solo correo”. A veces lo es. A veces el compromiso inicial vino de malware que roba sesiones o credenciales. En cualquier caso, debe tratar un buzón comprometido como una señal de que la higiene de sus dispositivos podría estar descuidada.

No haga esto

• No siga usando la misma laptop después de “cambiar la contraseña” si está infectada.
• No asuma que OneDrive o Google Drive significa que usted tiene un respaldo real.

Haga esto en su lugar

• Realice una limpieza y verificación adecuadas con eliminación profesional de virus y revisiones de malware, especialmente para el usuario que fue comprometido.
• Configure respaldos aburridos y probados para datos críticos del negocio con respaldos empresariales administrados. Si no tiene respaldo, no tiene datos. Solo los está “prestando”.
• Si ya perdió archivos durante el caos, deje de “probar cosas” y llame para servicios de recuperación de datos antes de convertir un problema pequeño en un disco duro quemado.

Y si quiere lectura continua que no sea publicidad disfrazada, le digo a la gente que revise análisis de amenazas confiables como investigación de amenazas y reportes de estafas de Malwarebytes. No porque sean perfectos, sino porque están metidos en el barro y reportan lo que realmente está pasando.

Ciberseguridad en el condado de Palm Beach: lo que vemos localmente (y por qué importa)

Los negocios del condado de Palm Beach son un objetivo ideal para estafadores BEC: muchas transacciones inmobiliarias, proveedores de construcción, consultorios médicos, oficinas legales y empresas pequeñas y medianas donde una persona usa diez sombreros. No es un insulto. Es la realidad. Y la realidad es lo que los estafadores se desayunan.

El patrón es consistente: se compromete un buzón y luego el atacante apunta a los pagos. Si usted tiene un proceso claro de verificación y el correo bien asegurado, la estafa se desinfla. Si usted confía en “nos daremos cuenta”, no lo hará. No hasta que el dinero ya no esté.

Resumen rápido: defensa contra el secuestro de hilos en español claro

• Asuma que los hilos de correo pueden ser manipulados. Verifique cambios de pago fuera de banda.
• Haga cumplir MFA y restrinja el acceso con Conditional Access (Microsoft 365) o controles equivalentes (Google Workspace).
• Audite reglas del buzón y reenvíos con regularidad, especialmente para finanzas y ejecutivos.
• Implemente DMARC/SPF/DKIM para reducir spoofing y suplantación.
• Limpie los dispositivos comprometidos y ponga sus respaldos en orden.