¿Qué es el fraude de CEO o BEC para robar transferencias de los usuarios bancarios?
Fraude de CEO o BEC: Una Amenaza Silenciosa para las Empresas
El fraude de CEO, o fraude de BEC (Business Email Compromise), es una estafa en la que los delincuentes cibernéticos se hacen pasar por directivos de empresa o proveedores legítimos para engañar a los empleados de una empresa o a los particulares y conseguir que realicen transferencias de dinero a cuentas controladas por los estafadores. Este tipo de fraude se ha convertido en una de las mayores amenazas para las empresas de todos los tamaños a nivel mundial.
¿Cómo funciona el fraude de CEO o BEC?
El fraude de CEO generalmente comienza con la captura de información sobre la empresa o el particular objetivo. Los delincuentes investigan a fondo la estructura organizativa, los ejecutivos clave y las relaciones comerciales de la empresa o el particular. Utilizan técnicas de phishing, malware o ingeniería social, para lograr comprometer cuentas de correo electrónico o clonar direcciones para hacer que los correos falsificados parezcan legítimos.
Una vez que los delincuentes consiguen acceso a nuestros sistema de correo pueden imitar correos electrónicos de confianza, envíar instrucciones urgentes a empleados de finanzas o contabilidad, solicitar transferencias de fondos a cuentas bancarias específicas o modificar factruas de proveedores legítimos para cambiar dentro de ellas sólo la cuenta corriente a que se debe hacer la transferencia de fondos. También pueden hacerlo sobre los documentos de certificación de cuenta que usualmente se le piden a los proveedores antes de pagarles.
La urgencia y la aparente legitimidad de estas solicitudes hacen que los empleados cumplan con las órdenes sin cuestionarlas.
Un caso real: La Estafa de Ubiquiti Networks
Un ejemplo notable de fraude de BEC ocurrió en 2015, cuando la empresa estadounidense de tecnología Ubiquiti Networks fue víctima de una estafa de este tipo. Los delincuentes se hicieron pasar por directivos de la empresa y enviaron correos electrónicos a empleados del departamento de finanzas, solicitando transferencias a cuentas extranjeras.
Mediante esta técnica, los estafadores lograron desviar aproximadamente 46,7 millones de dólares. La compañía no se percató del fraude hasta semanas después, cuando descubrieron las transferencias no autorizadas. A pesar de los esfuerzos de recuperación, solo una parte del dinero fue recuperada. Este incidente subrayó la importancia de implementar medidas de seguridad más estrictas y sensibilizar a los empleados sobre este tipo de fraudes.
Otro caso más cercano le ocurrió a un cliente nuestro, que transfirió 150.000€ a unos ciberdelincuentes que habían cambiado en la factura de un proveedor la cuenta corriente de éste. Habían interceptado la factura y sobre ella modificado la cuenta. El cliente no sospechó nada hasta que fue demasiado tarde y perdió 150.000 euros.
Medidas de prevención
Para protegerse contra el fraude de CEO, las empresas deben adoptar una serie de medidas de seguridad:
- Verificación multifactorial: Implementar autenticación de dos factores (2FA) para acceder a cuentas de correo electrónico y sistemas internos.
- Políticas de verificación: Establecer protocolos para verificar solicitudes de transferencias de fondos a través de múltiples canales, como llamadas telefónicas directas a números previamente registrados.
- Formación y sensibilización: Capacitar a los empleados para identificar correos electrónicos sospechosos y la importancia de seguir los protocolos de seguridad.
- Monitoreo continuo: Utilizar soluciones de ciberseguridad que monitoricen y detecten actividades sospechosas en tiempo real.
El fraude de CEO o BEC es una amenaza creciente que puede tener consecuencias devastadoras para cualquier empresa o particular. La sofisticación de los ataques y la facilidad con la que los estafadores pueden hacerse pasar por personas de confianza subrayan la necesidad de adoptar medidas de seguridad robustas y mantener una cultura empresarial vigilante. La historia de Ubiquiti Networks es un recordatorio claro de que nadie está exento de estos riesgos, y la prevención es clave para evitar pérdidas financieras significativas.
