Fraude por Correo Electrónico en las Empresas: La Factura Alterada y el Pedido Urgente

3 min de lectura DataRoad

Cuando se habla de seguridad informática, se piensa en cortafuegos y antivirus. Pero la mayor parte del dinero que las empresas portuguesas pierden en fraude no sale por un fallo técnico — sale por una transferencia autorizada por alguien que creyó en lo que estaba leyendo.

Son ataques que no se aprovechan de los fallos del software. Se aprovechan de las prisas, la jerarquía y la confianza. Y por eso ninguna tecnología puede resolverlos por sí sola.

La factura modificada

Es el esquema más rentable y el más difícil de detectar. Funciona así.

Alguien compromete el buzón de correo de un proveedor —o de la propia empresa— y se queda observando en silencio durante semanas. Aprende quién factura a quién, los montos habituales, el tono de los mensajes, los plazos.

Cuando llega una factura real, intercepta y reenvía con el IBAN alterado. Todo lo demás es auténtico: el importe, la referencia, el historial de la conversación, la firma. A menudo va acompañada de una nota informal: “Hemos cambiado de banco; les agradeceríamos que actualizaran nuestros datos”.

El pago es realizado por alguien que hizo su trabajo correctamente. El fraude solo es descubierto semanas después, cuando el proveedor verdadero pregunta por el pago atrasado.

El pedido urgente de la dirección

Un mensaje de alguien de la administración para la contabilidad o para la tesorería. Es urgente, es confidencial, la persona está de viaje y no puede atender el teléfono. Pide una transferencia inmediata.

Los detalles varían, pero la estructura es siempre la misma y ataca tres cosas al mismo tiempo: urgencia, para que no haya tiempo para pensar; autoridad, para desalentar preguntas; y confidencialidad, para impedir la verificación con colegas.

Estos ataques son hoy bastante convincentes: usan el nombre correcto, la firma correcta, y a veces se refieren a asuntos internos reales recopilados de correos electrónicos anteriores.

La defensa es organizacional, no técnica: No se realiza ninguna transferencia que supere un importe determinado sin la confirmación a través de un segundo canal. — y la dirección tiene que decir explícitamente al equipo que nunca se irritará por pedirle confirmación.

Robo de credenciales

La puerta de entrada a las dos estafas anteriores suele ser casi siempre la misma: alguien escribió la contraseña en una página que parecía legítima.

Las páginas falsas de autenticación son hoy copias fieles. Lo que las delata es la dirección — y es precisamente lo que nadie verifica cuando tiene prisa.

Tres medidas reducen drásticamente este riesgo:

• Autenticación en dos pasos para todo el mundo. Es la medida aislada con mejor relación entre esfuerzo y protección. Una contraseña robada deja de ser suficiente.
• Gestor de contraseñas. Además de evitar la reutilización, tiene una ventaja subestimada: no rellena credenciales en sitios web cuya dirección no coincide con la verdadera. Detecta el fraude antes que la persona.
• Alertas de reenvío automático. Crear una regla que reenvía correo hacia afuera es el primer paso de quien compromete una cuenta, y pasa desapercibida durante meses.

Los procedimientos que funcionan

Cuatro reglas sencillas, escritas y conocidas por todo el mundo, que resuelven la inmensa mayoría de los casos:

• Los cambios de IBAN se confirman por teléfono, un número previamente conocido.
• Los pagos por encima de un límite requieren dos personas. Quien pide no es quien aprueba.
• Ninguna orden urgente exime de la verificación. La urgencia es la herramienta del atacante, no un motivo para saltarse pasos.
• Cualquier persona puede detener un pago sin tener que justificar desconfianza. Si la cultura de la empresa castiga a quien pregunta, nadie pregunta.

Y formación corta y regular, con ejemplos reales. No una sesión de dos horas al año que nadie recuerda: quince minutos por trimestre con casos concretos funciona mejor.

Si ya sucedió

La rapidez es todo. En las primeras horas todavía hay posibilidades.

Contacte inmediatamente al banco para solicitar la cancelación o la recuperación de la transferencia; cuanto antes, mayor es la probabilidad. Cambie las contraseñas de las cuentas involucradas y cierre todas las sesiones activas. Verifique si se han creado reglas de reenvío en el buzón de correo. Presente una denuncia ante las autoridades. Y avise al proveedor o cliente del otro lado, porque probablemente sea él quien esté comprometido, y otras empresas estarán recibiendo las mismas facturas.

Después, y solo después, comprenda cómo entraron. Sin eso, se repite.

DataRoad ayuda a las empresas a implementar seguridad informática y autenticación fuerte, dentro de los servicios de TI gestionados.