Los Ataques de Compromiso de Correo Empresarial (BEC) Superan al Ransomware como Principal Amenaza Cibernética

En los últimos años, el panorama de las amenazas cibernéticas ha experimentado un cambio significativo, con los ataques de Compromiso de Correo Empresarial (BEC) ganando prominencia sobre el ransomware. Según el Informe de Amenazas de Phishing 2023 de Cloudflare, las pérdidas financieras relacionadas con BEC vieron un aumento preocupante del 17% entre diciembre de 2021 y 2022. Este aumento subraya la creciente preferencia de los adversarios cibernéticos por BEC como su método de ataque de elección.

La creciente amenaza de BEC

BEC es una forma de phishing que implica que los atacantes se hagan pasar por entidades como el CEO de una empresa, proveedores o clientes para manipular a las víctimas y transferir fondos a cuentas fraudulentas. Si bien BEC ha existido durante años, los avances tecnológicos recientes, incluida la inteligencia artificial (IA), han hecho que estos ataques sean más convincentes y sofisticados.

Un desarrollo preocupante en los ataques de BEC es la aparición de deepfakes de voz, que permiten a los atacantes imitar a figuras de confianza como los CEOs. Los sistemas de IA generativa como ChatGPT se han vuelto fácilmente accesibles, alimentando aún más la evolución de los ataques de BEC.

Los ataques de BEC generalmente implican que los adversarios alteren los detalles de pago o inicien transacciones no autorizadas, engañando a las víctimas para que transfieran dinero a las cuentas de los atacantes. Del Heppenstall, Socio y Jefe de Ciberseguridad en KPMG en el Reino Unido, ha reportado que las empresas han perdido millones de dólares debido a estos ataques.

Un ejemplo citado por Adam Pilton, Consultor Senior de Ciberseguridad en CyberSmart, destaca cómo los ataques de BEC pueden ser engañosamente simples. Una pequeña empresa manufacturera recibió una factura que parecía idéntica a las facturas anteriores pero con detalles de cuenta bancaria alterados. El destinatario transfirió fondos sin saberlo a un criminal que se hacía pasar por el proveedor.

Los ataques de BEC a menudo explotan a las personas en roles financieros, lo que los hace particularmente difíciles de detectar. Joe Stewart, Investigador Principal de Seguridad con la Unidad de Respuesta a Amenazas de eSentire, señala que BEC depende de manipulaciones sutiles de correo electrónico en lugar de campañas de phishing masivas, lo que hace que la detección sea más compleja.

Eficiencia de los ataques de BEC

Lo que distingue a BEC de otras amenazas cibernéticas, como el ransomware, es su eficiencia. Una vez que los adversarios obtienen acceso a los fondos, pueden desviar rápidamente el dinero, a diferencia de los ataques de ransomware que requieren un esfuerzo adicional para extorsionar a las víctimas.

Aunque BEC ha existido durante años, su origen exacto es difícil de rastrear. El FBI comenzó a rastrear estos «compromisos de correo empresarial» en 2013, marcando un aumento significativo en su prevalencia. Los ataques de BEC son difíciles de detectar porque dependen de la suplantación de identidad y la ingeniería social en lugar de malware o URL maliciosas, lo que los hace elusivos para las defensas estándar de ciberseguridad.

El papel de la IA en los ataques de BEC

La IA, particularmente herramientas como ChatGPT, ha reducido las barreras para realizar ataques de BEC sofisticados. Los actores de amenazas, incluso aquellos con un dominio limitado del inglés, pueden aprovechar herramientas similares a ChatGPT para lanzar campañas de phishing complejas. Estas herramientas pueden generar fácilmente deepfakes de voces y rostros, haciendo cada vez más difícil discernir las comunicaciones fraudulentas de las genuinas. Los atacantes también pueden usar IA para recopilar información personal de plataformas como LinkedIn para crear correos electrónicos falsos convincentes que imiten el estilo de escritura de un individuo.

A medida que las capacidades de la IA continúan avanzando, los expertos anticipan su uso en la creación de facturas fraudulentas y la realización de reconocimiento de objetivos potenciales. Además, es probable que la IA automatice y escale los ataques de BEC, haciéndolos aún más potentes.

Las empresas pueden tomar varios pasos para protegerse y mitigar el riesgo de ataques de BEC. Deben examinar los correos electrónicos entrantes en busca de cambios sutiles en las direcciones de correo electrónico y discrepancias en los detalles de pago en las facturas. Monitorear reglas de redirección de correo electrónico sospechosas y resistir las tácticas de presión para un pago inmediato es esencial.

Para reforzar la defensa contra los ataques de BEC, adoptar buenas prácticas de contraseñas, implementar la autenticación de dos factores (2FA) y emplear herramientas de ciberseguridad adecuadas son cruciales. Desarrollar políticas robustas y fomentar una cultura consciente de la seguridad en toda la organización es igualmente importante.

La capacitación de los empleados desempeña un papel significativo en la lucha contra los ataques de BEC. Realizar pruebas de concienciación sobre phishing interno y asegurarse de que las solicitudes de transferencia bancaria sean validadas rigurosamente utilizando puntos de contacto verificados puede mejorar la postura de seguridad de una organización. Revisar regularmente las configuraciones del servidor de correo, la configuración del correo de los empleados y los registros de conexión puede ayudar a detectar y prevenir ataques de BEC.

Además, limitar la exposición de información ejecutiva y de la empresa puede reducir la efectividad de los intentos de suplantación de identidad basados en IA por parte de los cibercriminales. Al minimizar los datos disponibles públicamente, las empresas pueden frustrar los esfuerzos de los atacantes para recopilar información con fines fraudulentos.