- Enviar un correo electrónico que parece ser de su proveedor con instrucciones de facturación actualizadas para sus pagos. Estas instrucciones proporcionan la información de la cuenta de los estafadores para que reciban los pagos.
- Imitar un correo electrónico de un ejecutivo y comunicarse con un empleado del equipo de finanzas con una solicitud urgente de transferencia de dinero.
- Imitar un correo electrónico de un ejecutivo pidiéndole a un empleado que compre y envíe tarjetas de regalo, que el estafador puede retirar o revender rápidamente.
BEC tampoco se trata siempre de las transferencias de dinero. Algunos atacantes BEC pueden buscar la información personal de sus empleados o los datos sobre la empresa, que luego pueden vender en la web oscura o usar como base para un ataque diferente en el futuro.
A diferencia de los correos electrónicos fraudulentos que se envían a miles de personas a la vez, los delincuentes que ejecutan esquemas BEC a menudo realizan ataques bien investigados y coordinados.
Por ejemplo, el estafador puede pasar días aprendiendo sobre usted y monitoreando la actividad de su cuenta de redes sociales. Incluso pueden esperar hasta que esté en una conferencia antes de entrar en acción, y pueden usar el viaje como base para una solicitud urgente. Es posible que se hagan pasar por usted y envíen un correo electrónico con una solicitud urgente de transferencia bancaria: acaba de firmar un acuerdo y necesita el dinero de inmediato. Si su equipo responde, es posible que pierda decenas de miles de dólares.
Y así como las empresas exitosas a menudo tienen que pivotar para abordar las circunstancias cambiantes, los estafadores también se apresuran a probar nuevos métodos. Por ejemplo, los esquemas
BEC que involucran plataformas de reuniones virtuales están en aumento. Los estafadores envían una solicitud de reunión como CEO o CFO de una empresa, usan audio falso para replicar la voz del ejecutivo y luego solicitan una transferencia de fondos durante la reunión o en un correo electrónico de seguimiento.
Para proteger su pequeña empresa de los esquemas BEC, puede seguir estos pasos:
1. Establecer una póliza de Transferencia Electrónica de Fondos (EFT)
Esta política requiere que todos los empleados confirmen que cualquier correo electrónico que solicite transacciones como un depósito directo o una transferencia eléctrica de fondos es legítimo. Sus empleados pueden verificar si estas solicitudes son auténticas llamando directamente al remitente, ya sea su otro empleado, vendedor o proveedor.
También es importante que sus empleados no se comuniquen con el beneficiario con ninguna dirección de correo electrónico o número de teléfono que esté incluido en la solicitud de transferencia electrónica de fondos. Esta información de contacto puede ser fácilmente falsa y parte de la estafa. Los empleados siempre deben confiar en la información de contacto que proviene de su pequeña empresa.
Además de esto, asegúrese de que sus empleados puedan reconocer las señales de alerta en los correos electrónicos fraudulentos, como:
- Direcciones de respuesta similares o diferentes. Los estafadores pueden enviar un correo electronico desde una dirección que se parece mucho a la correo electronico de su empresa, como ceo@c0mpany.com en lugar de ceo@company.com. O bien, pueden hacer que la dirección del remitente se vea exactamente como la de su empresa, pero la dirección de respuesta es la cuenta de correo electrónico del estafador.
- Mensajes cortos que crean una sensación de urgencia. Un empleado de nivel bajo o medio puede querer responder de manera rápida e incuestionable a las solicitudes urgentes de un ejecutivo. Pero asegúrese de que todos sepan que está bien hacer preguntas cuando haya una solicitud de dinero o información personal.
- Una necesidad de secreto. Los estafadores también podrían usar un falso pretexto para evitar que los destinatarios pidan consejo a otros. Por ejemplo, el estafador puede pedirle a su asistente que compre 15 tarjetas de regalo y no se lo diga a nadie porque serán regalos sorpresa de agradecimiento para el equipo.
- Momento inusual. El ataque podría comenzar fuera del horario laboral o un día festivo, lo que juega con la idea de que es una solicitud urgente y podría evitar que el destinatario verifique los detalles con otros.
- Solicitudes de cambio de información de cuenta. Un cambio en las instrucciones de pago, los formularios de depósito directo u otra información de la cuenta podría ser legítimo, pero también es una señal de alerta. Intenta verificar la solicitud por teléfono con un número que no aparezca en el correo electrónico.
2. Verifique el dominio real del remitente en los correos electrónicos
Muchas estafas BEC son difíciles de detectar porque se basan en una mezcla de conocimientos tecnológicos e ingeniería social: la manipulación psicológica de alguien.
Por ejemplo, un empleado puede recibir un correo electrónico que parece haber sido enviado por su proveedor con un enlace para descargar y pagar una factura. Sin embargo, este enlace puede abrir una página web maliciosa o contenido dañino. En situaciones como esta, los empleados deben verificar que el remitente sea legítimo.
Para verificar un correo electrónico, es importante verificar la dirección de correo electrónico del remitente. Muchos estafadores usan nombres que parecen ser de alguien de la empresa. Sus empleados también pueden pasar el cursor sobre la dirección de correo electrónico y mirar el dominio del que proviene el correo electrónico para asegurarse de que proviene de una fuente confiable. También pueden pasar el cursor sobre cualquier enlace incrustado dentro del correo electrónico para ver la URL. Si no coincide con lo que se muestra en el correo electrónico o con la persona o empresa que envía el correo electrónico, es probable que se trate de phishing.
3. Proteja su dominio de correo electrónico y autentique los correos electrónicos
Tres protocolos de seguridad de correo electrónico que pueden ayudar a prevenir ataques de phishing al proporcionar pruebas de que un correo electrónico es legítimo incluyen:
- Marco de Políticas de Remitentes (SPF), que restringe quién puede usar el dominio de correo electrónico de una organización.
- DomainKeys Identified Mail (DKIM) y autenticación de mensajes basada en dominio, que garantiza que el contenido de un correo electrónico no se haya alterado.
- Reporting and Conformance (DMARC), que une a SPF y DKIM. Proporciona instrucciones sobre qué hacer con un correo electrónico no autenticado (sin acción, cuarentena o rechazo).
Se recomienda combinar los tres protocolos para obtener los mejores resultados.
4. Utilice la autenticación multifactor para evitar ataques de phishing
Si un ataque de phishing tiene éxito en el robo de información de acceso del usuario, la autenticación multifactor puede ayudar a evitar que el atacante obtenga acceso a sus sistemas informáticos. Con la autenticación multifactor, necesitará más información o detalles además de las credenciales de inicio de sesión. Por ejemplo, puede requerir un PIN o la aprobación de otro dispositivo para autorizar el inicio de sesión.
5. Cree un programa de capacitación y concientización sobre phishing
La capacitación es la mejor manera de prevenir un ataque BEC en su pequeña empresa. Su programa de capacitación debe incluir:
- Educación sobre la definición de ataques de phishing con ejemplos.
- Pruebas periódicas de los conocimientos de los empleados.
- Recursos e información sobre lo que deben hacer los empleados si creen que han caído en un intento de phishing.
También es posible que desee tener capacitaciones adicionales para ejecutivos y equipos financieros, ya que a menudo son objetivos de ataques BEC.
También hay diferentes herramientas de entrenamiento que puede utilizar. Por ejemplo, muchos estafadores inician un ataque tratando de engañar a alguien para que instale malware que pueden usar para hacerse cargo o monitorear una cuenta de correo electrónico. Algunos proveedores de software ofrecen herramientas gratuitas de simulación de phishing que puede usar como parte de su capacitación continua. Pruebe a sus empleados (y a usted mismo) para ver qué tan bien lo hace cada uno, y luego aprenda más sobre las señales de alerta que la gente pasó por alto.
