Los correos electrónicos corporativos son uno de los canales más utilizados por los ciberdelincuentes para ejecutar fraudes digitales, especialmente en empresas donde los procesos de compra, pagos o validación de documentos pasan por múltiples personas. El objetivo es claro: engañar a empleados mediante la suplantación de identidades confiables como gerentes, proveedores o directores de área, y lograr que se transfiera dinero a cuentas controladas por atacantes.
Este tipo de ataques no requiere vulnerar sistemas complejos: solo hace falta una comunicación bien escrita y un poco de ingeniería social. En este artículo, te explicamos cómo identificar estas amenazas y qué hacer para proteger a tu empresa.
Qué son los ataques BEC (Business Email Compromise)
Se trata de fraudes altamente dirigidos en los que el atacante suplanta la identidad de una persona de confianza dentro de una empresa, como un jefe o proveedor. El objetivo suele ser que se apruebe una transferencia bancaria, se comparta información sensible o se realicen pagos a una cuenta fraudulenta.
Estos ataques no siempre requieren que el correo de la persona suplantada haya sido hackeado. Muchas veces se utilizan dominios parecidos o respuestas a hilos anteriores extraídos mediante técnicas previas de espionaje digital.
¿Cómo funcionan estos fraudes por correo?
-
Reconocimiento previo: El atacante investiga a la empresa, identifica nombres y jerarquías mediante sitios web, LinkedIn o correos filtrados.
-
Suplantación de identidad: Usa un dominio similar (por ejemplo, @gerencia-empresa.com en lugar de @gerenciaempresa.com) o manipula la visualización del remitente.
-
Mensaje urgente y directo: Solicita pagos rápidos, cambios de cuenta bancaria o aprobación de facturas que parecen reales.
-
Presión psicológica: El tono suele ser autoritario, apelando a la urgencia o a una supuesta confidencialidad para evitar verificaciones.
Señales de alerta para identificar un intento de fraude
-
El dominio del correo tiene una pequeña variación difícil de notar a primera vista.
-
El mensaje llega fuera del horario habitual de trabajo.
-
La solicitud involucra un pago urgente y fuera del proceso tradicional.
-
Se pide no involucrar a terceros “por confidencialidad”.
-
El lenguaje tiene errores sutiles o un tono diferente al habitual.
-
No hay contexto previo de la operación solicitada.
Cómo proteger tus cuentas y procesos internos
1. Establece protocolos internos de verificación:
Toda solicitud de transferencia bancaria, cambio de proveedor o modificación de cuentas debe confirmarse por un segundo canal (teléfono, reunión interna, etc.).
2. Usa dominios protegidos y monitorea suplantaciones:
Activa alertas de dominios similares al tuyo registrados por terceros. También puedes usar servicios que bloquean intentos de falsificación de correos (SPF, DKIM, DMARC).
3. Capacita al equipo regularmente:
Los usuarios son la primera línea de defensa. Capacítalos en identificar fraudes, revisar correos sospechosos y seguir canales de validación.
4. Revisa accesos a tu bandeja de entrada:
Configura alertas ante inicios de sesión desde ubicaciones inusuales o accesos de terceros. En cuentas con permisos de administrador, refuerza la autenticación con MFA.
5. Implementa una política de doble validación para pagos:
Asegúrate de que cualquier orden de pago sea aprobada por más de una persona, y que los datos bancarios siempre se verifiquen manualmente.
También te puede interesar: Pentesting en 2025: Descubre por qué tu empresa lo necesita
Conclusión: Detectar a tiempo puede evitar pérdidas millonarias
Los ataques por correo institucional no son complejos, pero sí peligrosamente efectivos. Una sola respuesta apresurada puede significar una pérdida económica grave para tu empresa. Lo más importante es contar con protocolos internos sólidos, capacitar a tu equipo y aplicar soluciones técnicas que refuercen tus sistemas.
La prevención comienza con saber que esto le puede pasar a cualquier empresa.
¿Tu equipo sabe identificar un fraude por correo?
En Cut Security, ayudamos a organizaciones a fortalecer sus canales de comunicación digital, detectar vulnerabilidades en tiempo real y crear protocolos internos más robustos frente a suplantaciones y fraudes.
Habla con nuestros expertos y asegura tus comunicaciones desde la raíz.
🔗Conoce todas nuestras marcas
Cut Security forma parte del ecosistema digital de Grupotech.
Descubre nuestras otras marcas especializadas en desarrollo web, automatización y soluciones digitales para empresas chilenas.
