¿Sabe cuál es el peor tipo de estafa de phishing? El tipo que no puedes ignorar simplemente: como el Fraude del CEO. Correos electrónicos supuestamente del gobierno, diciéndole que haga ese pago pendiente relacionado con los impuestos o que se arriesgue a una acción legal. Correos electrónicos que parecen enviados por su escuela o universidad, pidiéndole que pague esa cuota de matrícula que no ha pagado. O incluso un mensaje de tu jefe o director general, diciéndote que les transfieras algo de dinero "como un favor".
El problema de este tipo de correos electrónicos es que se hacen pasar por una figura de autoridad, ya sea el gobierno, la junta directiva de tu universidad o tu jefe en el trabajo. Se trata de personas importantes, e ignorar sus mensajes tendrá casi seguro graves consecuencias. Así que te ves obligado a mirarlos, y si parecen lo suficientemente convincentes, puede que te los creas.
Pero echemos un vistazo al fraude de los directores generales. ¿Qué es exactamente? ¿Puede ocurrirle a usted? Y si puede, ¿qué debe hacer para evitarlo?
Usted no es inmune al fraude de los directores generales
Una estafa de 2.300 millones de dólares al año es lo que es. Quizá se pregunte: "¿Qué puede hacer que las empresas pierdan tanto dinero por una simple estafa por correo electrónico?". Pero se sorprendería de lo convincentes que pueden ser los correos electrónicos de fraude de los directores generales.
En 2016, Mattel estuvo a punto de perder 3 millones de dólares por un ataque de phishing cuando una ejecutiva de finanzas recibió un correo electrónico del director general en el que se le pedía que enviara un pago a uno de sus proveedores en China. Pero solo después de comprobarlo con el director general se dio cuenta de que nunca había enviado el correo electrónico. Afortunadamente, la empresa colaboró con las fuerzas de seguridad de China y Estados Unidos para recuperar su dinero unos días después, pero eso casi nunca ocurre con estos ataques.
La gente tiende a creer que estas estafas no les van a pasar... hasta que les pasan a ellos. Y ese es su mayor error: no prepararse para el fraude del CEO.
Las estafas de phishing no sólo pueden costar a su organización millones de dólares, sino que pueden tener un impacto duradero en la reputación y la credibilidad de su marca. Corre el riesgo de ser visto como la empresa que perdió dinero por una estafa de correo electrónico y de perder la confianza de sus clientes cuya información personal sensible almacena.
En lugar de luchar para controlar los daños después del hecho, tiene mucho más sentido asegurar sus canales de correo electrónico contra las estafas de phishing selectivo como ésta. Estas son algunas de las mejores maneras de asegurar que su organización no se convierta en una estadística en el informe del FBI sobre BEC.
Cómo prevenir el fraude de los directores generales: 6 sencillos pasos
- Eduque a su personal en materia de seguridad
Este punto es absolutamente crítico. Los miembros de su plantilla -y especialmente los de finanzas- deben entender cómo funciona el compromiso del correo electrónico empresarial. Y no nos referimos a una aburrida presentación de dos horas sobre cómo no anotar la contraseña en una nota adhesiva. Tiene que formarles para que sepan cómo buscar señales sospechosas de que un correo electrónico es falso, buscar direcciones de correo electrónico falsas y solicitudes anormales que otros miembros del personal parecen estar haciendo a través del correo electrónico. - Estéatento a los signos reveladores de la suplantación de identidad
Los estafadores por correo electrónico utilizan todo tipo de tácticas para que acceda a sus peticiones. Pueden ser desde solicitudes/instrucciones urgentes para transferir dinero como forma de conseguir que actúe rápidamente y sin pensar, o incluso pedirle acceso a información confidencial para un "proyecto secreto" que los altos cargos no están dispuestos a compartir con usted todavía. Se trata de señales de alarma muy serias, por lo que debes comprobarlo dos y tres veces antes de emprender cualquier acción. - Protéjase con DMARC
La forma más fácil de evitar una estafa de phishing es no recibir nunca el correo electrónico en primer lugar. DMARC es un protocolo de autenticación de correo electrónico que verifica los correos electrónicos procedentes de su dominio antes de entregarlos. Cuando se aplica DMARC en su dominio, cualquier atacante que se haga pasar por alguien de su propia organización será detectado como un remitente no autorizado, y su correo electrónico será bloqueado de su bandeja de entrada. No tendrá que lidiar con correos electrónicos falsos en absoluto. - Obtenga una aprobación explícita para las transferencias bancarias
Ésta es una de las formas más fáciles y sencillas de evitar las transferencias de dinero a las personas equivocadas. Antes de comprometerse con cualquier transacción, obligue a solicitar la aprobación explícita de la persona que solicita el dinero utilizando otro canal que no sea el correo electrónico. En el caso de las transferencias de mayor cuantía, obligue a recibir una confirmación verbal. - Marcarlos correos electrónicos con extensiones similares
El FBI recomienda que su organización cree reglas del sistema que marquen automáticamente los correos electrónicos que utilicen extensiones demasiado similares a las suyas. Por ejemplo, si su empresa utiliza "123-business.com", el sistema podría detectar y marcar los correos electrónicos que utilicen extensiones como "123_business.com". - Comprarnombres de dominio similares
Los atacantes suelen utilizar nombres de dominio de aspecto similar para enviar correos electrónicos de phishing. Por ejemplo, si su organización tiene una "i" minúscula en su nombre, podrían utilizar una "I" mayúscula, o sustituir la letra "E" por el número "3". Esto le ayudará a reducir las posibilidades de que alguien utilice un nombre de dominio muy similar para enviarle correos electrónicos.
