El peor tipo de estafa de phishing es el que no se puede ignorar simplemente: como el fraude del CEO. Correos electrónicos supuestamente del gobierno, diciéndole que haga ese pago pendiente relacionado con los impuestos o que se arriesgue a una acción legal. Correos electrónicos que parecen enviados por su escuela o universidad, en los que se le pide que pague esa matrícula que no ha pagado. O incluso un mensaje de tu jefe o director general, diciéndote que les transfieras dinero "como un favor".
¿Qué es el fraude de los directores generales?
El ataque de fraude al director general es una estafa de phishing por correo electrónico en la que los estafadores se hacen pasar por el director general de una empresa en un intento de convencer a los empleados de que les envíen dinero. Los correos electrónicos suelen incluir el nombre real y el título comercial del CEO de la empresa.
El problema de este tipo de correos electrónicos es que se hacen pasar por una figura de autoridad, ya sea el gobierno, la junta directiva de tu universidad o tu jefe en el trabajo. Se trata de personas importantes, e ignorar sus mensajes tendrá casi seguro graves consecuencias. Así que te ves obligado a mirarlos, y si parecen lo suficientemente convincentes, puede que te los creas.
Usted no es inmune al fraude de los directores generales
Una estafa de 2.300 millones de dólares al año es lo que es. Quizá se pregunte: "¿Qué puede hacer que las empresas pierdan tanto dinero por una simple estafa por correo electrónico?". Pero se sorprendería de lo convincentes que pueden ser los correos electrónicos de fraude de los directores generales.
En 2016, Mattel estuvo a punto de perder 3 millones de dólares por un ataque de phishing cuando una ejecutiva de finanzas recibió un correo electrónico del director general en el que se le pedía que enviara un pago a uno de sus proveedores en China. Pero solo después de comprobarlo con el director general se dio cuenta de que nunca había enviado el correo electrónico. Afortunadamente, la empresa colaboró con las fuerzas de seguridad de China y Estados Unidos para recuperar su dinero unos días después, pero eso casi nunca ocurre con estos ataques.
La gente tiende a creer que estas estafas no les van a pasar... hasta que les pasan a ellos. Y ese es su mayor error: no prepararse para el fraude del CEO.
Las estafas de phishing no sólo pueden costar a su organización millones de dólares, sino que pueden tener un impacto duradero en la reputación y la credibilidad de su marca. Corre el riesgo de ser visto como la empresa que perdió dinero por una estafa de correo electrónico y de perder la confianza de sus clientes cuya información personal sensible almacena.
En lugar de luchar para controlar los daños después del hecho, tiene mucho más sentido asegurar sus canales de correo electrónico contra las estafas de phishing selectivo como ésta. Estas son algunas de las mejores maneras de asegurar que su organización no se convierta en una estadística en el informe del FBI sobre BEC.
Cómo prevenir el fraude de los directores generales: 6 sencillos pasos
- Eduque a su personal en materia de seguridad
Este punto es absolutamente crítico. Los miembros de su plantilla, y en especial los de finanzas, deben comprender cómo funciona el compromiso del correo electrónico empresarial. Y no nos referimos sólo a una aburrida presentación de dos horas sobre cómo no escribir la contraseña en un post-it. Tiene que enseñarles a detectar señales sospechosas de que un correo electrónico es falso, a estar atentos a direcciones de correo electrónico falsificadas y a solicitudes anormales que otros miembros del personal parecen estar haciendo a través del correo electrónico. - Estéatento a los signos reveladores de la suplantación de identidad
Los estafadores por correo electrónico utilizan todo tipo de tácticas para que acceda a sus peticiones. Pueden ser desde solicitudes/instrucciones urgentes para transferir dinero como forma de conseguir que actúe rápidamente y sin pensar, o incluso pedirle acceso a información confidencial para un "proyecto secreto" que los altos cargos no están dispuestos a compartir con usted todavía. Se trata de señales de alarma muy serias, por lo que debes comprobarlo dos y tres veces antes de emprender cualquier acción. - Protéjase con DMARC
La forma más fácil de evitar una estafa de phishing es no recibir nunca el correo electrónico en primer lugar. DMARC es un protocolo de autenticación de correo electrónico que verifica los correos electrónicos procedentes de su dominio antes de entregarlos. Cuando se aplica DMARC en su dominio, cualquier atacante que se haga pasar por alguien de su propia organización será detectado como un remitente no autorizado, y su correo electrónico será bloqueado de su bandeja de entrada. No tendrá que lidiar con correos electrónicos falsos en absoluto.
Conozca qué es DMARC.
- Obtenga una aprobación explícita para las transferencias bancarias
Ésta es una de las formas más fáciles y sencillas de evitar las transferencias de dinero a las personas equivocadas. Antes de comprometerse con cualquier transacción, obligue a solicitar la aprobación explícita de la persona que solicita el dinero utilizando otro canal que no sea el correo electrónico. En el caso de las transferencias de mayor cuantía, obligue a recibir una confirmación verbal. - Marcarlos correos electrónicos con extensiones similares
El FBI recomienda que su organización cree reglas del sistema que marquen automáticamente los correos electrónicos que utilicen extensiones demasiado similares a las suyas. Por ejemplo, si su empresa utiliza "123-business.com", el sistema podría detectar y marcar los correos electrónicos que utilicen extensiones como "123_business.com". - Comprarnombres de dominio similares
Los atacantes suelen utilizar nombres de dominio de aspecto similar para enviar correos electrónicos de phishing. Por ejemplo, si su organización tiene una "i" minúscula en su nombre, podrían utilizar una "I" mayúscula, o sustituir la letra "E" por el número "3". Esto le ayudará a reducir las posibilidades de que alguien utilice un nombre de dominio muy similar para enviarle correos electrónicos.
- ¿Cómo autenticar correos electrónicos? - 28 de marzo de 2023
- ¿Cómo funciona el DNS? - 27 de marzo de 2023
- ¿Qué es el malware sin archivos? - 27 de marzo de 2023
