A continuación, les presentaremos una breve historia real que relata la experiencia y método clásico del Fraude al CEO.
El correo electrónico apareció como uno más, proveniente del CEO de la empresa destinado al Director Financiero
Oye, el trato está hecho. Por favor transfiera USD 8 millones a esta cuenta para finalizar la adquisición lo antes posible. Hay que hacerlo antes de que termine el día. Gracias.
El empleado no pensó que hubiera algo fuera de lo común con el mensaje y envió los fondos, cumpliendo una tarea más de su lista de pendientes antes de irse a casa.
Pero las alarmas comenzaron a sonar cuando la compañía que estaba siendo adquirida llamó para preguntar por qué no habían recibido el dinero.
Comenzaron a investigar. Definitivamente se habían transferido USD 8 millones, pero ¿a quién?
Nunca lo sabremos.
Parte del dinero pudo ser recuperado por los bancos, pero la mayoría fue robada por ciberdelincuentes que quizás liquidaron sus ganancias usando una elaborada red de lavado de dinero, o simplemente siguieron adelante para atacar a su próxima víctima.
Mientras tanto, el director de finanzas se quedó sintiendo terrible y la compañía tratando de entender lo que había ocurrido.
Después de todo, el email aparentemente había llegado de la dirección del jefe y su cuenta no había sido hackeada.
Entonces los expertos en ciberseguridad se encargaron de dar las malas noticias a la empresa: no se puede confiar en los emails.
Este es un ejemplo de la vida real de un ciberataque conocido como fraude del CEO o email corporativo comprometido o BEC, las siglas en inglés de Business Email Compromise.
Los ataques son relativamente poco sofisticados y dependen más de la ingeniería social y del engaño que del hackeo tradicional.
Los cibercriminales simplemente imitan la dirección del correo electrónico de un ejecutivo de una empresa (spear phishing) y envían un pedido convincente a un empleado incauto. Queres saber si tu empresa está preparada para evitar este tipo de engaños haz clic aquí
El mensaje parece como si proviniera del jefe, pero fue enviado por un impostor.
A menudo hay una cierta urgencia en el mensaje y el empleado simplemente hace lo que le dicen, quizás enviando grandes sumas de dinero a criminales por error.
Estas estafas están en aumento y según el FBI en EEUU, han resultado en pérdidas globales de al menos USD 26 mil millones desde 2016.
En septiembre del año 2021, fueron arrestados 281 supuestos hackers en 10 países diferentes como parte de una operación masiva contra redes cibercriminales globales vinculadas a las estafas.
Un ejecutivo de estrategia de ciberseguridad de Proofpoint, una empresa de seguridad cibernética basada en California EEUU, indica: «El email corporativo comprometido es el problema más costoso en toda la ciberseguridad. No hay ninguna otra forma de cibercrimen con el mismo grado de alcance en términos de pérdidas monetarias».
Proofpoint fue comisionada para manejar el incidente de fraude del CEO que describimos en este artículo.
El equipo de Proofpoint ha visto cómo han evolucionado las tácticas durante el último año y tienen observaciones y advertencias interesantes para las víctimas potenciales.
Los blancos tradicionales de un ataque BEC son los personajes de nivel ejecutivo de las grandes compañías, como los presidentes ejecutivos o directores de finanzas.
Pero recientemente los criminales se han dirigido a niveles de menor jerarquía.
«La gente más atacada que vemos ahora raramente son VIP (personas muy importantes). Las víctimas tienden a tener emails fácilmente localizables o direcciones compartidas que pueden adivinarse con facilidad».
«Los VIP, como regla, tienden a estar menos expuestos ya que ahora las organizaciones están por lo general haciendo un buen trabajo para proteger las direcciones de correo electrónico de sus VIP».
La tendencia también ha sido notada por la compañía de ciberseguridad Cofense.
En algunos casos, los emails de empleados son imitados y el atacante pide al departamento de recursos humanos que envíe el salario de una víctima hacia una nueva cuenta bancaria.
Otro método que se ve con más regularidad son los emails de estafa que son enviados los lunes en la mañana.
Según Proofpoint, más del 30% de los emails BEC llegan los lunes ya que los hackers tratan de capitalizar los trabajos pendientes del fin de semana.
Lo que esperan es que con este retraso se pueda engañar con más facilidad a los empleados con emails falsos y otros trucos de ingeniería social.
«Los atacantes saben cómo funcionan las personas y las oficinas. Dependen de que la gente cometa errores y tienen mucha experiencia con lo que funciona. No se trata de una vulnerabilidad técnica, se trata de un error humano»
Comenta el ejecutivo de Proofpoint
Las conversaciones de correo electrónico falsas son parte de otra técnica que ha evolucionado.
Los atacantes comienzan la línea del asunto de sus emails con «Re:» o «Fwd:», para que su mensaje parezca parte de una conversación previa.
En algunos casos, incluso incluyen un historial falso del email para establecer su aparente legitimidad.
Según investigadores, los intentos fraudulentos que usan esta técnica se han incrementado en más de 50% año tras año.
Proofpoint nos asegura que todas estas tendencias siguen un patrón predecible basado en nuestra propia conducta.
«Una de las razones por las que este problema es particularmente difícil de erradicar es que éste depende del riesgo sistemático de que todos nosotros confiamos en los emails como medio de comunicación»
Desafortunadamente para las empresas y los empleados, es poco probable que los BEC desaparezcan.
Las estafas con emails son técnicamente muy simples, y los servicios en internet que se usan gratuitamente ofrecen pocas barreras para entrar.
Pero hay muchas cosas que las compañías y los empleados pueden hacer, como ser cautelosos y estar conscientes de los ataques.
Las compañías pueden insistir en la llamada verificación de dos factores antes de enviar un pago.
Todo esto, por supuesto, depende de que la gente dé un paso atrás frente a lo que a menudo se pide en los lugares de trabajo: velocidad y eficiencia.