Cada vez son más las empresas que sufren el famoso fraude BEC, del inglés Business E-mail Compromise.

 

Se trata de un tipo de fraude que se genera en empresas que realizan transferencias electrónicas de dinero.

 

Para entenderlo mejor, vamos a poner el ejemplo de la empresa Canarias Business S.L.

 

El ciberdelincuente suplanta a uno de nuestros proveedores, Proveedor S.L. e intercepta los emails de facturación que nos envía, cambiando la cuenta del banco donde realizar los pagos, de manera que hagamos una transferencia a una cuenta controlada por ellos.

 

 

El Ministerio del Interior registró 25.874 delitos en Canarias entre enero y marzo de 2023, frente a los 23.605 de los tres primeros meses de 2022.

 

 

¿Entiendes el funcionamiento del fraude?

 

Imagina que para el último pedido, una vez acordado el precio con el proveedor, hemos quedado en que nos van a enviar la factura por email para realizar la transferencia.

 

Entonces recibimos la factura y realizamos el pago al número de cuenta indicado en el correo recibido.

 

 

Pasados unos días, como no recibimos el pedido nos ponemos en contacto con Proveedor S.L. para reclamarlo.

 

Una persona de Proveedor S.L. nos indica que aún no han recibido el pago, requisito indispensable para realizar el envío.

 

En este momento es cuando todo empieza a encajar.

 

Desde Canary Business S.L. enviamos el justificante de la transferencia.

 

Al comprobar el justificante, la persona responsable de Proveedor S.L. nos advierte que ese no es su número de cuenta bancaria.

 

¿Qué ha sucedido?  Puede ser que nuestra cuenta de mail o la de nuestro proveedor estén comprometidas, es decir, controladas por el ciberdelincuente.

 

 

 

¿Cómo han accedido a nuestro correo electrónico?

 

Han conseguido las credenciales de nuestro correo electrónico, esto puede ser porque:

 

- Han entrado en nuestra cuenta de correo por falta de concienciación:

+ tenemos equipos sin acceso por contraseña;

+ nuestras contraseñas están escritas en papeles accesibles o a la vista;

+ tenemos las contraseñas almacenadas en texto plano en el propio equipo, es decir, en cualquier fichero;

+ utilizamos contraseñas poco robustas;

+ no utilizamos doble factor de autenticación.

 

- Si han obtenido las credenciales de nuestra cuenta de correo:

+ utilizando ingeniería social;

+ hemos introducido las credenciales (usuario y contraseña) al caer en alguna campaña de phishing suplantando a otra empresa, bancos, entidades de referencia, herramienta o servicio (cloud, Microsoft 365, etc.);

+ shoulder surfing: visualizan las credenciales cuando las tecleamos o si hay una cámara espiando.

+ Hemos sido infectados por malware que puede espiar y robar nuestras credenciales. En particular keyloggers que es un malware que registra nuestras pulsaciones en el teclado. Estos también pueden ser de tipo hardware, por ello revisaremos que no hay ningún dispositivo extraño conectado a nuestros ordenadores y servidores.

 

- Lanzan ataques automatizados contra el servidor de correo con contraseñas comunes o contraseñas filtradas por brechas de seguridad:

+ password spraying o ataque de fuerza bruta, probando de manera automatizada y lentamente (para no ser detectados), una a una, contraseñas de uso común (12345678, 11111111, administrador, …) de una lista contra las cuentas del servidor de correo, hasta que consiguen entrar.

+ relleno de credenciales reutilizadas (credential stuffing / credential reuse): los ciberdelincuentes prueban de manera automatizada pares de nombres de usuario y contraseña extraídos de alguna filtración. Se aprovechan de una mala práctica extendida que consiste en la reutilización de credenciales de aplicaciones personales (por ejemplo redes sociales o servicios de streaming) en aplicaciones del entorno corporativo como el correo. De ahí, la importancia de utilizar contraseñas únicas en cada servicio. También se recomienda, por el mismo motivo no utilizar la cuenta corporativa para registrarse en plataformas ajenas a las de la propia empresa.

- Si han entrado en nuestros sistemas:

+ aprovechando vulnerabilidades no parcheadas en el servidor de correo o errores de configuración;

+ o porque tenemos software, sistemas operativos o navegadores desactualizados y son vulnerables.

 

- Han tenido acceso al correo y lo han manipulado, pero no tienen las credenciales:

+ Dejamos las sesiones abiertas cuando no estamos delante del ordenador en un entorno abierto.

+ Utilizamos el correo en equipos de uso compartido o en lugares públicos.

+ Los ciberdelincuentes utilizan malware tipo RAT (Remote Access Trojan) o vulnerabilidades de acceso remoto.

+ La wifi está comprometida o no está bien configurada y enviamos los correos sin cifrar.