Phishing y BEC: Los Ataques de Ingeniería Social que Más Dinero le Cuestan a las PYMEs

El ataque más caro que probablemente no estás monitoreando

El Business Email Compromise (BEC) no necesita malware. Es ingeniería social pura: un correo bien construido, enviado a la persona correcta, en el momento correcto.

Los tres escenarios más frecuentes

El CEO urgente: Un correo del gerente general llega a contabilidad a las 4pm del viernes: "Necesito que proceses una transferencia urgente y confidencial antes del cierre. No menciones esto a nadie."

El proveedor que cambió de cuenta: El proveedor habitual notifica que cambió sus datos bancarios. El correo se ve idéntico a los anteriores pero el dominio tiene una letra diferente.

El banco con actividad sospechosa: Un correo del banco pide confirmar credenciales. El enlace lleva a una página idéntica a la real.

Por qué el antivirus no lo detecta

El BEC no usa malware. No hay archivo adjunto que escanear. Los filtros de spam tampoco ayudan: muchos atacantes usan cuentas legítimas comprometidas de proveedores reales.

Los controles que sí funcionan

Verificación fuera de banda: cualquier transferencia sobre un umbral definido debe confirmarse por teléfono o en persona, nunca respondiendo el mismo correo.

Proceso de dos firmas: ninguna transferencia significativa debería procesarla una sola persona.

Verificación de cambios bancarios: cualquier notificación de cambio en datos bancarios de un proveedor debe verificarse llamando al número registrado en la empresa, no al que aparece en el correo.

Capacitación específica: la combinación urgencia + confidencialidad + instrucciones inusuales es la señal de alerta del BEC.

El costo de implementar estos controles es mínimo comparado con el costo promedio de un incidente BEC en PYMEs: entre 50,000 y 250,000 dólares por evento.

Cómo reconocer un correo BEC antes de actuar

Los atacantes cuidan el texto, pero casi siempre dejan alguna de estas señales. Ninguna prueba el fraude por sí sola; varias juntas justifican detenerse y verificar:

• Un dominio casi igual. empresa.com se convierte en empresa-co.com o ernpresa.com (una «r» y una «n» juntas imitan una «m»). Mire siempre la dirección completa, no solo el nombre que se muestra.
• Una dirección de respuesta distinta. El mensaje aparenta venir de la gerencia, pero al responder se llena una dirección diferente.
• Urgencia y confidencialidad a la vez. «Hazlo hoy y no se lo cuentes a nadie» es un mecanismo para que no verifiques.
• Un cambio de método de pago. Nueva cuenta bancaria, nuevo beneficiario, nueva moneda, justo antes de un pago importante.
• Un horario o un estilo que no cuadran. Mensajes a deshoras, saludos extraños o instrucciones que la persona nunca daría por correo.
• Una cuenta real comprometida. Es la variante más peligrosa: el correo sí viene del proveedor verdadero, porque su buzón fue vulnerado. Aquí la dirección es legítima, y por eso la verificación por otro canal es la única defensa fiable.

Escenario y verificación obligatoria

Escenario	Qué se debe hacer siempre
Instrucción de pago urgente de la gerencia	Confirmar por llamada al número que ya tiene registrado, no al del correo
Un proveedor cambia sus datos bancarios	Llamar al contacto que ya conocía; esperar a que dos personas aprueben el cambio
El banco pide confirmar credenciales	No usar el enlace: entrar escribiendo la dirección o desde la app oficial
Un cliente pide cambiar el destino de un reembolso	Validar la solicitud por el canal original de la venta
Una factura que llega con datos distintos a los habituales	Cotejar contra la orden de compra antes de pagar

Controles técnicos que reducen la probabilidad

• SPF, DKIM y DMARC bien configurados dificultan que alguien suplante exactamente tu dominio. Está explicado en Configuración segura de correo empresarial.
• Autenticación multifactor en todos los buzones, para que una contraseña robada no sirva por sí sola.
• Alertas ante reglas de reenvío nuevas y ante inicios de sesión desde lugares inusuales. Los atacantes que entran a un buzón suelen crear reglas para leer conversaciones sin ser vistos.
• Etiquetas de «remitente externo» en los mensajes que vienen de fuera, y alertas ante dominios muy parecidos al tuyo.

Si ya hiciste la transferencia

Cada hora cuenta. Si crees que pagaste a un estafador:

1. Llama a tu banco ya y pide que intente recuperar o frenar la transferencia. La probabilidad de recuperar el dinero baja rápidamente con el tiempo, así que este es el primer paso, antes que cualquier otro.
2. Guarda los correos originales con sus encabezados y no borres nada: son la evidencia para el banco, para la investigación y para la aseguradora.
3. Cambia las credenciales y revisa las reglas de reenvío del buzón de quien recibió el correo y del de quien lo envió, por si alguna de las dos cuentas está comprometida.
4. Avisa a tu aseguradora si tienes una póliza cibernética: algunas exigen reportar dentro de un plazo. Lo explica el artículo sobre seguro cibernético.
5. Consulta con tu asesor legal si hay obligaciones de reporte a autoridades o a clientes.

El factor que cambia el juego: la IA

Los correos de BEC ya no tienen faltas de ortografía y copian con exactitud el estilo de quien suplantan. También hay llamadas y notas de voz que imitan a un directivo. Por eso el criterio no puede ser «se ve raro»; tiene que ser un proceso que no dependa de que alguien lo note. Hablamos de eso en Deepfakes y fraude del CEO y en Ingeniería social por teléfono y WhatsApp.

Prepárate antes de que ocurra

Un plan de respuesta a incidentes que defina quién llama al banco y a quién se avisa convierte el pánico en un procedimiento. Si prefieres acompañamiento especializado, nuestro servicio de respuesta a incidentes está para eso.