Los ciberdelincuentes siguen sin dar tregua a las organizaciones. En esta ocasión te hablamos sobre el fraude del CEO también conocido como Business Email Compromise (BEC).
El fraude del CEO es un tipo de ciberataque en el que los ciberdelincuentes a través del correo electrónico se hacen pasar por el director de una empresa con el objetivo de engañar a los empleados de la misma. El “modus operandi” generalmente consiste en enviar un correo electrónico al departamento de finanzas exigiendo de manera urgente el ingreso de una cantidad elevada de dinero en la cuenta corriente del estafador.
Este es uno de los ciberataques más efectivos ya que los trabajadores confían plenamente en el CEO de su empresa y, por lo tanto, suelen ingresar el dinero de manera inmediata sin comprobar previamente la validez del correo electrónico recibido.
Además, este ciberataque puede producirse en cualquier organización ya sea una pyme o una multinacional, de ahí la importancia de conocer cómo se produce y cómo podemos proteger nuestra empresa frente a él. En el siguiente artículo te lo contamos.
¿Cómo se produce el fraude del CEO?
Para que los empleados de una organización caigan en la trampa, el ciberdelincuente suele generar un ambiente de confianza usando la información disponible de la empresa de forma pública en internet, logrando así que cualquier tema que se trate sea verosímil.
El fraude del CEO se puede llevar a cabo de dos maneras diferentes:
1- E-mail spoofing: se trata de una suplantación del nombre, el ciberdelincuente utilizará el mismo nombre que el CEO, sin embargo, su dirección de correo electrónico será diferente pero muy similar a la original.
2- Ataque por compromiso de correo electrónico empresarial: se produce cuando el estafador utiliza el mismo nombre y la misma dirección de correo electrónico que el CEO de la empresa.
Fases del fraude del CEO
El fraude se produce mediante cuatro fases:
–Selección de la víctima: Los ciberdelincuentes recogen información sobre futuros eventos, actos, viajes… de la empresa y así pueden identificar cuándo un alto responsable de la misma no va a estar disponible o con acceso restringido al ordenador o teléfono. Una vez identificada la persona a la que se quiere suplantar, los ciberdelincuentes investigan el sector de la empresa, contactos, colaboradores, noticias de una posible fusión o si el responsable ha asistido a alguna feria etc.
–Manipular al empleado: En esta fase del fraude entra en juego la ingeniería social. Una vez que han recogido toda la información que necesitan y tienen la coartada perfecta, los atacantes llaman o envían un correo electrónico al empleado con permisos para realizar transferencias o acceder a información confidencial.
–La reacción de la víctima: Debido a la autoridad del CEO es muy común que el empleado realice la transferencia de manera inmediata sin verificar la cuenta de correo electrónico, ya que quizá el ciberdelincuente ha aportado datos suficientes para generar confianza. Además, al repetirse en el correo que es algo confidencial, los empleados no suelen compartirlo con otros compañeros por miedo a represalias.
–El impacto en la empresa: Los números de cuenta que utilizan este tipo de estafadores vienen de otros países con políticas económicas distintas a las europeas, esto provoca que la cancelación o rastreo de la transferencia sea imposible provocando grandes pérdidas en la empresa.
Cómo proteger a tu empresa del fraude del CEO
Como hemos visto anteriormente este tipo de fraude requiere de ingeniería social, por ello existen diferentes métodos para evitar ser víctima de este ataque:
-Revisa la dirección del correo electrónico: la mayoría de estos ataques se producen desde direcciones de correo que no son idénticas a la original.
-Comprueba la redacción del texto: estos correos suelen traer errores ortográficos y gramaticales.
-Ten cuidado especialmente con peticiones de transferencias a cuentas extranjeras si este hecho no es habitual para ese tipo de operaciones.
-Verifica los mensajes y las peticiones de operaciones bancarias con varias personas de tu organización para asegurar su veracidad.
-La mayoría de estos correos incluyen las palabras “urgente” o “confidencial” tras ver estás palabras debemos extremar las precauciones.
-Contacta con teléfono con la persona a la que tienes que realizar el pago para confirmar el número de transferencia.
-No publiques información del trabajo en las redes sociales, como el correo corporativo, el departamento para el que trabajas y las funciones que realizas, la ubicación de la oficina, los compañeros de trabajo, etc.
¡La seguridad de una organización es responsabilidad de todos! Por ello, conocer los tipos de ciberataques a los que puede enfrentarse es vital para evitar daños y pérdidas importantes para el negocio. Si necesitas más información sobre este u otro tipo de ciberataques, así como recomendaciones en ciberseguridad, llámanos al 967 50 50 24.