Detectados sofisticados intentos de ataques BEC que involucran a CEO

Kaspersky ha detectado sofisticados intentos de ataque dirigidos a engañar al equipo financiero de una organización para que pague facturas fraudulentas. Se enviaron correos electrónicos que imitaban la correspondencia entre el CEO de la organización y empresas contratistas, con el objetivo de convencer al departamento financiero de realizar pagos urgentes por supuestos "servicios de consultoría".

Los ataques son ejemplos de lo que se conoce como “business email compromise” (BEC), o compromiso del correo electrónico empresarial. Por lo general, estos ataques se realizan en nombre de un representante directivo de la empresa comprometida para convencer a las víctimas de que los correos eran legítimos. Es importante destacar que, en todos los casos analizados, los remitentes eran falsos: las direcciones reales desde las que se enviaban los correos no tenían ninguna relación con los nombres de remitente que aparecían visualmente.

Algunos de los incidentes involucraban correos que imitaban la correspondencia entre el CEO de la empresa y un supuesto bufete de abogados contratista, instando al departamento financiero a pagar una factura falsa adjunta. La correspondencia falsa con el CEO de la empresa víctima se utilizaba como “prueba” de que la solicitud de pago era legítima. En este ataque, el nombre de la empresa ficticia aparecía únicamente en el campo del nombre del remitente, mientras que la dirección de correo real era distinta y variaba de un correo a otro.

Otros incidentes mostraban correos similares que imitaban la comunicación entre el CEO y empresas contratistas para solicitar el pago urgente de una factura falsa, aunque en este caso la factura no estaba adjunta.

“Este ataque destaca por su meticulosa atención al detalle y por aprovechar relaciones de confianza. Al fabricar hilos de correo convincentes e imitar a ejecutivos de alto nivel, los atacantes apuestan a que los empleados no cuestionarán solicitudes que parecen auténticas. Las empresas deben priorizar la capacitación de los empleados y contar con sistemas sólidos de verificación de correos electrónicos para hacer frente a estas amenazas en evolución”, comenta Anna Lazaricheva, analista de spam en Kaspersky.

 

Ataques en aumento

Este tipo de fraude no es aislado. En 2024, el Instituto Nacional de Ciberseguridad (INCIBE) gestionó más de 21.500 incidentes relacionados con phishing por correo electrónico en España, muchos de los cuales respondían a campañas de suplantación de identidad como las descritas. Dentro de estas, los ataques de tipo BEC o whaling, en los que los delincuentes se hacen pasar por altos ejecutivos como el CEO, representan una modalidad cada vez más común, especialmente contra departamentos financieros y administrativos de empresas.

El fraude por correo está ya entre las principales ciberamenazas registradas, con más de 38.000 casos de fraude online reportados oficialmente en el último año según INCIBE.