Resulta difícil que un colaborador rechace una orden directa de su jefe, por eso el Business Email Compromise (BEC), o fraude del CEO, es tan efectivo.
Esta modalidad sofisticada de phishing dirigida a negocios, especialmente a aquellos que: trabajan con proveedores extranjeros, realizan pagos por transferencia bancaria con regularidad y utilizan servicios de correo electrónico populares basados en la nube, según detalla el portal Yo Navego Seguro de la Asociación de Bancos Múltiples de la República Dominicana (ABA).
Este tipo de ataque busca ganarse la confianza de un empleado a través de un correo enviado supuestamente por un alto ejecutivo de la empresa para pedir que se revele información confidencial o depósitos de dinero.
Veamos un caso real de Fraude del CEO
Entre 2013 y 2015, Facebook y Google sufrieron un ataque de fraude del CEO a través de una facturación falsa. Los ciberdelincuentes se hicieron pasar por colaboradores de la empresa Quanta Computer, un proveedor de hardware real de ambas corporaciones. Presentaron facturas convincentes y cartas y contratos de abogados falsificados para asegurarse de que, una vez abonados los fondos, el banco aceptaría el capital robado.
Entre las dos compañías hubo una pérdida total de 121 millones de dólares. Este caso está considerado por el FBI como uno de los fraudes cibernéticos más grandes de la historia digital. Sin mencionar que, si a estos dos gigantes tecnológicos les ocurrió esto, su empresa también corre el riesgo.
¡No se deje pescar! Siga estas medidas de seguridad y protéjase del Fraude del CEO
Tal como indica #YoNavegoSeguro estas acciones protegen a usted y su equipo del phishing:
Eduque a sus empleados
Este es el primer paso, pues el usuario suele ser el eslabón más débil. La información tiene poder, así que procure campañas y formaciones que ayuden a sus empleados a actuar ante los ciberdelitos más comunes a fin de evitarlos.
Por ejemplo, la ABA en conjunto con sus bancos múltiples asociados lleva a cabo una campaña denominada No Te Dejes Pescar en la que educan y fomentan hábitos seguros en el uso de internet para así lograr el cambio positivo sobre ciberseguridad y potenciar el comportamiento activo, actuar antes de… y no después de…
Establezca un protocolo para comprobar las solicitudes
Si bien es cierto que existen casos de phishing muy fáciles de detectar, hay otros muy sofisticados que parecen reales. Para reducir las probabilidades del fraude, lo ideal es establecer un protocolo de solicitud y respuesta. Además, sería bueno utilizar un segundo método de verificación (una llamada, por ejemplo).
Confirme las direcciones de los emails
Los atacantes envían correos electrónicos con cambios mínimos en la dirección del remitente. Si un correo legitimo fuese dahiana@ejemplo.com, un ciberdelincuente puede enviar una solicitud falsa a través de la dirección dahianna@ejemplo.com. Con solo agregar una pequeña letra “n” pueden confundir al que recibe el correo, pensando que es legítimo.
Active la autenticación de doble factor
Todas las cuentas deben contar con una autenticación en dos pasos para que, en caso de un intento de registro ajeno a una persona de la compañía, se verifique el acceso mediante un correo legítimo de un colaborador. Así se puede asegurar de que todo aquel que entre en una cuenta esté autorizado.
No descargue nada si no conoce al remitente
Revise con cuidado la información. En caso de no conocer la dirección de correo de la persona que le envía el archivo, dude. En el mejor escenario, quédese con la duda y no lo descargue porque puede ser un malware que una vez en su dispositivo puede manipular y/o filtrar información.
Si lo apresuran, es phishing
Una solicitud dentro de la empresa podría ser requerida con urgencia. Pero si se hace bajo presión, debe tener cuidado sobre qué le piden. Podría ser un intento de phishing. Los atacantes aprovechan la confusión exigiendo rapidez a las víctimas para que no les dé tiempo de mucho tiempo para pensar.
Recuerde: un ciberdelincuente solo puede hacer daño si se le da acceso al entorno digital. De lo contrario, puede ser desviado.
Hoy celebramos junto a Henry Coradin las dos décadas de trabajo, pasión y compromiso con el mundo de las relaciones públicas y los eventos. ¡Conozca su cambio de imagen!
