Esta táctica, conocida como Business Email Compromise, anualmente genera pérdidas multi-millonarias para las empresas

Los ataques de Business Email Compromise (BEC) son un tipo de fraude que apunta al correo corporativo fingiendo provenir de un representante de una empresa de confianza. Según Verizon, fue el segundo entre los tipos más comunes de ataques de ingeniería social en 2021, y el FBI informó que los ataques BEC costaron a empresas estadounidenses más de US$2,000 millones entre 2014 y 2019.

Los expertos de Kaspersky observan cada vez más ataques de tipo BEC. En el cuarto trimestre de 2021, los productos de Kaspersky evitaron más de 8,000 ataques BEC, con la mayor cantidad (5,037) registrada en octubre.

A lo largo de 2021, los investigadores de la empresa analizaron de cerca la forma en que los estafadores elaboran y difunden correos electrónicos falsos. Como resultado, descubrieron que los ataques tienden a clasificarse en dos categorías: en gran escala y altamente dirigidos.

El primero se conoce como "BEC-as-a-Service", en el cual los ataques simplifican la mecánica detrás del ataque para llegar a la mayor cantidad de víctimas posible. Los atacantes enviaron mensajes simplificados en masa desde cuentas de correo gratuitas, con la esperanza de atrapar al mayor número de víctimas posible. Dichos mensajes a menudo carecen de altos niveles de complejidad, pero son eficientes.

El mensaje anterior es un ejemplo de “la estafa del CEO” a gran escala. En este escenario, un empleado recibe un correo electrónico falso de un colega de mayor rango. El mensaje siempre es poco claro y dice que hay una solicitud que manejar. Se le puede pedir a la víctima que pague urgentemente algún contrato, resuelva algún conflicto financiero o comparta información confidencial con un tercero. Cualquier empleado puede potencialmente convertirse en una víctima. Por supuesto, hay varias banderas rojas notables en dicho mensaje. No se emplea ninguna cuenta corporativa y se nota que el remitente no es un hablante nativo.

Así como algunos delincuentes se valen de envíos masivos de correos simplificados, otros recurren a ataques BEC más avanzados y dirigidos. El proceso funciona de la siguiente manera: los atacantes primero atacan un buzón intermediario y obtienen acceso al correo electrónico de esa cuenta. Entonces, cuando encuentran una correspondencia adecuada en el buzón comprometido de la empresa intermediaria (por ejemplo, asuntos financieros o problemas técnicos relacionados con el trabajo), continúan la correspondencia con la empresa objetivo, haciéndose pasar por la empresa intermediaria. A menudo, el objetivo es persuadir a la víctima para que transfiera dinero o instale malware.

Puesto que el objetivo es, en realidad, hacer que los destinarios participen en la conversación a la que hacen referencia los atacantes, es mucho más probable que se conviertan en víctimas de la estafa. Dichos ataques han demostrado ser sumamente eficaces, razón por la cual no solo los utilizan los delincuentes de poca monta que buscan obtener ganancias rápidas.

“En este momento, observamos que los ataques BEC se han convertido en una de las técnicas de ingeniería social más difundidas. La razón de esto es bastante simple: los estafadores usan estos esquemas porque funcionan. Aunque ahora menos personas tienden a caer en los correos electrónicos falsos simples enviados a gran escala, los estafadores han comenzado a recopilar cuidadosamente datos sobre sus víctimas y luego los usan para generar confianza. Algunos de estos ataques son posibles porque los ciberdelincuentes pueden encontrar fácilmente nombres y puestos de trabajo de los empleados, así como listas de contactos en acceso abierto. Por eso es que pedimos a los usuarios que actúen con cautela en el trabajo”, comenta Roman Dedenok, experto en seguridad de Kaspersky.

“El correo electrónico sigue siendo el principal canal de comunicación para la mayoría de las empresas debido a su uso generalizado. Sin un reemplazo a la vista, este permanecerá así durante varios años. Pero a lo que las prácticas del trabajo a distancia y el almacenamiento en la nube se convierten en la nueva norma, junto con la falta de higiene digital, prevemos que aparecerán nuevos métodos de estafa para aprovecharse de estas brechas en la seguridad empresarial. Con menos control sobre la seguridad en los endpoints, los administradores de TI y seguridad de TI tienden a estresarse, incluso si reciben un mensaje de bloqueo exitoso de EPP. Un buen ejemplo de esto son las amenazas transmitidas por correo electrónico que alcanzan el nivel del endpoint, lo que puede ocurrir cuando se usa un paquete de seguridad para el correo electrónico "suficientemente bueno" de una empresa de telecomunicaciones o un proveedor de correo en la nube. El uso de una solución de seguridad especializada y un stack tecnológico bien probado y respaldado con datos de calidad sobre amenazas, más algoritmos de aprendizaje automático, realmente puede ser la diferencia”, agrega Oleg Gorobets, gerente sénior de marketing de productos en Kaspersky.

Para evitar ser víctima de ataques BEC, los expertos de Kaspersky recomiendan a las empresas:

• Pedir a los empleados que revisen cuidadosamente cada correo electrónico que solicite pagos o cualquier tipo de datos personales o corporativos. Explíqueles que no deben publicar datos corporativos confidenciales en sistemas con acceso abierto (por ejemplo, servicios en la nube). Tampoco deben compartir demasiados detalles sobre su trabajo con un gran número de personas.
• Educar a los empleados en contrarrestar la ingeniería social. Una capacitación práctica, así como la realización de talleres, preparan a los empleados para estar atentos e identificar los ataques BEC que logran atravesar otras capas de defensa.
• Utilizar herramientas de seguridad, como Kaspersky Secure Mail Gateway, con el sólido conjunto de tecnologías antiphishing, antispam y de detección de malware, para proteger los canales de comunicación corporativos. Aunque BEC representa uno de los tipos más sofisticados de compromiso para el correo electrónico, esta herramienta cuenta con un modelo heurístico dedicado para procesar indicadores indirectos y detectar, incluso, los correos electrónicos falsos más convincentes.

Para más información sobre los métodos que los estafadores utilizan para atacar a organizaciones al obtener datos públicos de sus víctimas, visite Securelist.

Origen

Además, un estudio reciente de la empresa señala que el 70% de los usuarios latinoamericanos considera inofensivo compartir información personal en línea

Hoy en día, son muchas las organizaciones y aplicaciones que disponen de nuestros datos personales, lo que aumenta la probabilidad de que esta información termine en manos de personas o terceros que puedan hacer uso indebido de estos. Sin embargo, tal como reveló un reciente informe de Kaspersky en la región, 7 de cada 10 usuarios latinoamericanos considera inofensivo compartir información personal en Internet. Asimismo, destaca que el 64% de argentinos, 70% de brasileros, 64% de chilenos, 70% de colombianos, 68% de mexicanos y el 72% de peruanos, lo consideran inofensivo.

Según Kaspersky, el Internet y el correo electrónico son las principales fuentes de robo de información personal que pueden comprometer nuestra privacidad, y hasta identidad, y ocasionar importantes pérdidas económicas. Según la empresa, el malware, las páginas fraudulentas, el phishing y el spyware son las principales amenazas que operan en la red para intentar sustraer datos personales de los usuarios con el fin de obtener, en la mayoría de los casos, beneficios económicos de forma ilegal.

"Toda información publicada en las redes sociales o compartida en distintos sitios de Internet corre el riesgo de caer en manos equivocadas y que sea utilizada en contra de los usuarios en el futuro", alerta Fabio Assolini, analista senior de seguridad en Kaspersky. “Es importante que los usuarios sean más cautelosos con su información personal y tomen cartas en el asunto de proteger sus datos personales”. 

Sin embargo, de acuerdo a datos revelados por el estudio Iceberg Digital de Kaspersky, aún hay mucho por hacer en América Latina. Según el informe, la mayoría de los latinoamericanos aceptaría exponer datos personales a cambio de beneficios, como descuentos en compras online (68%) o experiencias exclusivas (62%). Incluso pequeñas recompensas, como encontrar amigos de la infancia (80%), serían suficiente para convencer a los internautas de autorizar a un tercero a hacer lo que quiera con sus perfiles de redes sociales. En relación a las recompensas, el 76% de argentinos, 80% de brasileros, 76% de chilenos, 85% de colombianos, 81% de mexicanos y el 84% de peruanos, autorizarían a un tercero para acceder a sus perfiles de redes sociales.

Según Assolini, estafas comunes, como la clonación de cuentas de WhatsApp, se basan, precisamente, en la información que publicamos en la red voluntariamente. En ocasiones, el correo electrónico y alguna identificación de la persona, puede permitir a los cibercriminales crear documentos falsos que alimentan una verdadera cadena de suministro del ciberdelito.

Redes sociales utilizadas para extorsión y clonación de WhatsApp

La clonación de cuentas de WhatsApp es una estrategia de extorsión que ha incrementado durante el último año. La táctica es una adaptación del robo de cuentas de la aplicación. Sin embargo, en este caso, el usuario desconoce que su nombre está siendo utilizado por terceros para hacer estafas entre sus contactos.

Para ejecutar el fraude, los cibercriminales recopilan en las redes sociales fotos que les permiten crear perfiles falsos e, incluso, usan como referencia los mensajes o posts públicos de las víctimas para hacerse pasar por ellos. Este tipo de ataques también aprovecha la fuga de datos para recopilar información de sus próximos objetivos.

“Los Internautas deben tomar varias precauciones antes de ingresar su información personal en sitios web, pues quizá estos no cuenten con la seguridad necesaria para evitar una fuga de datos. Por supuesto, esto puede suceder, incluso, con empresas de mayor reputación, pero el tomar precauciones ayuda a reducir los riesgos”, recalca el experto. “Las leyes de Protección de Datos, vigentes en muchos países, refuerzan el compromiso que tanto las grandes compañías como los pequeños negocios deben asumir para resguardar los datos de sus clientes. Sin embargo, es importante que los usuarios tomen una actitud proactiva en el resguardo de su información y adopten hábitos de ciberseguridad para lograrlo”.  

"Cadena de suministro" del ciberdelito

Para evadir a las autoridades, los ciberdelincuentes crean su propia estructura de ataques utilizando los datos personales de las víctimas. Con la información robada o comprada en la Dark Web, los cibercriminales crean documentos falsos para realizar actividades como: registrar dominios ilegales en Internet, comprar servicios de hosting que se emplean para alojar archivos maliciosos, abrir negocios y cuentas bancarias, todo a nombre de sus víctimas.

Según Kaspersky, en el caso de la Dark Web, el acceso a los datos personales puede comenzar desde tan solo 50 centavos de dólar por una identificación, dependiendo de la profundidad y amplitud de los datos ofrecidos. Parte de la información personal sigue siendo tan solicitada como hace casi una década, principalmente datos de tarjetas de crédito, acceso a servicios bancarios y de pago electrónico; sus precios respectivos no han tenido cambios en los últimos años.

En la semana del Día Internacional de la Protección de Datos Personales, que se celebra el próximo jueves 28 de enero, Kaspersky busca concientizar a los usuarios sobre la importancia de proteger su información en línea y ofrece las siguientes recomendaciones:

• Se consciente de los datos personales que compartes en línea. Recuerda que toda la información publicada en las redes sociales corre el riesgo de caer en manos equivocadas y / o puede utilizarse para autorizar / denegar tu acceso a un servicio en particular en el futuro.
• Cuando dejes de usar una aplicación o un servicio en línea, elimina siempre tu cuenta y tu historial.
• Verifica qué servicios están conectados a tus cuentas en línea y quién tiene acceso a ellos. Puedes utilizar el Privacy Checker de Kaspersky para averiguar cómo cambiar la configuración de privacidad en los servicios en línea y tomar el control de tus datos personales.
• Para una protección integral contra diversas ciberamenazas, utiliza una solución de seguridad, como Kaspersky Security Cloud, la cual también ofrece varias funciones para proteger tu privacidad en línea, como un bloqueador de seguimiento de comportamiento en línea, entre otros.

Para más consejos de seguridad de datos, visita el blog de Kaspersky.

Origen

Origen

Origen

Origen

Origen

Origen

Origen