El objetivo es engañar a empleados con acceso a los recursos económicos para que paguen una factura falsa o hagan una transferencia desde la cuenta de la compañía. Para ello el estafador llama o envía correos electrónicos haciéndose pasar por un alto cargo de la compañía». Así describe Interpol la esencia del fraude del CEO (así conocido por la denominación anglosajona del director ejecutivo), la picaresca que ha puesto cuatro millones de la EMT en manos de delincuentes casi de un plumazo.
Con este fraude del CEO se estafó por 4 millones de euros a la EMT de Valencia. Este es un ejemplo de la vida real de un ciberataque conocido como fraude del CEO o email corporativo comprometido o BEC, las siglas en inglés de Business Email Compromise.
Los ataques relativamente poco sofisticados y dependen más de la ingeniería social y del engaño que del hackeo tradicional. Los cibercriminales simplemente imitan la dirección del correo electrónico de un ejecutivo de una empresa y envían un pedido convincente a un empleado incauto.
El mensaje parece como si proviniera del jefe, pero fue enviado por un impostor. A grandes rasgos, es una modalidad más avanzada de ‘phishing’: el envío de correos electrónicos en busca de claves secretas de las víctimas para saquear dinero de sus cuentas. En este caso, el objetivo es toda una empresa, lo que requiere una mayor elaboración.
En el fraude del CEO los estafadores juegan con una baza: la obediencia, a veces ciega, de un empleado hacia el ‘jefazo’. Aunque la petición escape a los protocolos habituales. Es aquello de ‘si me lo pide el jefe, tendré que obedecer’. Por esto la clave es «la concienciación y advertencia a directivos y empleados sobre los mecanismos de estafa para que se detecten a tiempo».
A menudo hay una cierta urgencia en el mensaje y empleado simplemente hace lo que le dicen, quizás enviando grandes sumas de dinero a criminales por error.
Estas estafas están en aumento y según el FBI en Estados Unidos, han resultado en pérdidas mundiales de al menos US$26.000 millones desde 2016.
A principios de este mes, fueron arrestados 281 supuestos delincuentes en 10 países diferentes como parte de una operación masiva contra redes cibercriminales globales vinculadas a las estafas.
Ryan Kalember, vicepresidente ejecutivo de estrategia de ciberseguridad de Proofpoint, una empresa de seguridad cibernética basada en California, dice: «El email corporativo comprometido es el problema más costoso en toda la seguridad cibernética. No hay ninguna otra forma de crimen cibernético con el mismo grado de alcance en términos de pérdidas monetarias».
Blancos no ejecutivos
Los blancos tradicionales de un ataque BEC son los personajes de nivel ejecutivo de las grandes compañías, como los presidentes ejecutivos o directores de finanzas.
Pero recientemente los criminales se han dirigido a niveles de menor jerarquía. «La gente más atacada que vemos ahora raramente son VIP (personas muy importantes). Las víctimas tienden a tener emails fácilmente localizables o direcciones compartidas que pueden adivinarse con facilidad».
«Los VIP, como regla, tienden a estar menos expuestos ya que ahora las organizaciones están por lo general haciendo un buen trabajo para proteger las direcciones de correo electrónico de sus VIP», agrega Kalember.
La tendencia también ha sido notada por la compañía de seguridad cibernética Cofense. En algunos casos, los emails de empleados son imitados y el atacante pide al departamento de recursos humanos que envíe el salario de una víctima hacia una nueva cuenta bancaria.
Cuidado con los lunes
Otro método que se ve con más regularidad son los emails de estafa que son enviados los lunes en la mañana.
Según Proofpoint, más del 30% de los emails BEC llegan los lunes ya que los delincuentes tratan de capitalizar los trabajos pendientes del fin de semana.
Lo que esperan es que con este retraso se pueda engañar con más facilidad a los empleados con emails falsos y otros trucos de ingeniería social. «Los atacantes saben cómo funcionan las personas y las oficinas. Dependen de que la gente cometa errores y tienen mucha experiencia con lo que funciona. No se trata de una vulnerabilidad técnica, se trata de error humano», dice Kalember.
Reenvíos falsos
Las conversaciones de correo electrónico falsas son parte de otra técnica que ha evolucionado. Los atacantes comienzan la línea del asunto de sus emails con «Re:» o «Fwd:», para que su mensaje parezca parte de un conversación previa.
En algunos casos, incluso incluyen un historial falso del email para establecer su aparente legitimidad.
Según investigadores, los intentos fraudulentos que usan esta técnica se han incrementado en más de 50% año tras año.
Kalemeber asegura que todas estas tendencias siguen un patrón predecible basado en nuestra propia conducta. «Una de las razones por las que este problema es particularmente difícil de erradicar es que éste depende del riesgo sistemático de que todos nosotros confiamos en los emails como medio de comunicación», afirma.
Desafortunadamente para las empresas y los empleados, es poco probable que los BEC desaparezcan Las estafas con emails son técnicamente muy simples, y los servicios en internet que se usan gratuitamente ofrecen pocas barreras para entrar.
Pero hay muchas cosas que las compañías y los empleados pueden hacer, como ser cautelosos y estar conscientes de los ataques.
Las compañías pueden insistir la llamada verificación de dos factores antes de enviar un pago.Todo esto, por supuesto, depende de que la gente de un paso atrás frente a lo que a menudo se pide en los lugares de trabajo: velocidad y eficiencia.
Fuente: seguinfo.com.ar
