Basque Cybersecurity Centre alerta sobre campañas de estafas vía email orientadas a empresas vascas

Este tipo de ataque suplanta la identidad de una persona y suponen pérdidas de 8.000 millones de euros en todo el mundo

El Centro Vasco de Ciberseguridad y la Sección de Delitos Informáticos de la Ertzaintza han identificado recientemente diferentes campañas de estafas vía email dirigidas a atacar económicamente a empresas vascas.

Los ataques denominados Business Email Compromise suponen a las empresas unas pérdidas medias de 120.000 euros. Se estima que tanto el impacto como la propagación de este tipo estafas, que afectan a empresas de todos los tamaños, continúe creciendo (lo han hecho ya un 1.300% desde 2015). Este año, de acuerdo con las estimaciones de Trend Micro, las pérdidas provocadas rondarán los 8.000 millones de euros en todo el mundo.

Se trata de un tipo de ataque que consiste en suplantar la identidad de una persona vía email para engañar a otra con el fin de que realice una transferencia económica a una cuenta controlada por el estafador. A diferencia de los ataques de phishing tradicionales, estos ataques son dirigidos, diseñados para cada víctima y emulan correos electrónicos totalmente profesionales.

En la mayor parte de los casos, los ciberdelincuentes estudian las últimas noticias de las empresas e investigan las redes sociales de los empleados para hacer que la estafa sea lo más convincente y personalizada posible. Los ataques suelen realizarse vía correo electrónico y el estudio previo les permite superar los filtros de spam y otras protecciones. Otro de los objetivos de los ciberdelincuentes además del beneficio económico, es obtener información confidencial de la empresa que puede acarrear a la organización serios problemas, no solo económicos sino también de reputación.

Para hacer frente y prevenir los ciberataques es fundamental la concienciación a los empleados con el fin de que sean capaces de identificar solicitudes fuera de lo común como emails que solicitan cambios relacionados con el destino de facturas o cuentas bancarias. Asimismo, es recomendable que las empresas requieran a sus empleados validar la solicitud de transferencias electrónicas a través de otros medios como por ejemplo por teléfono, con el fin de eludir un posible email falso, e implementar medidas técnicas como pueden ser SPF, DKIM o DMARC y medidas de seguridad robustas para acceder al correo.

La estafa de Business Email Compromise puede darse de 5 formas básicas:

• Fraude del CEO. Los ciberdelincuentes envían un email que parece proceder de uno de los responsables de la empresa a un empleado que tenga capacidad para realizar transferencias, dándole instrucciones para que envíe fondos a una cuenta que en realidad se encuentra bajo el control de los ciberdelincuentes.
• Estafa de factura falsa. Los ciberdelincuentes, tras comprometer la cuenta de un usuario, buscan en el correo de este hasta dar con una factura que venza pronto para después contactar con el departamento financiero y pedirles que cambien la cuenta de pago por una diferente.
• Suplantación del Abogado. El ciberdelincuente se hace pasar por el bufete de abogados de una empresa y solicita una transferencia de fondos para resolver un litigio o pagar una factura vencida.
• Robo de datos. La única versión de la estafa de BEC cuyo objetivo no es una transferencia de fondos directa, son los ataques que buscan el robo de datos mediante el compromiso de la cuenta de correo electrónico de un ejecutivo para solicitar que se le envíe información confidencial.

De cara a que Euskadi sea un referente en seguridad y fomentar la concienciación frente a este tipo de amenazas, el Centro Vasco de Ciberseguridad (BCSC) organiza jornadas de ciberseguridad para empresas del sector industrial. Además de facilitar a empresas y particulares el servicio de alertas por ciberamenzas o de asesoramiento gratuito en caso de sufrir un ciberataque entre otros. Las empresas interesadas en realizar una jornada de concienciación en ciberseguridad pueden solicitarla enviando un email a sensibilizacion@bcsc.eus. Todos los servicios están a disposición de las empresas y de la ciudadanía vasca en la web www.basquecybersecurity.eus y pueden solicitar información adicional enviando un email a info@bcsc.eus.