Basque Cybersecurity Centre alerta sobre una nueva campaña de estafas vía email orientadas a empresas vascas

Este tipo de ataque suplanta la identidad de una persona y suponen pérdidas de 8.000 millones de euros en todo el mundo.

Es la segunda campaña detectada desde el mes de septiembre.

 

El Centro Vasco de Ciberseguridad ha identificado recientemente una oleada de estafas vía email dirigidas a atacar económicamente a empresas vascas. Se trata de la segunda vez que se identifica una campaña de estas características en los últimos meses. La anterior se produjo el pasado mes de septiembre. Así mismo, la Ertzaintza alertó en noviembre de la existencia de 40 casos en Euskadi con un perjuicio de 2 millones de euros para las empresas.

Los ataques denominados Business Email Compromise suponen a las empresas unas pérdidas medias de 160.000 euros. Se estima que este tipo estafas continuarán creciendo (lo han hecho ya un 1.300% desde 2015, un 476% en el último año de acuerdo con un reciente estudio de Proofpoint) y, en la actualidad afectan a empresas de todos los tamaños. Este año, de acuerdo con las estimaciones de Trend Micro, las pérdidas provocadas rondarán los 8.000 millones de euros en todo el mundo.

Se trata de un tipo de ataque que consiste en suplantar la identidad de una persona vía email para engañar a otra con el fin de que realice una transferencia económica a una cuenta controlada por el estafador. A diferencia de los ataques de phishing tradicionales, estos ataques son dirigidos, diseñados para cada víctima y emulan correos electrónicos totalmente profesionales.

En la mayor parte de los casos, los ciberdelincuentes estudian las últimas noticias de las empresas e investigan las redes sociales de los empleados para hacer que la estafa sea lo más convincente y personalizada posible. Los ataques suelen realizarse vía correo electrónico y el estudio previo les permite superar los filtros de spam y otras protecciones. Uno de los objetivos de los ciberdelincuentes además del beneficio económico, es obtener información confidencial de la empresa que puede acarrear a la organización serios problemas, no solo económicos sino también de reputación.

Para hacer frente y prevenir los ciberataques es fundamental la concienciación a los empleados con el fin de que sean capaces de identificar solicitudes fuera de lo común como emails que solicitan cambios relacionados con el destino de facturas o cuentas bancarias. Asimismo, es recomendable que las empresas requieran a sus empleados validar la solicitud de transferencias electrónicas a través de otros medios como por ejemplo por teléfono, con el fin de eludir un posible email falso, e implementar medidas técnicas como pueden ser SPF, DKIM o DMARC y medidas de seguridad robustas para acceder al correo.

La estafa normalmente se da de 4 formas básicas:

• Fraude del CEO. Los ciberdelincuentes envían un email que parece proceder de uno de los responsables de la empresa a un empleado que tenga capacidad para realizar transferencias, dándole instrucciones para que envíe fondos a una cuenta que en realidad se encuentra bajo el control de los ciberdelincuentes.
• Estafa de factura falsa. Los ciberdelincuentes, tras comprometer la cuenta de un usuario, buscan en el correo del mismo hasta dar con una factura que venza pronto para después contactar con el departamento financiero y pedirles que cambien la cuenta de pago por una diferente.
• Suplantación del Abogado. El ciberdelincuente se hace pasar por el bufete de abogados de una empresa y solicita una transferencia de fondos para resolver un litigio o pagar una factura vencida.
• Robo de datos. La única versión de la estafa de BEC cuyo objetivo no es una transferencia de fondos directa, son los ataques que buscan el robo de datos mediante el compromiso de la cuenta de correo electrónico de un ejecutivo para solicitar que se le envíe información confidencial.

De cara a fomentar la concienciación frente a este tipo de amenazas, el Centro Vasco de Ciberseguridad (BCSC) organiza jornadas de ciberseguridad para empresas del sector industrial. Además de facilitar a empresas y particulares el servicio de alertas por ciberamenazas o de asesoramiento gratuito en caso de sufrir un ciberataque entre otros. Las empresas interesadas en realizar una jornada de concienciación en ciberseguridad pueden solicitarla enviando un email a sensibilizacion@bcsc.eus. Todos los servicios están a disposición de las empresas y de la ciudadanía vasca en la web www.basquecybersecurity.eus y pueden solicitar información adicional enviando un email a info@bcsc.eus.