Definición de fraude del director general
El fraude del director general es un tipo de ciberdelito en el que los atacantes se hacen pasar por los ejecutivos de una empresa para engañar a un empleado y conseguir que envíe transferencias no autorizadas o divulgue información confidencial. El FBI informa de que, entre 2016 y 2019, el fraude de CEO (también conocido como Business Email compromise, o BEC) provocó pérdidas de 26.000 millones de dólares a empresas de todo el mundo[i].
¿Cómo funciona la suplantación de identidad del CEO?
El fraude del CEO es una forma muy selectiva de spear-phishing en la que los atacantes investigan en línea a las víctimas potenciales y sus empresas, aprendiendo todo lo que pueden del sitio web de la organización, así como información de sitios de medios sociales como LinkedIn, Facebook y Twitter. Los objetivos suelen ser funcionarios de nivel medio del departamento financiero, de cuentas por pagar o de recursos humanos. Los atacantes elaboran un correo electrónico de aspecto muy realista que parece proceder del director general de la empresa o de otro ejecutivo de alto nivel y utilizan información aprendida sobre el objetivo para que el correo electrónico parezca auténtico. El correo electrónico insta al destinatario a tomar medidas inmediatas para transferir dinero a una cuenta específica, proporcionar información confidencial, como datos sobre nóminas o impuestos, o compartir credenciales que pueden proporcionar a los atacantes acceso a los sistemas corporativos. Dado que estos ataques fraudulentos a los directores generales hacen hincapié en la urgencia, el secreto y/o la confidencialidad, los empleados suelen inclinarse a actuar sin comprobar dos o tres veces si la solicitud es legítima.
Aumentan las estafas por correo electrónico de phishing contra directores ejecutivos
El fraude de los directores generales, un nuevo tipo de amenaza para la seguridad del correo electrónico corporativo, ha aumentado considerablemente en los últimos meses. También conocidas como phishing de ballena, las estafas por correo electrónico de fraude a directores ejecutivos suplantan la identidad de personas con acceso a información financiera u otros datos confidenciales para que realicen transferencias bancarias o divulguen números de cuentas bancarias, información de tarjetas de crédito, contraseñas y otros datos muy valiosos a través del correo electrónico. Estas estafas de fraude a directores generales suelen tener como objetivo o hacerse pasar por directores generales o directores financieros, u otros ejecutivos de nivel C.
El FBI informa de que los casos de fraude contra directores ejecutivos y ataques de ballenas aumentaron en 270% entre enero y agosto de 2015, y que las pérdidas debidas a estas estafas superaron los 1.200 millones de dólares en poco más de dos años1. A medida que las organizaciones buscan formas de prevenir el fraude de los directores ejecutivos, muchas empresas recurren a las soluciones de seguridad del correo electrónico de Mimecast.
"El FBI advierte del drástico aumento de las estafas por correo electrónico a empresas" - Oficina Federal de Investigación, abril de 2016
¿Cómo reconocer un ataque de fraude contra un director general?
El fraude de los directores generales es mucho más difícil de reconocer que los correos electrónicos comunes de phishing que se envían a cientos o miles de destinatarios. La solicitud puede incluso proceder de una dirección de correo electrónico legítima que ha sido pirateada por atacantes. Sin embargo, hay varios rasgos distintivos del fraude de los directores generales a los que todos los empleados deben prestar atención.
- Solicitudes para transferir dinero o compartir información sensible. Toda solicitud de este tipo debe ser vista con escepticismo por los empleados, a los que se debe instruir para que tomen medidas para verificar la autenticidad de las solicitudes antes de cumplirlas.
- Un tono urgente o amenazador. Los ataques fraudulentos de los directores generales están diseñados para animar a los empleados a actuar con rapidez y sin cuestionar sus acciones.
- Solicitudes realizadas por ejecutivos que dicen no estar disponibles durante un periodo de tiempo. Los atacantes suelen sugerir que el remitente del correo electrónico no está disponible para comunicaciones que podrían corroborar la solicitud.
- Lenguaje que solicite secreto o confidencialidad. Con ello se pretende evitar que los empleados comprueben con otros colegas o con sus superiores inmediatos la legitimidad de la solicitud.
- Números de cuenta inusuales. Los correos electrónicos fraudulentos de los directores ejecutivos pueden solicitar transferencias a cuentas bancarias o de proveedores diferentes de aquellas a las que se suele transferir el dinero.
- Desajustes en la dirección de correo electrónico del remitente o en las direcciones URL dentro del correo electrónico. Los atacantes pueden utilizar direcciones de correo electrónico y enlaces que son ligeras variaciones de direcciones de correo electrónico y sitios web, diseñados para pasar desapercibidos a los destinatarios que tienen prisa por cumplir con la petición del remitente.
