Prevenir las amenazas de compromiso de correo electrónico empresarial

El acceso no autorizado a los sistemas de correo electrónico de la empresa (BEC) es una sofisticada amenaza cibernética en la que los atacantes se hacen pasar por personas de confianza dentro de una organización. Posteriormente, engañan a los empleados para que realicen acciones perjudiciales. Esto puede incluir iniciar una transacción financiera, hacer clic en un enlace malicioso o divulgar información confidencial. A diferencia del spam tradicional, un engaño mediante BEC se basa más en la ingeniería social que en el malware.

Los atacantes utilizan una mezcla de engaño, tecnología y psicología en un intento de BEC. Estas campañas suelen estar bien documentadas y ser muy selectivas. Los atacantes utilizan información disponible públicamente o información personal robada para aumentar la credibilidad.

Algunas técnicas comunes incluyen:

• Acceso no autorizado a la cuenta de correo electrónico: obtención del control de la bandeja de entrada de un ejecutivo o proveedor para supervisar y manipular los hilos de correo electrónico.
• Campañas de correo electrónico de phishing: envío de correos electrónicos maliciosos que parecen legítimos, a menudo haciéndose pasar por un contacto o marca de confianza.
• Direcciones de correo electrónico falsificadas: imitación de dominios de confianza con cambios sutiles para engañar a los destinatarios haciéndoles creer que el mensaje es seguro.
• Registro de dominios falsos: registro de dominios que parecen casi idénticos al dominio real de la organización.
• Ingeniería social: persuasión de un empleado objetivo para que se salte los protocolos de autenticación o actúe rápidamente sin verificación.

Estas tácticas suelen eludir los filtros tradicionales, por lo que la concienciación sobre la ciberseguridad y la protección por capas resultan esenciales.

Una estafa de BEC suele centrarse en personas con acceso a sistemas financieros o datos confidenciales. Entre los empleados objetivo se encuentran los siguientes:

• Ejecutivos o líderes de nivel C (objetivos frecuentes del fraude de CEO)
• Equipos de finanzas y cuentas por pagar (responsables de procesar los pagos)
• Personal de RR. HH. (con acceso a información personal y registros de empleados)
• Personal de adquisiciones (gestión de relaciones con proveedores y facturas)

Los atacantes adaptan sus mensajes a las responsabilidades y al nivel de acceso de cada destinatario. Al hacerlo, aumentan las probabilidades de que el ataque tenga éxito. En algunos casos, un correo electrónico sospechoso puede pasar desapercibido porque imita solicitudes rutinarias, lo que lo hace aún más peligroso.

Mitigar los ataques de acceso no autorizado al correo electrónico de la empresa requiere una estrategia proactiva, por capas, que combine las defensas técnicas con la vigilancia por parte del usuario. A continuación se presentan las principales herramientas y tecnologías que ayudan a proteger a la organización contra las tácticas de los estafadores de BEC, en constante evolución:

1. Protocolos de autenticación de correo electrónico (SPF, DKIM, DMARC). Estos protocolos de autenticación fundamentales verifican la identidad del remitente y ayudan a detectar direcciones de correo electrónico falsificadas. Cuando se configuran correctamente, reducen el riesgo de suplantación de direcciones de correo electrónico, una táctica utilizada a menudo en las estafas de BEC y los ataques de phishing.
2. Filtrado avanzado de correo electrónico y puertas de enlace de correo electrónico seguro (SEG). Las modernas puertas de enlace de correo electrónico seguro utilizan la detección basada en IA para bloquear correos maliciosos, correos de phishing y otros contenidos sospechosos antes de que lleguen al empleado objetivo. Estos filtros analizan los metadatos, el contexto y los patrones de los mensajes para detener las amenazas en una fase temprana.
3. Detección y respuesta gestionadas (MDR). Los servicios de detección gestionada proporcionan supervisión en tiempo real de las comunicaciones internas y externas para detectar indicios de una cuenta en riesgo o de un intento de BEC en curso. Las herramientas de MDR ayudan a los equipos de seguridad a actuar con rapidez para contener los daños y evitar transacciones financieras no autorizadas o la pérdida de datos.
4. Formación para la concienciación sobre la seguridad. El error humano suele ser el eslabón débil. La formación continua ayuda a los empleados a reconocer correos electrónicos sospechosos, verificar solicitudes inusuales y evitar divulgar información confidencial. Los ataques de phishing simulados pueden reforzar aún más la vigilancia en toda la organización.
5. Autenticación multifactor (MFA) y principios Zero Trust.

Añadir MFA garantiza que, aunque se roben las credenciales de inicio de sesión, el acceso a los sistemas siga estando protegido. Combinado con un marco de trabajo Zero Trust, esta estrategia limita el daño de una estafa de BEC al minimizar el movimiento lateral desde una cuenta en riesgo a los sistemas de alto valor o a la información confidencial.

Las herramientas de protección contra el BEC funcionan mejor cuando se integran en un marco de ciberseguridad más amplio. La protección contra el BEC de Mimecast analiza el contexto del mensaje, el comportamiento del usuario y la legitimidad del dominio para detener a los estafadores de BEC antes de que sus mensajes lleguen a las bandejas de entrada.

Para sacar el máximo partido a sus herramientas, haga lo siguiente:

1. Ajuste continuamente las reglas de detección para adaptarlas a la evolución de las amenazas.
2. Combine las alertas automatizadas con el análisis humano a través de la detección gestionada.
3. Aplique controles de políticas que se adapten en función del remitente, el nivel de confidencialidad y la probabilidad de suplantación.
4. Este enfoque en capas, asistido por la IA y mejorado por el juicio humano, reduce la dependencia de las decisiones del usuario final. También proporciona a los equipos de seguridad una mayor visibilidad de cada intento de BEC.

Aun así, incluso las mejores soluciones basadas en la IA pueden pasar por alto técnicas de ataque novedosas. Por eso, una protección eficaz contra el acceso no autorizado a los sistemas de correo electrónico de la empresa requiere algo más que la IA por sí sola.