Prevención del fraude por suplantación de identidad del director general: detectar y detener el fraude contra altos directivos

El costo del fraude cometido por directores generales y por qué su prevención es una prioridad

Los ataques BEC provocaron pérdidas declaradas por valor de 2.770 millones de dólares en 2024.

Las pérdidas económicas son solo una parte del problema – un ataque exitoso también provoca daños a la reputación, interrupciones operativas y un mayor escrutinio regulatorio.

Cuando se accede a datos personales o estos son exfiltrados, se aplican obligaciones adicionales. El RGPD exige notificar a la autoridad de control competente en un plazo de 72 horas desde que se tenga conocimiento de una violación que cumpla los requisitos. PCI DSS y POPIA imponen sus propios requisitos de notificación y corrección.

Cómo funcionan los ataques de suplantación de identidad del director general

La suplantación de identidad de directores generales sigue un patrón constante. Los atacantes comienzan con una fase de investigación – los perfiles de LinkedIn, los sitios web de las empresas, los comunicados de prensa y las conferencias sobre resultados les proporcionan toda la información necesaria para comprender la jerarquía de la organización, identificar las relaciones clave y elaborar una suplantación convincente. El objetivo es identificar al destinatario adecuado: normalmente, alguien del departamento financiero o de recursos humanos que tenga la autoridad o el acceso necesarios para dar curso a una solicitud.

A partir de ahí, los ciberdelincuentes eligen su táctica y lanzan el ataque. Por lo general, el mensaje presenta la solicitud como algo urgente, confidencial o relacionado con un acuerdo o una situación que el destinatario no puede verificar fácilmente.

Los atacantes utilizan tres métodos principales:

1. Suplantación de dominio: El atacante falsifica el campo «De» en los encabezados del correo electrónico para mostrar una dirección de remitente que parece legítima.
2. Dominios similares: El atacante registra un dominio que se parece al auténtico – por ejemplo, dornain.com en lugar de domain.com. Los correos electrónicos enviados desde este dominio pueden resultar difíciles de distinguir a simple vista.
3. Credenciales robadas: El atacante obtiene credenciales de inicio de sesión sustraídas y accede a una cuenta real de un ejecutivo. Esto se conoce como compromiso de la cuenta de correo electrónico (EAC). Dado que el correo electrónico procede de una cuenta legítima, supera los controles de autenticación habituales, lo que hace que este ataque sea especialmente difícil de detectar.

Señales de alerta: cómo identificar un correo electrónico que suplanta la identidad del director general

Para detectar un correo electrónico que suplanta la identidad del director general, hay que comprobar tanto los datos del remitente como el contenido. Presta atención a lo siguiente:

• El nombre que aparece en el remitente coincide con el de un ejecutivo conocido, pero la dirección de correo electrónico no
• El dominio contiene sustituciones sutiles, guiones de más o palabras adicionales
• La solicitud implica una transferencia bancaria, tarjetas regalo, el desvío de la nómina o el uso compartido de credenciales
• El mensaje insta al destinatario a actuar con rapidez y a eludir los procesos de aprobación habituales
• El ejecutivo alega que no está disponible o que se encuentra de viaje, lo que dificulta la verificación directa

Los empleados deben verificar cualquier solicitud inusual a través de un canal de comunicación independiente y conocido – una llamada telefónica directa a un número que ya figure en los registros, o una confirmación en persona. Responder al correo electrónico no es un método de verificación; un atacante podría controlar ese hilo de conversación.

Para los equipos de TI que investigan un posible incidente, los encabezados de los correos electrónicos constituyen la prueba más fiable. Los encabezados revelan la verdadera dirección IP del remitente.

Cómo actuar ante un caso de suplantación de identidad del director general

La rapidez y el orden son importantes. Sigue estas instrucciones:

1. Avise inmediatamente a su equipo de seguridad. Informe al departamento de TI o al SOC antes de tomar cualquier otra medida. No responda al correo electrónico. Consérvelo como prueba.
2. Póngase en contacto con su banco. Si se ha iniciado una transacción fraudulenta, llame directamente a la línea de atención contra el fraude del banco utilizando un número conocido. Solicite la anulación inmediata de la transferencia. Si lo comunica en un plazo de 72 horas, tendrá más posibilidades de recuperar el dinero.
3. Denúncielo a las fuerzas del orden. Presente una denuncia ante la autoridad nacional competente – en EE. UU., se trata del Centro de Denuncias de Delitos en Internet (IC3) del FBI.
4. Notifique a las partes suplantadas. Avise al directivo cuya identidad se haya utilizado. Es posible que este deba enviar notificaciones a otros contactos que hayan recibido mensajes similares.
5. Comprueba si la cuenta ha sido comprometida. Si el correo electrónico parecía proceder de una cuenta interna real, revisa inmediatamente el historial de inicio de sesión, las sesiones activas y las reglas de reenvío. Es posible que la cuenta comprometida siga bajo el control del atacante.

Prevención de la suplantación de identidad del director general en el correo electrónico: controles técnicos y de procesos

Una prevención eficaz requiere controles tanto a nivel de infraestructura como de procesos.

Controles técnicos

• Aplique una política de p=reject. Una política p=reject indica a los servidores receptores que bloqueen los correos electrónicos que no superen la autenticación. Esta es la defensa técnica más directa contra la suplantación de dominio. Una política p=none genera informes, pero no ofrece protección – los correos electrónicos que no superan la autenticación siguen llegando a la bandeja de entrada.
• Esté atento a los dominios similares. La aplicación de DMARC solo protege contra la suplantación exacta de dominios. No tiene ningún efecto sobre los dominios registrados para imitar el suyo. La supervisión continua de los dominios similares de nueva creación es un control independiente y necesario.
• Implemente una solución de detección de filtraciones. Si las credenciales de un directivo quedan expuestas en una filtración de datos de un tercero, los atacantes pueden utilizarlas para acceder a cuentas reales y enviar correos electrónicos de suplantación que eluden la autenticación por completo. Utilice una solución de detección de filtraciones para supervisar de forma continua las credenciales de empleados que hayan sido comprometidas.

Controles de procesos y políticas

• Implemente un proceso de aprobación de varias personas para todas las transferencias bancarias, los cambios en las nóminas y las actualizaciones de los pagos a proveedores, independientemente de quién los solicite. Una simple instrucción por correo electrónico – incluso desde una cuenta ejecutiva verificada – nunca debería ser una autorización suficiente para una transacción financiera.
• Establezca un protocolo de verificación verbal para cualquier instrucción financiera iniciada por correo electrónico. Utilice un número de teléfono que ya figure en los registros, no el facilitado en el correo electrónico.
• Capacite a los equipos de mayor riesgo. Los departamentos de Finanzas, Recursos Humanos y el personal de apoyo a la dirección son los que con mayor frecuencia son blanco de estos ataques. Los empleados deben reconocer los indicios característicos del fraude del director general y seguir los procedimientos de escalamiento sin temor a parecer poco colaborativos con un alto directivo.
• Realice periódicamente simulacros que reproduzcan situaciones de suplantación de identidad del director general. Una respuesta ensayada reduce las dudas cuando se produce un incidente real.

Detén la suplantación de identidad del director general antes de que llegue a la bandeja de entrada

Ningún control por sí solo detiene la suplantación de identidad del director general. Cada método de ataque requiere su propia defensa. Una política DMARC con p=reject evita la suplantación exacta de dominio. Lookalike Domain Defense detecta los dominios de nueva creación diseñados para suplantar a su organización. Breach Detection identifica las credenciales de ejecutivos expuestas antes de que los atacantes puedan aprovecharlas.

Descubra cómo Sendmarc le ayuda a llegar a p=reject, detectar dominios similares que apuntan a su marca e identificar a tiempo las credenciales de ejecutivos expuestas.