01 Oct 20264 minutes read
Kiara SaloojeeEntusiasta de DMARCFraude de facturas a gran escala: por dentro de una campaña de suplantación de ejecutivos
Resumen:
- En agosto de 2026, Microsoft detectó más de un millón de correos de fraude de facturas. Cada uno solicitaba una transferencia ACH de casi 50.000 USD.
- La suplantación de ejecutivos utilizó nombres visibles y firmas de correo, no los dominios de las empresas objetivo.
- El atacante registró un dominio similar al de ServiceNow tres días antes de la campaña.
A principios de agosto de 2026, Microsoft detectó una campaña de más de un millón de correos dirigida a equipos de cuentas por pagar. Cada mensaje pedía al personal de finanzas que procesara un pago de casi 50.000 USD. La solicitud parecía provenir de los propios ejecutivos de los destinatarios.
La campaña es un claro ejemplo del fraude de facturas moderno. Combinó la suplantación de ejecutivos, una factura de proveedor falsificada y un hilo de correo reenviado en una única solicitud convincente.
La campaña
Microsoft informó de que la actividad se desarrolló entre el 3 y el 5 de agosto de 2026. El atacante utilizó varias cuentas de entrega de terceros para enviar correos a los usuarios. La mayoría de los destinatarios (87,7 %) estaban en Estados Unidos.
Los sectores objetivo incluyeron servicios de TI, asesoría empresarial y bienes de consumo. El objetivo era el fraude de pagos mediante Automated Clearing House (ACH). Cada correo solicitaba una transferencia ACH a una cuenta bancaria controlada por el atacante. El atacante utilizó varias entidades financieras para recibir los fondos.
No fue una estafa de un solo señuelo. El atacante superpuso varias técnicas en una narrativa diseñada para reducir el escepticismo. Esa superposición es lo que hizo destacar esta campaña de fraude de facturas.
Cómo funcionó la suplantación de ejecutivos
La suplantación de ejecutivos aparecía en tres lugares: el nombre visible del remitente, el nombre visible de respuesta y la firma del correo. Los cargos suplantados incluían CEO, CFO y presidentes de las organizaciones objetivo. El cuerpo del mensaje era breve. Aprobaba la factura incluida más abajo y ofrecía una copia en PDF si se solicitaba.
Debajo de la firma, el atacante añadió una factura falsa de una suscripción anual de ServiceNow. Incluía la marca de ServiceNow, un número de factura, fechas de vencimiento e instrucciones de transferencia bancaria. La sección «Facturar a» mostraba la empresa del destinatario y el nombre del ejecutivo. ServiceNow no emitió la factura.
Seguían dos mensajes «reenviados» más. Mostraban una conversación entre el ejecutivo suplantado y un falso presidente de ServiceNow. Esta suplantación de ejecutivos por capas dio al fraude de facturas un contexto que parecía aprobado internamente.
Microsoft identificó indicadores de fraude de facturas que los equipos de finanzas y seguridad pueden comprobar:
- Un nombre visible que no coincide con la dirección del remitente
- Mensajes reenviados sin datos de encabezado
- Frases inusuales, como pedir al destinatario que no copie al remitente
- Asuntos construidos en torno a términos relacionados con pagos
Microsoft también encontró indicadores compatibles con la creación de plantillas asistida por IA, como comentarios HTML y una estructura uniforme. Microsoft señala que estos indicadores no determinan qué parte del contenido generó la IA.
Por qué nunca se comprometieron los dominios reales
Microsoft no encontró pruebas de que ServiceNow ni ninguna otra empresa nombrada en los señuelos hubiera sido comprometida o estuviera implicada. La campaña se basó en dominios y contenido controlados por el atacante.
El 31 de julio, tres días antes de que comenzaran los correos, el atacante registró service-nowinc[.]com. Este dominio similar proporcionó la dirección de correo y el correo de contacto del falso presidente de ServiceNow. Ese mismo día, el atacante registró domainlify[.]net para la dirección de respuesta.
Esto importa para planificar la defensa contra el fraude de facturas. El atacante no necesitó acceso a un dominio de proveedor real ni a un dominio objetivo real. Bastaron dominios recién registrados para intentar el fraude de pagos ACH a gran escala.
Dónde encaja la aplicación de DMARC y dónde no
DMARC comprueba si un mensaje que usa su dominio en la dirección "From" supera SPF o DKIM y se alinea con su dominio. Con p=reject, DMARC indica a los servidores de correo receptores cómo tratar los mensajes que fallan. Los servidores receptores deciden cómo aplicar esa política.
La aplicación de DMARC en el dominio de una empresa objetivo no habría sido relevante aquí. Los correos procedían de otros dominios. DMARC no evalúa los nombres visibles. Esta forma de suplantación de ejecutivos queda fuera de su alcance. El propietario de un dominio recién registrado también puede autenticar su propio correo.
La aplicación sigue siendo importante. Sin ella, un atacante podría enviar correos de fraude de facturas desde su dominio exacto, sin ninguna discrepancia entre el nombre visible y la dirección. La aplicación bloquea esa vía en los servidores receptores que aplican la política. Los atacantes tienen entonces que recurrir a nombres visibles y dominios registrados.
La propia guía de Microsoft incluye la configuración de SPF, DKIM y DMARC como una capa entre varias mitigaciones recomendadas. Ningún control por sí solo detiene el fraude de facturas ni el fraude de pagos ACH.
Cómo reducir el riesgo de fraude de facturas
El fraude de facturas puede apoyarse en su dominio real o en uno diseñado para parecerse a él. Cada caso necesita su propio control.
La Gestión de DMARC cubre su dominio exacto. Identifica a todos los remitentes legítimos y no autorizados que usan su dominio en todos los departamentos. Detecta configuraciones incorrectas antes de que se conviertan en incidentes, lo que reduce la investigación manual. El equipo de Sendmarc guía sus dominios hasta la aplicación completa y después sigue supervisando a medida que cambia su entorno.
La Defensa contra dominios similares cubre los dominios que escapan a su control. Le ayuda a identificar dominios similares que intentan suplantar a su organización. Un dominio como service-nowinc[.]com es el tipo de registro que detecta.
En conjunto, estos controles ayudan a proteger la reputación de la marca frente al phishing, la suplantación y la usurpación de identidad. Reducen las formas en que los atacantes pueden apropiarse de la identidad de su empresa para la suplantación de ejecutivos y el fraude de pagos ACH.
Compruebe si su dominio está protegido
El fraude de facturas y el fraude de pagos ACH dependen de una identidad de confianza. Empiece por confirmar si su dominio exacto está protegido frente a la suplantación.
Si corre el riesgo de sufrir una suplantación de identidad, uno de nuestros expertos se pondrá en contacto para ayudarle.
La suplantación de ejecutivos mediante dominios similares requiere una vista aparte. Si su equipo no tiene visibilidad sobre los dominios que suplantan a su marca, la Defensa contra dominios similares añade supervisión continua de esos registros.
