Suplantación de correo de empresa: spoofing y fraude del CEO

Cuatro formas de suplantar tu correo y cómo frenar cada una

El llamado fraude del CEO o compromiso del correo empresarial (BEC) consiste en hacerse pasar por alguien de confianza para conseguir un pago, datos o accesos. Un correo del «director» que pide una transferencia confidencial antes de que acabe el día, un «proveedor» que avisa de que ha cambiado de banco, o un mensaje desde tu propio dominio dirigido a un cliente. No hay un único truco: hay al menos cuatro, y cada uno se frena de forma distinta.

1. Spoofing de tu dominio exacto

El atacante envía un correo que dice venir de tu dominio sin tener acceso a tus servidores. Si tu dominio no tiene una política DMARC en quarantine o reject, muchos servidores de destino lo entregarán. Es la puerta más fácil de cerrar: configurando SPF y DKIM correctamente y llevando DMARC a una política de bloqueo, los proveedores que respetan DMARC rechazan esos mensajes. Lo explicamos en detalle en configurar SPF, DKIM y DMARC.

2. Dominios parecidos

DMARC no protege contra un dominio distinto que se parece al tuyo: una letra cambiada, un guion añadido u otra extensión. Esos dominios pueden tener su propia autenticación perfecta. Aquí ayudan las protecciones anti-suplantación de Google Workspace y de Microsoft Defender para Office 365, que detectan dominios similares a los de tu organización y nombres de empleados usados desde fuera, junto con avisos visibles de remitente externo. También conviene vigilar el registro de dominios parecidos al tuyo.

3. Suplantación del nombre visible

El correo llega desde una cuenta gratuita cualquiera, pero con el nombre del director general en el remitente. En el móvil, donde a menudo solo se ve el nombre, funciona sorprendentemente bien. Las reglas de etiquetado de correo externo y las políticas de protección frente a suplantación de usuarios lo hacen visible.

4. Cuenta real comprometida

Es el caso más peligroso: el atacante ha robado la contraseña de un buzón, tuyo o de un proveedor, y escribe desde él. Todas las comprobaciones técnicas pasan porque el correo es auténtico. A menudo el atacante lee las conversaciones durante semanas y aparece justo cuando hay una factura pendiente. La defensa es la verificación en dos pasos en todas las cuentas, la alerta ante inicios de sesión anómalos, la revisión de reglas de reenvío ocultas y, sobre todo, un procedimiento interno.

El procedimiento que lo para todo

Ninguna tecnología es infalible. La regla que más fraudes evita es sencilla: cualquier cambio de cuenta bancaria o pago urgente fuera de lo habitual se confirma por teléfono, llamando a un número conocido y no al que aparece en el correo. Te ayudamos a definirlo y a explicarlo al equipo con sesiones por videoconferencia.

Si ya ha ocurrido

Contacta con tu banco cuanto antes para intentar frenar la transferencia, conserva los correos con sus cabeceras y denuncia. En España puedes pedir orientación a la línea de ayuda en ciberseguridad de INCIBE, el 017. Nosotros revisamos los buzones implicados, cerramos accesos y analizamos cómo ha entrado el atacante. Nuestros servicios se prestan en remoto y el precio depende del alcance; te lo indicamos antes de empezar.