Compromiso de correo electrónico empresarial: Cómo la IA cambia los ataques BEC y cómo prevenirlos

Compromiso de correo electrónico empresarial: Cómo los ataques personalizados por IA apuntan a personas específicas

BEC a menudo no necesita malware, exploits ni archivos adjuntos sospechosos. En ataques de suplantación, el atacante necesita un dominio similar o una dirección falsificada y alguien dispuesto a actuar según el mensaje. En account takeover, el atacante accede a un buzón real, a veces mediante malware que roba información o kits de phishing que capturan sesiones de inicio, y escribe desde una cuenta confiable. La IA hace que ambos sean más baratos de crear y fáciles de repetir en cientos de objetivos a la vez.

¿Qué es el compromiso del correo electrónico empresarial?

En una estafa BEC, el atacante se hace pasar por alguien en quien la víctima confía: un ejecutivo, un proveedor, un compañero de trabajo. El objetivo es dinero, credenciales o datos. Algunos ataques usan dominios falsificados o similares. Otros usan la compromisión de cuentas de correo electrónico, donde el atacante accede a un buzón real y escribe desde él. Esa versión es más difícil de detectar. El mensaje proviene de la dirección genuina, a menudo dentro de un hilo existente.

Ejemplos comunes de ataques BEC

Cuatro patrones aparecen una y otra vez.

• Fraude en facturas de proveedores: Un atacante con acceso al buzón de un proveedor responde a un hilo real de facturas con detalles bancarios actualizados. Cuentas por pagar ve un remitente conocido en una conversación familiar, y el pago se realiza al atacante.
• Suplantación ejecutiva: Un mensaje que parece provenir del CEO solicita a un empleado de finanzas una transferencia urgente y desaconseja llamadas de seguimiento.
• Desvío de nómina: Alguien que se hace pasar por un empleado solicita a RR. HH. cambiar los datos del depósito directo.
• Secuestro de hilo: Con una cuenta comprometida, el atacante lee las conversaciones en curso y espera el momento adecuado para intervenir.

Cómo la IA cambia el fraude BEC

El BEC tradicional se basaba en esfuerzo manual. Los atacantes investigaban una empresa, identificaban quién aprueba los pagos y redactaban cada mensaje a mano. Eso mantenía el volumen bajo y limitaba la cantidad de objetivos que un atacante podía manejar. La IA cambia la economía en cada etapa.

Muchos ejecutivos, sin descansos

El BEC dirigido a ejecutivos solía ser manual. Un atacante elegía a un ejecutivo, o a un par, y seguía intentando hasta que el objetivo respondía o el atacante desistía. Cada intento consumía tiempo, por lo que las listas de objetivos se mantenían cortas.

Con IA, un atacante puede crear una lista de cientos de contactos de nivel C y finanzas senior, generar un mensaje distinto para cada uno y seguir enviando sin parar. Ignora uno y recibes un seguimiento con un pretexto diferente. La automatización rastrea quién respondió, quién no y qué intentar después. Los ejecutivos suelen tener acceso amplio, por lo que un solo éxito puede alcanzar aprobaciones de pagos, materiales de junta y datos sensibles.

Investigación a escala organizacional

Los sitios web de la empresa, los comunicados de prensa, las ofertas de empleo y los perfiles de redes profesionales revelan nombres, cargos, líneas de reporte y relaciones con proveedores. Las herramientas automatizadas recopilan esa información para toda la empresa en minutos. Si el atacante ya controla un buzón, la bandeja de entrada añade nombres reales de proyectos, números de factura y la forma en que los colegas realmente se comunican.

Redacción que coincide con el remitente

Un modelo de lenguaje puede leer unas pocas docenas de correos electrónicos de una cuenta comprometida y reproducir el saludo, la despedida y la longitud de las frases del remitente. El resultado es un texto limpio y fluido en el idioma que lea el destinatario. Los errores ortográficos y las frases torpes solían ser señales de advertencia estándar. Están desapareciendo.

Temporización desde dentro del hilo

Un modelo puede resumir un hilo largo y detectar el momento crucial: una factura aprobada, una transferencia pendiente, una renovación de contrato. El mensaje del atacante llega justo cuando ya se está conversando sobre el pago, momento en que los nuevos datos bancarios parecen rutinarios.

Ataques de credenciales más rápidos

La toma de control de cuentas es lo que hace posible el secuestro de hilos, y la IA también acelera ese proceso. Nombres, mascotas, fechas de nacimiento y empleadores extraídos de perfiles públicos alimentan generadores de conjeturas que producen contraseñas probables para una persona específica. Las credenciales comprometidas se prueban en muchas cuentas en secuencia, y la automatización se encarga de los reintentos.

Uno al lado del otro:

La violación de una cuenta de correo electrónico comienza con las credenciales

Los dominios similares pueden ser bloqueados o marcados. Una cuenta real tomada es más difícil de detectar porque el remitente es legítimo. La mayoría de las tomas comienzan con una credencial: una contraseña reutilizada de un sitio comprometido, una frase de contraseña creada con datos personales o un inicio de sesión compartido guardado en una hoja de cálculo que pueden abrir decenas de personas.

Los ejecutivos enfrentan mayores riesgos porque los atacantes no se detienen. Una contraseña débil o reutilizada puede resistir unos pocos intentos. Miles es otra historia.

Una vez dentro, los atacantes leen el correo, buscan palabras como "invoice", "wire" y "payment", y establecen reglas que ocultan su actividad. Una regla de reenvío, o una regla que mueve las respuestas a una carpeta oculta, puede mantener al propietario real sin saberlo durante semanas.

Prevención de BEC: Fortalezca la capa de contraseña

El filtrado de correos electrónicos y la formación de usuarios son importantes. Dos controles en la capa de credenciales reducen las probabilidades de que una contraseña robada o reutilizada comprometa un buzón.

Netwrix Password Policy Enforcer va mucho más allá de las reglas de complejidad nativas de Active Directory. Comprueba las nuevas contraseñas contra listas de filtraciones como Have I Been Pwned, bloquea palabras del diccionario y patrones predecibles, y aplica diferentes políticas a distintos usuarios, grupos y OUs. La retroalimentación en tiempo real explica por qué se rechazó una contraseña, para que las personas puedan elegir una más fuerte al instante. Como las políticas pueden asignarse por grupo, los ejecutivos y equipos financieros pueden tener una política más estricta que los demás.

Netwrix Password Secure cubre credenciales que las políticas centrales/AD no alcanzan: accesos a buzones compartidos, portales de proveedores, cuentas privilegiadas. Las almacena en una bóveda encriptada, concede acceso por rol y soporta flujos de aprobación para cuentas sensibles. Cada acceso queda registrado, y MFA añade otra verificación en la vault misma. Las credenciales salen de hojas de cálculo y chats, y obtienes un registro de quién usó qué y cuándo.

Netwrix Data Classification muestra qué buzones y repositorios contienen el contenido más sensible, para que sepas hasta dónde podría llegar una cuenta comprometida.

Lista de verificación para la prevención del compromiso de correo electrónico empresarial

1. Aplica una password policy que bloquea contraseñas comprometidas, de diccionario y predecibles, con una versión más estricta para ejecutivos y equipos financieros.
2. Traslada los inicios de sesión compartidos y privilegiados fuera de las hojas de cálculo y dentro de una bóveda con acceso basado en roles.
3. Requiere MFA resistente al phishing en email, sistemas financieros y el vault.
4. Verifique cualquier cambio en los datos bancarios o instrucciones de pago a través de un canal separado, como una llamada a un número conocido.
5. Audite las reglas de reenvío y de la bandeja de entrada, y revise la actividad de inicio de sesión para los buzones de finanzas, RRHH y ejecutivos.
6. Diles a las personas que los mensajes escritos por IA se leen con claridad. Los errores tipográficos ya no son la principal señal de advertencia.