Los expertos en seguridad han alertado sobre la persistente amenaza representada por los ataques de compromiso de correo electrónico empresarial (BEC), que continúan causando daños significativos durante el año pasado. Estos incidentes son parte de una tendencia creciente que ha llevado a un incremento en las pérdidas financieras relacionadas con este tipo de amenazas.
Incremento de pérdidas por BEC
El Informe sobre Amenazas de Phishing de 2023 de Cloudflare registró un aumento del 17% en las pérdidas financieras vinculadas a los ataques BEC entre diciembre de 2021 y 2022. Los actores de amenazas han adoptado este método como una herramienta clave para robar recursos a organizaciones.
A lo largo del año 2022, casi el 71% de los encuestados en el estudio indicó haber experimentado un intento o ataque BEC exitoso. Este informe analiza las principales tendencias de ataques observadas durante aproximadamente 13 mil millones de correos electrónicos procesados por Cloudflare.
Técnicas y tácticas utilizadas
Los enlaces engañosos constituyen la principal táctica de phishing, representando casi el 36% de las amenazas. Además, se ha observado un aumento en el uso del phishing multicanal, que busca potenciales víctimas a través de múltiples canales además del correo electrónico.
Las amenazas de fraude de identidad también han aumentado, con millones de ellas logrando «pasar» las comprobaciones SPF, DKIM y DMARC. Los atacantes suelen fingir ser marcas muy conocidas como Microsoft, Google, Salesforce o Amazon.
Impacto económico
Cloudflare reveló que durante la última década, las pérdidas financieras a través de ataques BEC han superado los 51 mil millones de dólares. Este hecho destaca la naturaleza lucrativa del método para los actores de amenazas.
Durante el año 2022, se registraron más de 21.800 quejas por ataques BEC, con pérdidas superiores a 2.700 millones de dólares. En contraste, las quejas por ransomware fueron de 2.385, con pérdidas de más de 34,3 millones de dólares.
Las pérdidas relacionadas con BEC pueden ocurrir mediante diversas formas, como cuando los atacantes se hacen pasar por clientes u organizaciones asociadas y solicitan el pago de servicios. Las estadísticas del FBI muestran que más de 13.000 personas fueron víctimas de fraude electrónico inmobiliario a través de BEC en 2020, con pérdidas superiores a 213 millones de dólares.
Durante la pandemia de COVID-19, los ciberdelincuentes lograron engañar a funcionarios alemanes de salud para que transfirieran más de 14,7 millones de euros en fondos falsos.
Funcionamiento de los ataques BEC
Los ataques BEC son un tipo de phishing dirigido al objetivo de obtener información confidencial o facilitar transferencias financieras. La correspondencia suele parecer legítima, pero contiene enlaces a sitios web falsos o archivos adjuntos que se disfrazan como inofensivos.
Los ataques BEC suelen estar muy dirigidos y se centran específicamente en altos responsables de la toma de decisiones. Los actores de amenazas utilizan información pública, como detalles encontrados en perfiles de redes sociales, para establecer una relación con el objetivo.
Cloudflare destacó que las tácticas empleadas por los actores de amenazas en ataques BEC difieren de los métodos tradicionales de phishing. En lugar de depender de enlaces engañosos o archivos adjuntos, estos atacantes explotan una comprensión profunda del comportamiento del correo electrónico y las prácticas comerciales del destinatario.
El estudio también encontró que los atacantes se dirigen cada vez más a organizaciones de clientes y socios de la cadena de suministro para realizar ataques BEC.