Que las ciberamenazas se renuevan constantemente no es ninguna novedad. Que la sofisticación alcanza grados máximos tampoco, pero ¿cuál es la última amenaza que está causando estragos en las empresas? El timo del CEO: BEC.
¿Qué es y cómo funciona?
Este nuevo timo, que ha hecho perder protagonismo al ransomware, suele pasar desapercibido para las defensas tradicionales, aseguran desde el fabricante de seguridad Trend Micro, ya que no contienen ningún malware por detectar.
Su modus operandi pasa por enviar una solicitud urgente a un miembro del equipo financiero desde un dominio falso para que parezca que se envía desde el email del CEO, en el que se solicita que transfieran fondos lo más pronto posible a una cuenta externa.
En ocasiones, el atacante ha comprometido la cuenta de la persona que supuestamente envía el correo electrónico, lo que hace que sea doblemente difícil saber si esto es falso. Otras estafas pueden hacerse pasar por terceros, por ejemplo, proveedores.
Sus recompensas potenciales, mucho más altas que las que se obtienen con otras amenazas, están haciendo que el BEC se esté extendiendo a gran velocidad, creciendo un 106 % en el año 2017 y generando, ese mismo año, según el informe IC3 del FBI, las mayores pérdidas, con 676 millones de dólares, por encima del phishing y llevando, incluso, a que las amenazas de ransomware, descendieran de los más de 1.000 millones de dólares en el año 2016, a los 631 millones de euros el año pasado.
Estrategia
Para contrarrestarlo, desde Trend Micro aconsejan educar a los empleados para que comprueban los emails en los que se solicitan transferencias de dinero, ofreciendo un servicio gratuito de simulación de phishing y formación de usuarios.
Así como pedir una aprobación secundaria para cualquier transferencia fuera de la organización y más cuando los datos de pago de los proveedores han cambiado. Y valorar invertir en seguridad avanzada para email, que permita la detección de estafas como la nueva función de identificación del ADN de la escritura, Writing Style DNA, de Trend Micro, que detecta la suplantación de identidad, por poner algunos ejemplos.
