Cómo prevenir el compromiso del correo empresarial (BEC)

El compromiso del correo empresarial (BEC, por sus siglas en inglés) no necesita malware ni un exploit ingenioso. Necesita un correo convincente y una persona que siga sus instrucciones. Esta guía explica cómo funciona el BEC, qué muestran las cifras más recientes del FBI y qué procedimientos y controles técnicos lo frenan.

¿Qué es el compromiso del correo empresarial?

El Internet Crime Complaint Center (IC3) del FBI define el BEC como "una estafa dirigida a empresas o personas que trabajan con proveedores y/o a empresas que realizan pagos por transferencia con regularidad". Los estafadores comprometen "cuentas de correo y otras formas de comunicación, como números de teléfono y aplicaciones de reuniones virtuales, mediante ingeniería social o técnicas de intrusión informática para realizar transferencias de fondos no autorizadas" (2025 IC3 Annual Report, apéndice B).

En la práctica, el BEC suele adoptar una de estas formas:

Lo que tienen en común es que el correo parece rutinario. A menudo no hay enlace ni adjunto, así que no hay nada que pueda detectar un escáner de malware. Los equipos pequeños y ágiles son blancos fáciles; nuestra guía de seguridad del correo para startups explica la configuración que conviene hacer pronto. Si el dinero de los clientes se mueve con instrucciones enviadas por correo, consulta seguridad del correo para asesores financieros y seguridad del correo para agencias de seguros.

¿Qué tamaño tiene el problema del BEC?

El informe anual de 2025 del IC3 ofrece las cifras oficiales más recientes de EE. UU.:

Algo de contexto del mismo informe:

• Sumando todos los tipos de delito, el IC3 recibió 1.008.597 denuncias en 2025, con $20.877 millones en pérdidas declaradas.
• El BEC tuvo las segundas pérdidas declaradas más altas de todos los tipos de delito en 2025, por detrás del fraude de inversión ($8.648.617.756).
• Las empresas declararon pérdidas de más de $30 millones por estafas BEC con IA, como correos generados por chat que imitan a un CEO o clonación de voz para pedir una transferencia.
• Los denunciantes de 60 años o más presentaron 4.566 denuncias por BEC, con $568.048.472 en pérdidas.

Un aviso de servicio público del IC3 de septiembre de 2024, aparte, situó la "pérdida expuesta en dólares" total por BEC en $55.499.915.582 entre octubre de 2013 y diciembre de 2023, a nivel nacional e internacional.

Estas cifras solo cuentan lo que las víctimas denunciaron al IC3. Son un mínimo, no un máximo.

¿Cómo funciona un ataque BEC?

La mayoría de los ataques BEC siguen una secuencia previsible. Conocerla te dice dónde poner los controles.

1. Investigación. El delincuente averigua quién aprueba los pagos, quiénes son tus proveedores y cómo escribe tu personal. Las webs de la empresa, LinkedIn y correos antiguos filtrados le ayudan.
2. Una identidad de envío. Necesita una dirección en la que la víctima confíe. Puede suplantar exactamente tu dominio, registrar un dominio similar, usar una cuenta de webmail gratuito con un nombre visible conocido o entrar en un buzón real.
3. La petición. Un mensaje verosímil: una cuenta bancaria cambiada, una transferencia urgente, un cambio en los datos de nómina. Suele llegar en un momento de mucho trabajo o cuando se dice que el "remitente" está de viaje.
4. Presión. La urgencia y el secreto impiden que la víctima compruebe nada. "No me llames, estoy en reuniones todo el día."
5. Cobro. El dinero va a una cuenta controlada por el delincuente o por una mula y se mueve rápidamente.

Los controles técnicos actúan sobre los pasos 2 y 3. Los procedimientos actúan sobre los pasos 3 a 5. Necesitas ambos, porque un mensaje desde el buzón realmente comprometido de un proveedor puede superar todas las comprobaciones técnicas. La IA generativa hace más convincente el paso 3, como explica nuestra guía sobre correos de phishing creados con IA, y algunos atacantes inundan un buzón con correos de suscripción para enterrar una alerta de fraude mientras actúan.

¿Qué procedimientos de verificación de pagos frenan el BEC?

El primer consejo de prevención del FBI es "usar canales secundarios y/o la autenticación de dos factores para verificar las peticiones de cambio de datos de cuenta" (IC3 PSA, 2024). Conviértelo en una norma escrita que se aplique a todos, incluido el propietario.

Un procedimiento para cambios de pago que puedes adoptar

1. Nunca actúes basándote solo en datos bancarios recibidos por correo. Esto incluye los PDF, los pies de las facturas y las respuestas dentro de un hilo existente.
2. Devuelve la llamada a un número que ya tengas. Usa el número de tu ficha maestra de proveedores, de un contrato anterior o de la web oficial del proveedor. Nunca uses un teléfono que aparezca en el correo que pedía el cambio.
3. Habla con alguien a quien conozcas. Pídele que confirme la cuenta antigua, la cuenta nueva y el motivo del cambio.
4. Deja constancia de la comprobación. Anota a quién llamaste, a qué número, cuándo y quién lo confirmó. Guárdalo con la ficha del proveedor.
5. Exige un segundo aprobador. Cualquier cambio de datos bancarios, cualquier primer pago a un nuevo beneficiario y cualquier transferencia por encima del umbral que fijes requieren la aprobación de dos personas.
6. Retén el primer pago si algo no te cuadra. Un breve retraso cuesta poco. Una transferencia a un delincuente suele desaparecer en cuestión de horas.
7. Aplica la misma norma a las nóminas. Los cambios de domiciliación de la nómina se hacen a través del portal propio de RR. HH. o con una comprobación en persona o por videollamada, nunca por una petición enviada por correo.

Normas para las peticiones "urgentes" de los directivos

• Deja acordado de antemano que ningún directivo pedirá nunca por correo una transferencia, tarjetas regalo o discreción.
• Haz que decir que no sea seguro. Hay que agradecer al personal que retrase un pago para comprobarlo, no culparlo.
• Usa un número de teléfono conocido o un canal de chat interno para confirmarlo. No respondas al correo.

Estas normas no cuestan nada y frenan el ataque incluso cuando el correo es técnicamente perfecto. Importan igual donde los voluntarios gestionan dinero; consulta seguridad del correo para organizaciones sin ánimo de lucro.

¿Qué controles técnicos reducen el BEC?

Los procedimientos detectan lo que se cuela. Los controles técnicos reducen cuánto se cuela.

1. Autenticación multifactor en todos los buzones

El robo de una cuenta convierte a un delincuente en un infiltrado de confianza. La guía conjunta sobre phishing de CISA, NSA, FBI y MS-ISAC recomienda la MFA y da prioridad a la MFA resistente al phishing para las cuentas de administrador y con privilegios. Empieza por el personal de finanzas, los directivos y los administradores.

2. DMARC aplicado en tu propio dominio

La misma guía de CISA recomienda DMARC, configurado en "reject" para el correo enviado. Con p=quarantine o p=reject, los receptores pueden rechazar el correo que falsifica exactamente tu dominio. Eso impide que los delincuentes escriban a tus proveedores "desde" tu departamento de finanzas. En nuestro análisis de los 1.000 primeros dominios de Tranco en octubre de 2026, el 38,3 % no aplicaba DMARC. Comprueba el tuyo con el DMARC Checker (verificador de DMARC) y sigue nuestro despliegue por fases hasta p=reject.

DMARC protege tu dominio, no el de tus proveedores. No hace nada contra un dominio similar.

3. Filtrado de suplantación de identidad y de dominios similares

El filtrado de entrada debería buscar nombres visibles que coincidan con los de tus directivos, dominios que se parezcan al tuyo o a los de tus proveedores y remitentes que no superen la autenticación. En Microsoft 365, la protección contra la suplantación de usuarios y dominios forma parte de Defender for Office 365, no de la protección básica que tiene todo buzón en la nube. Microsoft señala que la suplantación "puede superar las comprobaciones de autenticación del correo (SPF, DKIM y DMARC) si el atacante creó un dominio similar" (Microsoft Learn). Nuestra guía para frenar el phishing en Microsoft 365 explica la configuración.

4. Etiquetas de remitente externo

Una etiqueta "External" (externo) visible hace que destaque "el CEO" escribiendo desde fuera de la empresa. Exchange Online tiene una opción nativa que se activa con Set-ExternalInOutlook -Enabled $true. Microsoft dice que la etiqueta puede tardar de 24 a 48 horas en aparecer (Microsoft Learn).

5. Avisos de primer contacto

El consejo de seguridad de primer contacto de Microsoft avisa al destinatario cuando no suele recibir correo de un remitente. Está disponible en las políticas contra phishing para todos los buzones en la nube, y Microsoft recomienda activarlo. Si cambia la dirección de un proveedor, suele activarse.

6. Vigila las señales de un buzón comprometido

Revisa las reglas nuevas de la bandeja de entrada que reenvían, mueven o eliminan correo, los inicios de sesión desde lugares inesperados y los cambios repentinos en el reenvío del buzón. Los delincuentes que están dentro de un buzón suelen ocultar las respuestas al propietario real mientras actúan. Nuestra guía sobre las señales de que una cuenta de correo está comprometida enumera qué buscar e incluye la lista completa de recuperación. Un usuario de Microsoft 365 que de repente queda bloqueado para enviar suele ser la primera señal visible.

7. Haz que reportar sea rápido y fácil

Da al personal una forma evidente de reportar un correo sospechoso. La guía de CISA insiste en enseñar al personal la importancia de reportar los correos sospechosos y anima a usar las funciones de notificación integradas en Outlook y en otras plataformas de correo en la nube.

¿Qué debes hacer si ya se ha realizado un pago por BEC?

Lo más importante es la rapidez. El Recovery Asset Team del IC3 trabaja con los bancos para congelar fondos mediante su Financial Fraud Kill Chain. En 2025 gestionó 3.900 incidentes de todos los tipos de fraude, con $1.163.919.846 en intentos de robo y $679.013.183 congelados, una tasa de éxito del 58 % (2025 IC3 Annual Report).

1. Llama a tu banco de inmediato. Pide que se recuperen los fondos y pregunta qué documentos de indemnización necesita.
2. Presenta una denuncia en ic3.gov, sea cual sea el importe. Incluye todos los detalles de la operación.
3. Restablece la contraseña y revoca las sesiones de cualquier buzón que pueda estar comprometido, y revisa sus reglas de bandeja de entrada.
4. Avisa al proveedor o directivo real cuya identidad se usó.
5. Conserva el correo original con todos sus encabezados. El Email Header Analyzer (analizador de encabezados de correo) muestra de dónde vino realmente.

Lista de comprobación para prevenir el BEC

Próximos pasos

1. Pon por escrito esta semana tu procedimiento para cambios de pago y compártelo con todas las personas que puedan pagar o aprobar una factura.
2. Activa la MFA en todos los buzones, empezando por finanzas y la dirección.
3. Analiza tu dominio con el Email Health Check (revisión de salud del correo) gratuito para ver en qué estado están SPF, DKIM y DMARC.
4. Revisa cómo trata la suplantación de identidad tu filtrado de entrada. Si quieres filtrado a nivel de dominio por delante de Microsoft 365, Google Workspace o cPanel, consulta cómo funciona iBlockSpam.

Relacionado: correos de facturas y pagos falsos y fraude de facturas de proveedores y desvío de pagos. Muchos intentos de BEC usan un dominio que se parece al tuyo; el Lookalike Domain Watch (vigilancia de dominios similares) de iBlockSpam los busca a diario y te avisa cuando se registra uno.

Explora nuestras otras guías sobre phishing y amenazas.