El ataque que le llega a una pyme centroamericana no es sofisticado. Es un correo que parece del gerente pidiendo una transferencia urgente, o una factura falsa de un proveedor real con el número de cuenta cambiado.
No hay software que lo detenga del todo, y por eso este artículo habla sobre todo de procedimiento. Pero hay decisiones técnicas que reducen mucho la superficie, y son las mismas que ya recomendamos por otros motivos.
Las tres formas que funcionan
El correo del jefe
Llega a contabilidad, parece del gerente, y pide una transferencia urgente a un proveedor nuevo. El tono es de prisa y de confidencialidad: «estoy en una reunión, no me llames, hazlo ya».
Funciona porque combina autoridad con urgencia, que son las dos cosas que apagan el juicio de cualquiera. Y funciona especialmente bien en empresas pequeñas, donde el gerente pide cosas por correo todos los días.
La factura con la cuenta cambiada
Un proveedor real, una factura real, y un número de cuenta distinto «porque hemos cambiado de banco». A veces el atacante lleva semanas leyendo el correo de alguien antes de mandarla, y por eso el contexto encaja perfectamente.
Es el más caro de los tres y el más difícil de detectar mirando el mensaje.
La contraseña del correo
Una página que imita la de tu proveedor de correo. Alguien introduce su contraseña y a partir de ahí el atacante lee todo: facturas, contactos, conversaciones con clientes. Los otros dos ataques salen normalmente de aquí.
Lo que sí lo corta
Una regla de pagos, escrita
Esta es la medida más efectiva y no cuesta nada:
- Ningún cambio de cuenta bancaria se aplica por correo. Nunca. Se verifica llamando al número que ya tenías del proveedor, no al que viene en el mensaje.
- Toda transferencia por encima de una cantidad la confirman dos personas, y una confirmación por un canal distinto al que llegó la petición.
- La urgencia no salta el procedimiento. Al contrario: la urgencia es la señal.
Escríbelo y dilo en voz alta al equipo. Que quien recibe el correo sepa que nadie le va a reprochar haber verificado, ni aunque el gerente estuviera de verdad con prisa. El miedo a molestar al jefe es exactamente lo que explota el ataque.
Doble factor en el correo
Si la contraseña se filtra pero hay segundo factor, el atacante no entra. Es la medida técnica que más rendimiento da, y está detallada en las cuatro cosas aburridas que sí importan.
Un gestor de contraseñas
Tiene un efecto colateral que casi nadie menciona: el gestor no rellena la contraseña en una web falsa, porque el dominio no coincide. Esa negativa silenciosa avisa antes que cualquier formación. Está en el artículo sobre sacar las contraseñas de la hoja de cálculo.
Los registros de autenticación de tu dominio
Bien configurados, dificultan que alguien mande correo haciéndose pasar por tu empresa. No te protegen a ti de recibir, pero protegen a tus clientes de recibir correos falsos con tu nombre, y eso es reputación tuya.
Si ya ha pasado
- Llama al banco inmediatamente. Las primeras horas son las únicas en que a veces se puede parar una transferencia.
- Cambia la contraseña del correo afectado y cierra todas las sesiones abiertas.
- Revisa las reglas del buzón. Los atacantes suelen crear una regla que archiva o borra los avisos, para que nadie note nada.
- Avisa a tus clientes y proveedores si el buzón comprometido hablaba con ellos. Es incómodo y evita el segundo fraude.
- Denuncia. Aunque parezca inútil, deja constancia y a veces permite rastrear.
Lo que no hay que hacer
Culpar a quien picó. Estos ataques están diseñados por gente que se dedica a esto y funcionan con personas atentas y competentes. Una empresa donde el error se castiga es una empresa donde el siguiente error se oculta, y ocultarlo es lo único que lo convierte en catástrofe.