En el boletín del mes pasado alertábamos sobre el aumento (y previsibles nuevos incrementos) del fraude del CEO. A finales del mismo mes, el grupo de Delitos Tecnológicos de la Guardia Civil emitía una nota alertando sobre nuevos casos de fraude utilizando el correo electrónico, a través de la modalidad conocida como BEC (Business E-mail Compromise). El fraude del CEO es una parte del fraude mediante BEC.
El BEC consiste en suplantar la dirección de e-mail de terceros. En el caso del CEO se suplanta la de alguien de la propia empresa estafada. En los otros casos, se hace con una cuenta de e-mail de empresas u organismos con los que “previsiblemente” la empresa estafada tiene relación: proveedores, clientes, ayuntamientos, hacienda, seguridad social, correos… El objetivo es tanto redirigir pagos legítimos hacia cuentas de los delincuentes, como “crear” pagos urgentes (que son igualmente dirigidos a cuentas controladas por estos).
Algunos ejemplos: Una empresa dirige un mail a su cliente indicándole que por cualquier motivo creíble ha cambiado de banco y que ahora los pagos por transferencia se han de hacer a la cuenta XXXXX. Correos informa de un paquete pendiente de entrega y solicita el ingreso de XX EUR en una determinada cuenta por cualquier concepto plausible. La TGSS informa de un error en la última liquidación y da un plazo de 5 días para transferir el importe para evitar la apertura de expediente y el correspondiente recargo e intereses. Hay más… recientemente los miembros de una asociación profesional recibieron un correo solicitando determinado pago para un inminente congreso post-Covid, a descontar de la inscripción al mismo. Muchos de aquellos que habitualmente asisten a los congresos “picaron”.
Recientemente, HAS realizó una investigación relacionada con esta modalidad de fraude. Una empresa recibió una solicitud de presupuesto para una partida significativa de producto. El solicitante: ENEL, la empresa italiana de energía, dueña de la española Endesa. Tras pocos correos de continuación se formalizó el pedido (de casi 200.000 EUR). Solo después de que a su vencimiento no se pagara la factura, la empresa descubrió el fraude: ENEL no tenía nada que ver con ese pedido. La investigación confirmó que el producto fue desviado en ruta y descargado en una nave en el norte de Italia, de la cual se cargó al día siguiente y se perdió el rastro.
La propia Guardia Civil advierte de la capacidad de los delincuentes: “Es difícil saber si el correo es real porque suele haber sólo una pequeña diferencia en alguna letra o signo y pasa fácilmente inadvertido“. El FBI va más allá y califica el BEC como “uno de los delitos en línea más perjudiciales desde el punto de vista económico“. Además, en ocasiones las direcciones from suelen ser correctos y sólo se detecta el fraude al responder (y únicamente si el programa de correo presenta la dirección de envío y no solo el nombre).
¿Cómo protegerse? A las medidas ya publicadas para la prevención del fraude del CEO, se añaden las siguientes:
-
- Revise cuidadosamente la dirección de e-mail de respuesta o de la página web. Busque cambios respecto de la dirección from o pequeñas diferencias con la oficial.
- Verifique personalmente y por otro canal (teléfono o fax, por ejemplo) cualquier solicitud atípica de pago o de cambio de medio o domicilio de pago.
- Sea especialmente precavido cuando el mensaje urge a actuar rápidamente.
- Recuerde que la situación actual y el teletrabajo favorecen a este tipo de fraudes.
Permítanos añadir uno más:
Consulte con su despacho de investigación privada: los Detectives Privados somos especialistas en analizar mensajes de correo electrónico. En cuestión de minutos podemos alertarle sobre intentos de fraude. Esto le evitará sufrir las consecuencias de casos como los comentados.
En HAS llevamos desde 1972 aportando soluciones en la lucha contra el fraude. ¿Se le ocurre un partner mejor para evitar ser víctima de los ciberdelincuentes?. Con HAS, querer es saber.
