Suplantación de identidad y phishing dirigido a empresas

La suplantación de identidad en la empresa consiste en hacerse pasar por alguien de confianza, normalmente el gerente o un proveedor habitual, para que una persona concreta haga una transferencia, cambie un número de cuenta o entregue sus credenciales. Se diferencia del phishing masivo en que este se envía a miles de direcciones a ver quién pica, mientras que la suplantación va dirigida a una sola persona, elegida porque tiene acceso a los pagos. No explota un fallo del software: explota la confianza y la jerarquía.

En qué se diferencia del phishing masivo

El phishing genérico es un problema de volumen: cientos de miles de correos que imitan a un banco o a Microsoft, esperando que un pequeño porcentaje introduzca su contraseña en una página falsa. Los filtros lo detienen razonablemente bien porque la misma campaña se ve en muchos buzones a la vez.

La suplantación dirigida funciona al revés. El atacante averigua quién firma los pagos, quién lleva la contabilidad y cuándo hay vencimientos, y después envía uno o dos correos bien escritos a la persona adecuada. No hay campaña ni repetición, así que los filtros tienen poco de lo que agarrarse.

• Phishing masivo: muchos destinatarios, mensaje genérico, objetivo habitual robar contraseñas.
• Suplantación dirigida: un destinatario, mensaje adaptado a su empresa, objetivo habitual conseguir un pago.
• El primero se filtra con tecnología; el segundo se frena sobre todo con procedimiento.

El fraude del CEO y el cambio de IBAN

Es la variante que más dinero se lleva en una pyme y apenas usa tecnología. Tiene dos formas. En la primera llega un correo del supuesto director pidiendo una transferencia urgente y confidencial, casi siempre cuando está de viaje o en plena operación que justifica la discreción. En la segunda, más difícil de detectar, un proveedor real comunica que ha cambiado de banco. La factura es auténtica, el importe es el esperado y el interlocutor es el de siempre. Solo el IBAN es del atacante.

Funciona porque combina tres cosas que desactivan el juicio crítico de cualquier persona competente. La urgencia impide parar a pensar. La jerarquía hace que preguntar parezca una falta de confianza. Y el contexto es real: si el atacante lleva semanas leyendo un buzón comprometido, conoce el número de pedido y el importe pendiente. No adivina, cita datos correctos.

La verificación por segundo canal

La única defensa que funciona de verdad no es técnica. Cualquier cambio de datos bancarios y cualquier pago fuera de lo habitual se confirma por un canal distinto de aquel por el que llegó la petición. En la práctica, una llamada a un número que la empresa ya tenía de antes, nunca al que aparece en el correo o en la factura adjunta, porque lo ha escrito el atacante.

El procedimiento debe estar escrito, conocerlo todo administración y no admitir excepciones por urgencia, porque la urgencia es el instrumento del fraude. Y debe proteger a quien lo aplica: si verificar una orden del gerente incomoda, se dejará de verificar el día que importe.

Ningún pago urgente es tan urgente como para saltarse una llamada de dos minutos a un número conocido.

Cuando el correo sale de un buzón real

El escenario más incómodo no es el dominio falso parecido al del proveedor, sino el buzón legítimo comprometido. Basta con que alguien de la empresa, o de la del proveedor, introduzca su contraseña en una página falsa y no tenga segundo factor. A partir de ahí el atacante entra con credenciales correctas, sin romper nada.

Lo que hace después es paciente. Lee meses de correspondencia para aprender el tono, quién autoriza qué y en qué fechas se pagan las facturas. Cuando actúa, responde dentro del hilo real, con el asunto real y escribiendo como escribe esa persona. Por eso el consejo clásico de fijarse en las faltas de ortografía ha dejado de servir: el correo no es una imitación, es la continuación de una conversación auténtica desde la cuenta auténtica.

Reglas de reenvío ocultas

Lo primero que hace un atacante al entrar en un buzón es crear una regla que reenvíe a una dirección externa los mensajes con ciertas palabras, o que los archive en una carpeta poco visitada marcándolos como leídos. El objetivo es doble: seguir viendo la conversación aunque la víctima cambie la contraseña y ocultarle las respuestas incómodas, como la del proveedor que pregunta por ese cambio de cuenta.

Se detecta revisando las reglas y los reenvíos de cada buzón, algo que en Microsoft 365 se comprueba desde el cliente de correo o desde la administración. Conviene hacerlo de forma periódica y no solo ante una sospecha, porque una regla creada hace tres meses sigue funcionando hoy. Un reenvío a un dominio externo que nadie sepa justificar es un incidente, no una curiosidad.

Por qué el antivirus no lo detiene

El antivirus, incluso uno moderno con detección de comportamiento, busca ficheros y acciones maliciosas en los equipos. Aquí no hay adjunto, no hay enlace a un servidor conocido por malo y no se ejecuta nada. Hay un correo de texto correctamente autenticado, enviado desde una cuenta real por la infraestructura legítima del proveedor: técnicamente es indistinguible de uno bueno. El antivirus hace falta para otras amenazas, pero esperar que pare este fraude es pedirle algo para lo que no está diseñado.

Qué sí funciona, en orden de impacto

El orden importa porque el presupuesto y la atención de una empresa pequeña se gastan una sola vez. Estas medidas van ordenadas por lo que evitan frente a lo que cuestan.

1. Verificación en dos pasos en todas las cuentas de correo, sin excepciones. Incluidas las de dirección y las genéricas de administración, facturación o pedidos, que suelen quedarse fuera por comodidad y son las que un atacante busca.
2. Procedimiento escrito para cambios de datos bancarios y pagos fuera de lo normal, con verificación telefónica a un número conocido de antes y, si el importe lo justifica, doble autorización interna.
3. Formación breve y periódica con ejemplos reales de la propia empresa, y cultura de aviso sin castigo: quien crea que ha caído debe poder decirlo en cinco minutos, sin miedo. Las horas de silencio por vergüenza son lo que el atacante necesita.
4. Registro y revisión de accesos: inicios de sesión desde países donde no se trabaja, reglas de buzón nuevas y aplicaciones conectadas. No hace falta vigilarlo a diario, pero sí saber quién lo mira y cada cuánto.
5. Higiene del dominio de correo, con los registros de autenticación bien configurados, para dificultar la suplantación desde fuera.

Las dos primeras resuelven la mayor parte del problema y ninguna requiere comprar nada: el segundo factor corta el acceso a los buzones, origen habitual de todo lo demás, y la verificación corta el pago aunque el buzón ya esté comprometido.

La primera hora tras detectar el fraude

Si se ha hecho un pago o hay indicios claros de que una cuenta está comprometida, el orden de los primeros pasos condiciona lo que se puede recuperar después.

1. Avise al banco de inmediato si ya hay dinero enviado. Las primeras horas son las únicas con alguna posibilidad real de retener o retroceder la transferencia, y esa ventana se cierra rápido.
2. Cambie la contraseña de la cuenta afectada y cierre todas las sesiones activas, porque cambiar la contraseña sin revocar las sesiones deja al atacante dentro.
3. Revise las reglas de buzón, los reenvíos automáticos y las aplicaciones con permisos sobre esa cuenta, y elimine todo lo que no esté justificado.
4. Avise a dirección, a administración y al proveedor o cliente cuya conversación se ha usado, que probablemente también esté afectado.
5. Denuncie ante las Fuerzas y Cuerpos de Seguridad y conserve los correos originales con sus cabeceras completas y una cronología de lo ocurrido, que hará falta para la denuncia y para el seguro.
6. Revise a qué más daba acceso esa cuenta: ficheros compartidos, aplicaciones con inicio de sesión unificado y contraseñas reutilizadas.

Sobre protección de datos, la obligación de notificar a la Agencia Española de Protección de Datos en setenta y dos horas solo se activa si ha habido acceso a datos personales, algo probable en un buzón comprometido, y salvo que sea improbable que suponga un riesgo para los afectados. Si únicamente se ha enviado dinero a una cuenta equivocada y nadie ha entrado en ningún sistema, esa obligación no aparece.

Conclusión práctica

La suplantación de identidad no se detiene con más producto, sino con identidades protegidas y procedimiento. Verificación en dos pasos en todo el correo, una norma escrita que obligue a confirmar por teléfono cualquier cambio de cuenta bancaria, revisión periódica de las reglas de buzón y una cultura donde avisar de un error se agradezca en lugar de castigarse.

Si esta semana solo puede hacerse una cosa, que sea comprobar que el segundo factor está activo en todas las cuentas de correo y que no hay ninguna regla de reenvío externo que nadie recuerde haber creado. Son dos comprobaciones de una tarde y cubren el camino por el que entra la mayoría de estos fraudes.