El phishing no es el único riesgo digital al que se enfrentan las empresas latinoamericanas. Una muestra clara de esto es el ataque BEC (Business Email Compromise), una estafa dirigida que aprovecha la confianza entre empleados, directivos y proveedores para desviar pagos o robar información.
Por eso hemos elaborado una completa guía en la que les explicamos en qué consiste, cómo funciona, qué lo diferencia de otras estafas por correo electrónico a empresas, cómo prevenirlo y qué pasos seguir si su negocio resulta afectado.
¿Qué es el compromiso de correo empresarial (BEC) y cómo funciona?
El compromiso de correo empresarial es una modalidad de ingeniería social en la que un delincuente suplanta o controla la cuenta de una persona de confianza para convencer a un empleado de transferir dinero, modificar datos bancarios o entregar información sensible. No siempre incluye enlaces, archivos dañinos ni señales evidentes.
- Para ejecutarlo, el atacante investiga a la empresa, sus responsables, proveedores y rutinas internas de pago.
- Después, falsifica una dirección parecida o accede a una cuenta real mediante credenciales robadas, malware o contraseñas reutilizadas.
- Puede observar conversaciones durante semanas y esperar una factura, nómina o transferencia importante.
- Es entonces cuando envía una instrucción creíble y urgente para cambiar la cuenta de destino.
- Una variante frecuente es el fraude del CEO, en el que se suplanta a un directivo para presionar al área financiera.
Diferencias clave entre un ataque BEC (Business Email Compromise) y el phishing tradicional
Aunque estos dos tipos de amenaza utilizan engaños por correo, la diferencia entre BEC y phishing está, sobre todo, en el grado de investigación, personalización, objetivo económico y forma de evadir los controles técnicos tradicionales.
- Alcance: El phishing suele distribuir mensajes masivos a destinatarios. Un BEC elige a personas concretas dentro de la empresa, como responsables de finanzas, nóminas, compras o dirección.
- Personalización: Muchas campañas de phishing usan plantillas genéricas. El BEC, sin embargo, estudia nombres, cargos, proveedores, proyectos y formas de comunicación para construir una solicitud creíble con la actividad real de la empresa.
- Contenido: El phishing suele buscar clics en enlaces falsos, descargas de archivos o entrega de contraseñas. El BEC, por su parte, puede limitarse a un texto aparentemente normal que solicita pagar una factura o cambiar datos bancarios.
- Origen del mensaje: En el phishing es habitual encontrar dominios extraños o remitentes desconocidos. En el BEC, el mensaje puede proceder de una cuenta corporativa comprometida o de un dominio casi idéntico.
- Finalidad: Ambos pueden robar información, pero el BEC persigue con frecuencia transferencias, pagos desviados, datos fiscales o nóminas, aprovechando la autoridad y la confianza internas.
Por eso resulta tan importante usar antivirus para pequeñas empresas como el que les ofrecemos en GoDaddy. ¡Y también formar a sus empleados para poder prevenir un ataque BEC antes de que sea demasiado tarde!
Impacto real: Costes y ejemplo de una estafa de correo empresarial
El impacto económico de un ataque BEC (Business Email Compromise) va mucho más allá del dinero transferido. Según el informe IC3 de 2025, el FBI recibió 24.768 denuncias de BEC que acumularon más de 3.046 millones de dólares en pérdidas.
A ello se suman aspectos como los siguientes:
- Investigación técnica.
- Interrupción operativa.
- Asesoría legal.
- Deterioro de la confianza con clientes y proveedores.
Para una pequeña empresa, un ataque BEC puede comprometer su liquidez hasta cotas insospechadas.
Imaginemos una distribuidora latinoamericana que importa equipos y paga a un proveedor extranjero. Un delincuente accede al correo del proveedor, estudia conversaciones y detecta que está por emitirse una factura de 80.000 dólares. Poco antes del vencimiento, responde dentro del hilo legítimo y comunica que, por una ‘auditoría’, el pago debe enviarse a una cuenta nueva.
El mensaje conserva firmas, tono y datos reales, por lo que el responsable administrativo modifica el beneficiario sin verificarlo por teléfono. Días después, el proveedor reclama la factura pendiente y la empresa descubre que el dinero fue transferido a una cuenta controlada por los atacantes. Game over.
Este caso hipotético reproduce el método del incidente en Peterborough, Estados Unidos, en 2021. En este caso, cuentas de proveedores de construcción fueron comprometidas y se redirigieron pagos municipales, causando pérdidas de 2,3 millones de dólares.
En una pyme latinoamericana, una situación similar podría impedir pagar salarios, frenar compras, generar deudas y obligar a suspender operaciones. Además, podría abrir disputas sobre quién debe asumir la pérdida: la empresa que pagó, el proveedor suplantado o el banco que procesó la transferencia.
4 señales de alerta para detectar un ataque BEC en tu empresa
Un ataque BEC (Business Email Compromise) puede parecer un mensaje de un jefe, un proveedor o un compañero. Por eso es importante saber reconocer cambios en el tono, contenido o presentaciones sospechosas. ¡Es básico para detener el engaño antes de autorizar pagos o compartir datos sensibles!
1. Una urgencia inusual o difícil de justificar
La urgencia busca que la persona actúe antes de comprobar la solicitud. Desconfía de facturas presentadas como vencidas, transferencias que deben completarse en pocas horas o mensajes con expresiones como ‘inmediatamente’ o ‘actúa ahora’.
También son señales de alerta los cambios de última hora en instrucciones bancarias o datos del beneficiario. Ante esa presión, detengan todo el proceso y confirmen el pedido por un canal independiente, usando un teléfono previamente registrado, no el número incluido en el propio correo sospechoso. ¡La prisa injustificada nunca debe sustituir los controles internos establecidos!
2. Errores ortográficos o cambios en la forma de escribir
Los errores ortográficos, las frases poco naturales o un estilo distinto al habitual pueden revelar una suplantación. Por eso es importante detenerse a comparar el mensaje con correos anteriores del supuesto remitente: saludo, firma, vocabulario y forma de solicitar acciones.
Sin embargo, esta señal no basta por sí sola, porque los delincuentes pueden copiar conversaciones reales o utilizar herramientas capaces de redactar textos correctos. Si aparece un cambio inesperado, confirmen la identidad del remitente mediante otro canal antes de responder, abrir archivos, facilitar información o aprobar cualquier movimiento financiero que les hayan solicitado.
3. Solicitudes inesperadas o no solicitadas
Una petición que llega sin contexto merece una revisión especial, aunque parezca proceder de un directivo o proveedor conocido. Puede solicitar una transferencia extraordinaria, la compra de tarjetas de regalo, el envío de documentos fiscales o un cambio de cuenta bancaria. También debe levantar sospechas cualquier instrucción que rompa el procedimiento habitual o pida mantener lo que les piden en secreto.
Antes de actuar, revisen si existe una factura, contrato o conversación previa que justifique la solicitud y consulten directamente con la persona o empresa implicada sin responder al mensaje original.
4. Logotipos o elementos gráficos de mala calidad
Los logotipos borrosos, deformados, pixelados o con colores diferentes a los corporativos pueden indicar que el mensaje fue construido copiando recursos visuales de una empresa. Revisen también la alineación de la firma, las tipografías, los avisos legales y cualquier diferencia respecto de comunicaciones anteriores.
Aún así, una imagen perfecta no garantiza autenticidad: algunos atacantes usan cuentas legítimas comprometidas y conservan toda la identidad gráfica. De ahí que la señal deba evaluarse junto con el remitente, la petición realizada y cualquier cambio en los datos de pago o en la forma habitual de comunicarse.
Cómo proteger tu negocio contra el fraude de correo empresarial
Proteger el negocio exige combinar tecnología, procedimientos y formación continua. Estas medidas refuerzan la seguridad de correo corporativo, reducen la suplantación de identidad y ayudan a prevenir un ataque BEC antes de que llegue a provocar pérdidas.
- Activar la autenticación multifactor: Exige una segunda prueba de identidad para acceder al correo. Así, una contraseña robada resulta del todo insuficiente para tomar el control de la cuenta.
- Configurar SPF, DKIM y DMARC: Estos protocolos autentican los mensajes enviados desde el dominio, dificultan la suplantación y permiten decidir cómo tratar correos que no superan las comprobaciones.
- Exigir contraseñas robustas: Utilizar claves largas, únicas y difíciles de adivinar. Un gestor de contraseñas facilita generarlas y evita reutilizarlas en diferentes servicios de la empresa.
- Capacitar periódicamente al equipo: Enseña a reconocer solicitudes urgentes, cambios bancarios y mensajes inusuales. Esto incluye simulaciones adaptadas a los riesgos cotidianos de cada área del negocio.
- Identificar a los empleados más expuestos: Refuerza la protección de dirección, finanzas, nómina, recursos humanos y compras, pues manejan pagos, información sensible o comunicaciones ejecutivas.
- Facilitar el reporte de incidentes: Establece un canal rápido y conocido para avisar a TI o al responsable de ciberseguridad para negocios, sin culpabilizar a quien comunique el error o una posible sospecha.
Plan de acción: Qué hacer si tu empresa ya ha sido víctima de un ataque
Descubrir un incidente como este no significa que todo esté perdido: una respuesta inmediata puede limitar transferencias, accesos no autorizados y filtraciones.
El equipo debe comunicar lo ocurrido sin temor, conservar evidencias y seguir el siguiente procedimiento paso por paso:
- Activar la respuesta interna: Informar a TI, dirección y finanzas, conservar correos, encabezados, comprobantes, horarios y datos de las cuentas involucradas. Y, por supuesto, no borrar las evidencias.
- Proteger las cuentas: Cambiar las contraseñas afectadas, cerrar sesiones abiertas, activar la autenticación multifactor y revisar reglas de reenvío, accesos recientes y modificaciones sospechosas.
- Contactar con el banco: Solicitar detener, congelar o recuperar la transferencia y pedir que se comunique con la entidad receptora, entregando además todos los datos disponibles.
- Denunciar y comunicar: Reportar el fraude ante la unidad de ciberdelitos competente en su país. Avisar a proveedores, clientes o empleados cuyos datos puedan haberse visto comprometidos.
Actúen cuanto antes para reducir peligros y costos de un ataque BEC (Business Email Compromise), ¡es la mejor forma de defenderse!
