En el mundo de la ciberseguridad corporativa se suele meter todo en la misma bolsa y decirle phishing a cualquier correo malicioso. Pero ojo, porque hay un ataque mucho más peligroso y especializado que le está costando millones a las empresas: el BEC (Business Email Compromise) o compromiso de correo corporativo.
Aunque ambos usan la ingeniería social y se parecen mucho, no son lo mismo. Para entender la diferencia de forma fácil, miralo así:
- El Phishing es como un pescador con red: Tira el anzuelo a ver quién cae de forma masiva.
- El BEC es como un impostor que se disfraza de tu jefe: Se mete a la oficina y te pide las llaves de la caja fuerte mirándote a los ojos.
Vamos a ver en qué se diferencian realmente y por qué uno de ellos puede engañar hasta al ojo más entrenado en el SOC.
Phishing tradicional: Ataque en masa (El clásico)
El phishing de toda la vida se caracteriza por ser genérico y masivo. Sí, hoy en día con la Inteligencia Artificial ha evolucionado, está mejor redactado y se ve más real, pero la estrategia sigue siendo enviar el mismo correo a miles de personas a la vez (Spam).
¿Cómo es? El típico correo de gana tal premio, actualiza tus datos de Netflix o tu paquete de Amazon está retenido, haz clic aquí. El truco: Viene de cualquier fuente de correo externa y casi siempre lleva un enlace raro o un archivo adjunto malicioso. Para un ojo entrenado en el SOC, detectar estas señales es relativamente fácil.
Nota: Existe el Spear Phishing (que es dirigido a una persona), y por eso la gente lo confunde con el BEC, pero la clave está en el remitente y la infraestructura, como verás ahora.
BEC (Business Email Compromise): El enemigo en casa
El ataque BEC es quirúrgico. Aquí el atacante no se hace pasar por un banco; se hace pasar por alguien de tu propia empresa (tu jefe, un compañero de otro departamento o un proveedor de confianza).
¿Cómo logran los ciberdelincuentes que el correo se vea tan real? Aquí está la magia y el peligro:
- Robo de cuentas reales: El atacante hackeó o robó las credenciales de tu jefe o compañero, entró a su correo legítimo y te está escribiendo desde ahí dentro.
- Malas configuraciones de correo: Explotando técnicas de spoofing y configuraciones débiles en los servidores de la empresa, logran enviar un correo falso que simula perfectamente el dominio corporativo. Como solemos decir en ciberseguridad: muchas veces no es que el atacante sea un genio, es que una mala configuración le facilita el camino.
Por eso el BEC es letal: Si el correo viene literalmente de mijefe@dominiodemiempresa.com, la confianza automática se activa y hasta el analista más experto podría fallar.
¿Cómo saber entonces si es real o no?
En ciberseguridad, cualquier cosa que se salga de la línea base es una señal de alerta. Si algo se siente raro en tu bandeja de entrada o de otro miembro de la empresa, tómate un tiempo y revisa esto:
- La etiqueta de correo externo: Si dice ser tu jefe pero los sistemas de la empresa lo marcan como [EXTERNO], ahí hay algo raro.
- Urgencia y cosas fuera de lugar: Si te piden un pago rápido, cambiar la cuenta bancaria de un proveedor o enviar datos confidenciales de la nada, sospecha.
- Confirmar por fuera: No respondas ese correo. Llama a tu compañero por teléfono o escríbele por chat interno para verificar.
El análisis bajo el capó para el Blue Team
Si estás analizando el correo sospechoso desde el SOC, los encabezados no mienten. Nuestras mejores armas técnicas para revisar la legitimidad del correo son:
- SPF: Verifica qué IPs tienen permiso para enviar correos en nombre del dominio.
- DKIM: Asegura mediante una firma digital que el correo no fue alterado en el camino.
- DMARC: Le dice al servidor qué hacer (bloquear o permitir) si el SPF o el DKIM fallan.
Tus herramientas aliadas
Si te llega un correo sospechoso y te toca investigarlo a fondo, no te olvides de este kit básico que usamos los analistas:
- SOCRadar: Brutal para Threat Intelligence y revisar si hay dominios o correos comprometidos de tu empresa.
- MxToolbox: Ideal para auditar rápidamente la salud de un dominio y ver sus registros SPF/DKIM/DMARC.
- VirusTotal: El poderoso de siempre para analizar enlaces o archivos adjuntos en un entorno seguro antes de interactuar con ellos.
- AnyRun: Una Sanbox que en su versión gratis te dara mucha información relevante para tu investigación.
En conclusión: El phishing busca pescar a cualquiera que se descuide, pero el BEC va directo a atacar la confianza interna de la organización. Por eso, rotar contraseñas constantemente y auditar los correos comprometidos es vital para proteger a tu empresa. De igual forma, enseñarle a los colaboradores a detectar estas técnicas es de suma importancia, porque no por nada la capa 8 sigue siendo de los principales vectores de entrada.
0 Comentarios