El fraude por correo electrónico empresarial, o BEC, es uno de los tipos de fraude más costosos a los que se enfrentan las empresas. A diferencia del phishing, que se envía a miles de personas a la vez, el BEC está dirigido a objetivos específicos. Los delincuentes investigan una empresa, averiguan quién aprueba los pagos y elaboran mensajes diseñados para parecer completamente auténticos.
A menudo no hay malware ni pirateo evidente. El fraude funciona porque se persuade a alguien de confianza para que apruebe un pago o comparta información confidencial; por eso, al BEC se le suele llamar un fraude de confianza en lugar de un fraude tecnológico.
Puede ocurrirle a una empresa de cualquier tamaño. Las organizaciones más grandes resultan atractivas por el mayor valor de sus transacciones, pero las empresas más pequeñas suelen ser objeto de ataques precisamente porque cuentan con menos controles formales.
Cómo funciona
El fraude suele comenzar mucho antes de que aparezca cualquier solicitud de pago. Los delincuentes recopilan información de sitios web públicos, redes sociales, anuncios de la empresa, relaciones con proveedores y organigramas, y se hacen una idea de cómo y quién aprueba los pagos.
A continuación, crean una dirección de correo electrónico convincente, ponen en peligro un buzón real o suplantan la identidad de alguien que ya participa en una transacción legítima. Como el correo parece formar parte de la actividad empresarial cotidiana, la solicitud de pago suele procesarse sin revisarla detenidamente.
Algunos ataques utilizan facturas falsas. Otros solicitan que se cambien los datos bancarios de un proveedor. En los casos más sofisticados, los estafadores leen cadenas de correos reales durante semanas antes de intervenir en el momento más convincente.
Cómo puede presentarse
Un equipo financiero está esperando una factura de un proveedor habitual. Unos días antes de su vencimiento, llega un correo en el que se indica que el proveedor ha cambiado sus datos bancarios. El momento parece adecuado, el lenguaje resulta familiar y la solicitud parece razonable, por lo que se realiza el pago.
Semanas después, el proveedor real se pone en contacto para preguntar por qué no se ha pagado su factura. Es entonces cuando la empresa descubre que el dinero fue a parar a un delincuente. El fraude funcionó porque se integró perfectamente en un proceso empresarial normal.
Por qué funciona esta estafa
El BEC tiene éxito por el comportamiento humano, no por la tecnología. Los estafadores explotan la confianza, la rutina y la urgencia: cuando una solicitud encaja en un patrón familiar, naturalmente parece menos arriesgada.
Los empleados no están actuando con descuido. Están procesando lo que parece una transacción ordinaria, porque eso es exactamente lo que el estafador quiere que parezca.
Cómo proteger tu empresa
La defensa más eficaz es la verificación independiente. Nunca cambies las instrucciones de pago basándote únicamente en la información de un correo electrónico: confirma cualquier cambio utilizando los datos de contacto que ya tienes registrados, no los datos incluidos en la propia solicitud.
Otros controles que ayudan:
- Aprobación doble de los pagos
- Separación de funciones
- Límites de pago
- Procedimientos de verificación de proveedores
- Formación para identificar fraudes
- Un proceso de escalamiento para solicitudes inusuales
La prevención del fraude funciona mejor cuando estos controles funcionan conjuntamente, no de forma aislada.
Conclusión clave
Una solicitud de pago puede parecer completamente legítima y aun así ser fraudulenta. La confianza nunca debe sustituir a la verificación.
Artículos relacionados
- ¿Qué es el fraude de facturas?
- ¿Qué es el fraude de proveedores?
- ¿Qué es el fraude del director ejecutivo?
- ¿Cómo pueden las empresas protegerse del fraude en los pagos?