Microsoft ha publicado nuevos hallazgos que afirman que los ataques transmitidos por correo electrónico se están volviendo no solo más destructivos, sino también más difíciles de detectar.
Como se ve en el informe Cyber Señales de la compañía, la cantidad de ataques de compromiso de correo electrónico comercial (BEC) que enfrentan las empresas a diario ha llegado a 156,000, lo que representa un aumento del 38% en comparación con 2019.
Durante un ataque BEC, un actor de amenazas intentará hacerse pasar por un oficial de alto rango dentro de una organización (por ejemplo, un director financiero o similar) e intentará usar su autoridad para conseguir que un empleado (por ejemplo, alguien en el departamento de finanzas) para transferir fondos de forma rápida y silenciosa. A menudo, el «CFO» dirá que la empresa está finalizando la compra de un competidor, un proceso que debe mantenerse en secreto, y le pedirá al empleado que transfiera los fondos «urgentemente».
Pérdidas millonarias
Los resultados son devastadores, con empresas que pierden millones de dólares en transacciones fraudulentas. Microsoft citó el reciente Informe del costo de los delitos cibernéticos del gobierno del Reino Unido, que afirma que estos ataques le cuestan a la economía del país aproximadamente 27 mil millones de libras esterlinas cada año. La Oficina Nacional de Inteligencia contra el Fraude (NFIB) recibió más de 40 000 informes de organizaciones de víctimas entre abril de 2022 y 2023. Estas empresas parecen haber perdido más de 2200 millones de libras esterlinas en ese período de tiempo.
Además, los efectos del incidente se pueden sentir en los próximos meses y años, a través del robo de identidad y la filtración de datos.
BEC se ha vuelto más popular últimamente, lo que ha llevado a algunos ciberdelincuentes a facilitar la práctica a través de diferentes servicios. Algunos operadores de delitos cibernéticos como servicio (CaaS) pueden proporcionar credenciales y la dirección IP de las víctimas, lo que permite a los actores de amenazas lanzar fácilmente campañas de Business Email Compromise (BEC) que son más difíciles de detectar e interrumpir.
A través de CaaS, los actores maliciosos pueden comprar paquetes comerciales completos en la web oscura, que les brindan todo lo que necesitan para lanzar un ataque exitoso, concluyó la compañía.
«Los ataques BEC ofrecen un gran ejemplo de por qué el riesgo cibernético debe abordarse de manera transversal con los oficiales de TI, cumplimiento y riesgo cibernético en la mesa junto con ejecutivos y líderes, empleados de finanzas, gerentes de recursos humanos y otros con acceso a registros de empleados como números de seguro social, declaraciones de impuestos, información de contacto y horarios», señaló Vasu Jakkal, vicepresidente corporativo de seguridad, cumplimiento, identidad y administración de Microsoft.