Fraude BEC: qué es y cómo evitarlo

Ya se sabe que los ciberdelincuentes no pierden el tiempo. Cualquier fisura digital es buena para colarse e intentar estafar a los usuarios. Existen muchos tipos de fraude siendo el phishing uno de los más conocidos. 

Pero no es el único ni mucho menos. El Instituto Nacional de Ciberseguridad (Incibe) mantiene muy activas todas las alertas sobre las estafas de las que son víctimas algunos internautas. Una de las últimas denunciadas por la entidad ha sido bautizada como BEC. Pero, ¿qué se sabe sobre esta estafa? Te lo contamos. 

Suplantando a proveedores

El caso de una propietaria de una tienda ha sido el que ha destapado el fraude BEC, unas siglas que se corresponde con Business E-mail Compromise o correo electrónico corporativo comprometido). 

El caso es que esta mujer denuncia a Incibe haber sido víctima de estafa después de descubrir que los ciberdelincuentes habían suplantado la identidad de uno de sus proveedores. Como dueña del negocio, esta mujer estaba actuando como intermediaria entre el proveedor y un cliente que quería comprar un producto a través de ella. 

Sin levantar sospechas 

La afectada relató que, durante las conversaciones que estaban manteniendo para llegar a un acuerdo, recibió un correo electrónico, en el que el supuesto proveedor le informaba de un nuevo número de cuenta bancaria para recibir los pagos.  

Al recibir este mensaje, la propietaria de la tienda no había sospechado nada anómalo. ¿Por qué? Porque "estaba incluido en un hilo de otros correos que habían intercambiado anteriormente". Es por ello que trasladó al cliente el nuevo número de cuenta y este realizó la transferencia. 

Un dinero no recibido

"Hasta ese momento, pensaba que toda la transacción se había realizado correctamente, pero días después, recibió una llamada telefónica del proveedor comentándole que no había recibido el dinero acordado", relata Incibe. 

Una información que sí puso en alerta a la mujer. Ella estaba completamente segura de que el cliente había realizado la transferencia al proveedor. Fue entonces cuando se percató de que todo se trataba de una estafa en la que los ciberdelincuentes habían suplantando la identidad del proveedor. 

Qué hacer si eres el comercio ante un fraude BEC 

Incibe explica que la técnica utilizada en las estafas BEC se conoce como MITM (Man in the middle o hombre en el medio). Al parecer, la brecha digital por la que se cuelan los estafadores puede proceder tanto del propio proveedor como del comerciante. 

Así, el citado organismo recomienda a ambos sujetos seguir las siguientes pautas:

• Comprobar las reglas y los filtros de reenvío en el buzón de correo. 
• Revisar los logs de acceso. 
• Examinar los usuarios de acceso al correo y eliminar los que no se reconozcan, en caso de existir.
• Comprobar los sistemas de monitorización y el tráfico SMTP.
• Actualizar las contraseñas de acceso.
• Activar el segundo factor de autenticación, siempre que sea posible.
• Usar soluciones y herramientas antivirus/antimalware periódicamente.
• Mantener todos los sistemas actualizados.
• En caso de disponer aún del correo electrónico fraudulento, reportarlo al equipo de incidentes de INCIBE-CERT. 
• Recabar todas las pruebas posibles. 
• En el caso del proveedor, interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado por suplantación.
• En caso de sospechar de que exista peligro de acceso a datos sensibles por parte de los ciberdelincuentes, el responsable de Tratamiento de Datos de la empresa deberá ponerse en contacto con la AEPD para informarles sobre la brecha de seguridad sufrida antes de que pasen 72 horas de los hechos.

Qué hacer si eres el cliente ante un fraude BEC

El Incibe también establece un procedimiento de actuación en caso de ser el cliente estafado. Lo primero es recopilar todas las pruebas de los hechos acontecidos e interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado por estafa. 

Además, hay que acudir a la entidad bancaria con una copia de la denuncia para intentar recuperar el dinero. En caso de no conseguirlo, se puede presentar una reclamación para recuperar el importe a través del Banco de España.