Kaspersky alerta de una campaña de phishing dirigida a empresas en la que los ciberdelincuentes se hacen pasar por empleados legítimos para solicitar cambios urgentes en las cuentas bancarias asociadas al cobro de nóminas. En los correos detectados, los atacantes utilizan nombres reales o aparentemente legítimos y solicitan al departamento correspondiente modificar la cuenta bancaria “por problemas con la cuenta actual”, con el objetivo de desviar futuros pagos salariales a cuentas controladas por los propios ciberdelincuentes.
Este tipo de fraude, conocido como Business Email Compromise (BEC), se apoya en técnicas de ingeniería social y en la aparente normalidad del mensaje para evitar levantar sospechas. Los correos suelen emplear un tono educado y creíble, sin enlaces maliciosos ni archivos adjuntos, lo que dificulta su detección mediante filtros tradicionales de seguridad. Además, los ciberdelincuentes aprovechan información pública o filtraciones previas para personalizar los mensajes y aumentar su credibilidad.
Según los analistas de Kaspersky, este tipo de campañas están creciendo especialmente contra departamentos de recursos humanos, administración y finanzas, ya que un simple cambio de cuenta bancaria no verificado puede traducirse directamente en fraude financiero.
En muchos casos, los ciberdelincuentes utilizan cuentas comprometidas o dominios muy similares a los legítimos para reforzar la apariencia de autenticidad.
“Los ataques BEC ya no dependen únicamente de enlaces maliciosos o malware. Cada vez más campañas se basan exclusivamente en manipulación psicológica y suplantación de identidad para engañar a empleados y departamentos internos. Un simple correo aparentemente legítimo puede provocar pérdidas económicas importantes si no existen protocolos de verificación adecuados”, explica Marc Rivero, Lead Security Researcher de Kaspersky.
Para evitar caer en este tipo de fraudes, los analistas de Kaspersky recomiendan:
Verificar siempre cualquier solicitud de cambio de cuenta bancaria a través de otro canal independiente, como llamada telefónica o comunicación interna corporativa.
Desconfiar de mensajes urgentes relacionados con pagos, nóminas o transferencias.
Implementar procedimientos internos de doble validación para modificaciones financieras o administrativas sensibles.
Revisar cuidadosamente la dirección del remitente y posibles variaciones en dominios o nombres.
Formar periódicamente a empleados y departamentos administrativos sobre técnicas de phishing y fraude BEC.
Contar con soluciones de seguridad capaces de detectar intentos de suplantación y actividades sospechosas en el correo corporativo.
