{"id":19339,"date":"2019-09-23T16:35:12","date_gmt":"2019-09-23T14:35:12","guid":{"rendered":"https:\/\/www.kaspersky.es\/blog\/?p=19339"},"modified":"2019-11-22T10:46:54","modified_gmt":"2019-11-22T08:46:54","slug":"bec-toyota","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/bec-toyota\/19339\/","title":{"rendered":"El compromiso de un e-mail corporativo puede costar millones"},"content":{"rendered":"

En general, las cuentas secuestradas se utilizan para distribuir spam<\/em> y esquivar los filtros. No obstante, una bandeja de entrada secuestrada se puede utilizar para cosas m\u00e1s desagradables, como un ataque BEC<\/a> (siglas en ingl\u00e9s de \u201ccompromiso de correos electr\u00f3nicos corporativos\u201d). El mes pasado, una filial de Toyota Boshoku Corporation se enfrent\u00f3 a esta estafa que le gener\u00f3 p\u00e9rdidas por valor de 4 mil millones de yenes (m\u00e1s de 37 millones de d\u00f3lares).<\/p>\n

\u00bfQu\u00e9 ha sucedido?<\/h3>\n

Seg\u00fan el comunicado oficial<\/a> de la compa\u00f1\u00eda que sali\u00f3 a la luz el 6 de septiembre, y las publicaciones<\/a> de los medios de comunicaci\u00f3n, una serie de ciberdelincuentes an\u00f3nimos lanzaron un ataque BEC. La investigaci\u00f3n del incidente sigue en curso y todav\u00eda no se ha rebelado informaci\u00f3n, por lo que no podemos afirmar si los atacantes utilizaron la bandeja de entrada o si simplemente se hicieron pasar por otra persona. Lo que s\u00ed sabemos es que las p\u00e9rdidas se deben a una serie de instrucciones fraudulentas de transferencia bancaria que alguien de la compa\u00f1\u00eda interpret\u00f3 como leg\u00edtimas.<\/p>\n

Inmediatamente despu\u00e9s de la transferencia, los expertos de seguridad de Toyota se percataron de que el dinero hab\u00eda acabado en cuentas externas a la compa\u00f1\u00eda, pero ya era demasiado tarde para cancelar la transferencia. Actualmente, la empresa sigue trabajando para recuperar los fondos.<\/p>\n

\u00bfQu\u00e9 es un ataque BEC?<\/h3>\n

Un ataque BEC no tiene por qu\u00e9 implicar el secuestro de la bandeja de entrada de otro usuario. A veces los ciberdelincuentes intentan hacerse pasar por altos cargos o socios de la compa\u00f1\u00eda con direcciones de terceros. No obstante, utilizar la cuenta de correo de un empleado facilita mucho el ataque ya que, despu\u00e9s de todo, recibir un mensaje de alguien habitual resulta mucho menos sospechoso.<\/p>\n

Para que el ataque funcione, el ciberdelincuente debe contar con amplios conocimientos en ingenier\u00eda social, ya que hacerse pasar por otra persona y convencer a un usuario de que haga algo no es una tarea f\u00e1cil. Una vez m\u00e1s, secuestrar una bandeja de entrada facilita el trabajo del atacante, pues, tras estudiar los contenidos enviados y recibidos, les permite imitar el estilo y car\u00e1cter de la persona con el objetivo de que resulte m\u00e1s convincente.<\/p>\n

El objetivo de un ataque BEC no siempre es una transferencia de fondos (convencer a alguien para que env\u00ede millones de d\u00f3lares no es nada f\u00e1cil). Es mucho m\u00e1s com\u00fan que los atacantes intenten extraer datos confidenciales de la v\u00edctima.<\/p>\n

Otros ejemplos de ataques BEC<\/h3>\n

El ataque a Toyota no es en absoluto el primer caso de este tipo. Este a\u00f1o hemos escrito<\/a> varias veces sobre una estrategia<\/a> que tiene como objetivo hacerse con las cuentas de empleados. En mayo contamos c\u00f3mo un grupo de ciberdelincuentes hab\u00eda enga\u00f1ado a un club de f\u00fatbol<\/a> para que utilizara informaci\u00f3n de pago incorrecta en el traspaso de un jugador. El mes pasado, unos estafadores intentaron robar 2,9 millones de d\u00f3lares<\/a> a Escuelas P\u00fablicas de Portland (Oreg\u00f3n) y, en julio, el organismo Escuelas del Condado de Cabarrus (Carolina del Norte) perdi\u00f3 1,7 millones de d\u00f3lares<\/a> tras recibir instrucciones falsas por correo electr\u00f3nico. En primer lugar, el personal transfiri\u00f3 2,5 millones de d\u00f3lares, supuestamente para la construcci\u00f3n de una nueva escuela, pero despu\u00e9s recuper\u00f3 parte de los fondos.<\/p>\n

C\u00f3mo evitar caer en la trampa<\/h3>\n

Los medios t\u00e9cnicos no son suficientes para protegerte de la ingenier\u00eda social, sobre todo si los atacantes son una serie de profesionales con acceso al buz\u00f3n real de la persona por la que se intenta hacer pasar. Por tanto, te recomendamos esta serie de consejos para evitar la estafa:<\/p>\n