Fraude al CEO: la ciberestafa que afecta cada vez a más empresas
El ‘fraude del CEO’ puede afectar a cualquier tipo de compañía, desde pequeños negocios familiares a grandes multinacionales, por ello es importante entender cómo funciona para protegerse de él.
El denominado "Fraude al CEO" es un tipo de estafa realizada a través de correo electrónico en el que se suplanta a un directivo de una entidad para solicitar a un empleado del departamento financiero que realice una transferencia confidencial y urgente.
Se trata de una estafa que tiene como objetivo engañar a empleados para que paguen una factura o realicen una transferencia desde la cuenta de la empresa a una cuenta del cibercriminal. Consiste en que un empleado de alto rango, o el contable de la empresa, con capacidad para hacer transferencias o acceso a datos de cuentas, recibe un correo en el que se pide ayuda para una operación financiera confidencial y urgente.
¿Cómo ocurren estos fraudes?
Los estafadores, antes de realizar cualquier paso o actuación, suelen encargarse de recopilar toda la información posible por adelantado para conocer bien cómo funciona la empresa y que sus mensajes resulten creíbles.
En casos más sofisticados pueden incluso previamente haber espiado, mediante un malware espía, los correos electrónicos para imitar el estilo de escritura del jefe. También han podido previamente robar las credenciales de acceso del jefe a su cuenta de correo para enviar el correo desde esta misma cuenta.
Una vez que disponen de la informacion suficiente que necesitan para iniciar la estafa, las formas más habituales en que la que operan los ciberdelincuentes, son mediante el envío de un mail:
-Contactan haciéndose pasar por un directivo para una compra u operación comercial urgente, donde se requiere rapidez y discreción. En muchas ocasiones aprovechan que el CEO está de viaje o saben que no va a contestar al teléfono durante un tiempo.
-Contactan haciéndose pasar por un proveedor que de forma urgente requiere cambiar la cuenta corriente para el próximo.
¿Cómo lo hacen?
- Un estafador llama o envía correos electrónicos haciéndose pasar por un alto cargo de la compañía (p. ej. el Director General).
- Siempre van a conocer bien cómo funciona la organización.
- Solicita que se haga un pago urgente.
- El empleado transfiere los fondos a una cuenta controlada por el estafador.
- Las instrucciones sobre cómo proceder puede darlas posteriormente una tercera persona o por correo electrónico.
- Hace referencia a una situación delicada (p. ej. una inspección fiscal, una fusión o una adquisición).
- Solicita al empleado que no siga los procedimientos de autorización habituales.
El objetivo final siempre es engañar a la víctima para que realice una o varias transferencias de altas cuantías a la cuenta del criminal, pensando éste que está llevando a cabo una operación lícita.
En estos casos los cibercriminales demuestran un profundo conocimiento de la compañía, proveedores y sus empleados.
¿Cómo podemos prevenirlo?
- Si tienes sospechas sobre la veracidad de la identidad de quién te solicita la operación, contacta con éste por otro medio diferente al que él ha utilizado. Si te han remitido un email llama a esa persona o compañía directamente por teléfono. Si se trata de un proveedor desde un número no habitual, llama a su número conocido.
- Fijarse bien en las peticiones de transferencias a cuentas extranjeras, si no es lo habitual para la empresa.
- Si recibes un mensaje en el que te piden información confidencial o realizar alguna operación bancaria de forma urgente, asegúrate antes de facilitar cualquier dato
- Revisa los mensajes que recibes y comprueba si hay señales de phishing. Aprende cómo identificar un correo de estas características.
- Implantar procedimientos seguros para realizar pagos, que exijan doble verificación
- Mantén tu sistema operativo y las aplicaciones siempre actualizadas.
- instalar y configurar filtros antispam y un buen antivirus; mantenerlo al día, actualizando el software y las firmas de malware;
- Implantar protocolos internos para los pagos
- Revisar siempre las direcciones de correo cuando manejes información delicada o hagas transferencias.
- No abras nunca enlaces o adjuntos sospechosos recibidos por correo. Ten especial cuidado al consultar tu correo personal en los ordenadores de la empresa.
¿Cómo debo actuar si he sido víctima de este fraude?
El Ministerio de Interior recomienda:
- Anotar los correos y teléfonos desde los que han recibido la comunicación.
- Apuntar las cuentas en las que se ha realizado el ingreso y recopila toda la información que pueda ser relevante y permita el rastreo de los atacantes.
- Denunciar los hechos.
Un segundo paso, podría ser sensibilizar y concienciar a tus empleados sobre diferentes técnicas de protección y buenas prácticas de seguridad de la información, así como implantar procedimientos seguros para realizar los pagos que requieran de una doble verificación.