El fraude BEC (Business Email Compromise) es un tipo de ataque que utiliza ingeniería social para hacerse pasar por empleados o socios de confianza. El objetivo es convencer a la víctima de que transfiera dinero o información confidencial a una cuenta controlada por el atacante. Las pequeñas empresas son objetivo frecuente precisamente porque tienen menos controles que las grandes.
Estas nueve prácticas cubren los principales vectores de ataque y se pueden poner en marcha sin grandes inversiones de presupuesto ni infraestructura.
Por qué el correo sigue siendo el principal punto de entrada
El correo electrónico mueve el 90% de los ataques de phishing y la mayoría de las infecciones por ransomware comienzan con un adjunto malicioso o un enlace en un mensaje aparentemente legítimo. A diferencia de otros vectores, el email es un canal que los empleados revisan decenas de veces al día con el piloto automático puesto, lo que reduce la vigilancia. Tener una estrategia sólida de copias de seguridad ayuda, pero no sustituye a prevenir la entrada: en el artículo sobre qué es una copia de seguridad inmutable explicamos por qué las copias clásicas tampoco son suficientes ante ransomware.
Las 9 prácticas
- Email empresarial solo para el trabajo: no uses tu cuenta de empresa para actividades personales. Cada servicio externo al que te suscribes con ese email es una superficie de ataque adicional.
- Evita el wifi público sin VPN: las conexiones abiertas son fáciles de interceptar. Una VPN crea un túnel cifrado entre tu equipo y los servidores de la empresa.
- Contraseñas largas y únicas: mínimo 12 caracteres con mezcla de mayúsculas, minuscúlas, números y símbolos. Para frases de paso, 15-20 caracteres. Un gestor de contraseñas (Bitwarden, 1Password) evita reutilizarlas.
- Formación periódica en phishing: los empleados tienen que saber reconocer remitentes falsos, dominios parecidos al real (paypa1.com vs paypal.com) y solicitudes de urgencia inusuales. Simular ataques de phishing internos es la forma más efectiva de entrenar.
- Autenticación multifactor (MFA): añade una segunda capa de verificación después de la contraseña. Incluso si un atacante roba las credenciales, sin el segundo factor no entra.
- Cierra sesión siempre: parece obvio, pero en ordenadores compartidos o cuando se trabaja desde espacios públicos, dejar una sesión abierta es un riesgo real.
- Filtros antivirus con análisis de contenido: las soluciones que usan machine learning para analizar el comportamiento de los adjuntos detectan amenazas que escapan a los filtros basados en firmas clásicas.
- Protocolos SPF, DKIM y DMARC: estos estándares verifican que los emails que llegan con tu dominio los has enviado realmente tú. Sin ellos, cualquiera puede suplantar tu dirección de correo.
- Política escrita de uso del correo: define qué se puede y no se puede hacer con el email corporativo, cómo manejar adjuntos desconocidos y a quién reportar sospechas. Una política clara reduce los errores humanos.
Cómo afecta la infraestructura al nivel de seguridad
El proveedor de correo que eliges también importa. Hospedar el email en servidores propios o en una nube con control total sobre la configuración permite aplicar reglas más estrictas que las que ofrecen los servicios gratuitos o semígratuitos. Es parte del debate más amplio sobre nube privada y soberanía digital: quién tiene acceso a tus datos y bajo qué legislación.
Preguntas frecuentes sobre seguridad del correo empresarial
¿Qué es el BEC y cómo afecta a las pequeñas empresas?
El Business Email Compromise (BEC) es un fraude en el que el atacante suplanta a un directivo o proveedor para pedir transferencias de dinero o datos sensibles. Las pequeñas empresas son especialmente vulnerables porque suelen tener menos controles de verificación interna que las grandes.
¿El MFA protege completamente el correo empresarial?
El MFA reduce drásticamente el riesgo de acceso no autorizado por credenciales robadas, pero no es infalible. Algunos ataques de phishing avanzados capturan el token MFA en tiempo real (ataques adversary-in-the-middle). Por eso la formación del equipo sigue siendo indispensable.
¿Qué son SPF, DKIM y DMARC?
Son tres estándares de autenticación del correo. SPF define qué servidores pueden enviar email en nombre de tu dominio. DKIM añade una firma digital a cada mensaje. DMARC indica qué hacer con los emails que no pasan SPF o DKIM: quarantine o reject. Configurar los tres es el mínimo para evitar la suplantación de dominio.
¿Con qué frecuencia hay que formar a los empleados en ciberseguridad?
Al menos una vez al año con sesión formal, y con recordatorios trimestrales o cada vez que aparezca una amenaza nueva relevante. Los simulacros de phishing mensuales o bimestrales son la forma más efectiva de mantener la atención del equipo.
