“Peligrosamente, los ciberataques que involucran ingeniería social y el factor humano siguen teniendo una presencia importante en México y en el mundo. Los ataques BEC suelen comenzar con un correo electrónico fraudulento que parece provenir de una fuente legítima, solicitando a la víctima que haga clic en un enlace, abra un archivo adjunto o revele información confidencial”, explicó Felipe Méndez, Arquitecto Líder en Ciberseguridad de IQSEC. 

De acuerdo con el informe H1 2023 Email Threat Report, de ABnormal, los colaboradores en roles de recursos humanos y cuentas por pagar son los que más abren los correos maliciosos y son los perfiles de ventas, ingeniería de proyectos y ejecutivos de cuenta, los que mayormente contestan los correos de suplantación de identidad.

 “Los ataques de ingeniería social suelen ser muy eficaces y muy lucrativos para los ciberdelincuentes. Tal vez por ello, los ataques de BEC, que en esencia son incidentes pretexting, es decir, que crean un escenario o historia ficticia, ahora representan más del 50% de los incidentes dentro del patrón de ingeniería social”, detalló el especialista en ciberseguridad. 

De hecho, según el Informe Anual de Investigaciones de Violaciones de Datos (DBIR) 2023, en 74% de los incidentes cibernéticos interviene el elemento humano, ya sea por error, abuso de privilegios, uso de credenciales robadas o, justamente, ingeniería social. Y los motivos financieros siguen siendo el motor de la inmensa mayoría de las infracciones, representando el 94,6%. 

“La vulneración de correo electrónico de empresas destaca por ser una estrategia eficaz. En México no se tienen cifras exactas pero se calcula, con base en informes del FBI, que cada incidente BEC puede costarle a las empresas afectadas unos 124 mil dólares”, refirió el Arquitecto Líder en Ciberseguridad en IQSEC. 

Para evitar ser víctima de ciberataque tipo BEC, las organizaciones puede aliarse con un experto en ciberseguridad para establecer una estrategia que incluya el uso de tecnología como e-mail security, URL Filter, Antivirus o EDR´s, además de la capacitación continua del personal para que conozcan las variantes y los riesgos de responder correos no verificados, de compartir información confidencial y de dar clic en enlaces desconocidos.

Redacción C21