El fraude por suplantación de identidad corporativa (BEC, por sus siglas en inglés) no se anuncia a sí mismo. No hay pantalla de rescate, ni archivos bloqueados, ni una caída dramática del sistema. En cambio, un miembro del equipo de finanzas procesa lo que parece una actualización rutinaria de pago a un proveedor. Un contralor transfiere fondos basándose en lo que parece ser una solicitud directa del director financiero. Cuando alguien se da cuenta, el dinero ha desaparecido. El Informe de Delitos en Internet 2024 del FBI IC3 documentó pérdidas acumuladas de 55 mil millones de dólares por BEC en la última década, con 3 mil millones solo en 2024, lo que lo convierte en la amenaza cibernética empresarial más destructiva desde el punto de vista financiero en el país.

El desafío con el BEC es que explota la confianza, no la tecnología. Estos ataques no llevan una carga maliciosa que un gateway pueda detectar, solo mensajes cuidadosamente diseñados para manipular el juicio humano. Eso deja a las defensas tradicionales en gran medida ciegas ante ellos. A continuación, se presentan siete señales de que su organización puede estar más expuesta de lo que cree.

1. Depende únicamente del filtrado de contenido

Las puertas de enlace de correo electrónico seguras y los filtros nativos de las plataformas fueron diseñados para detectar contenido malicioso: archivos adjuntos infectados, URL maliciosas conocidas, dominios de remitentes en listas negras. Los ataques BEC no contienen ninguno de estos indicadores. Son mensajes de texto plano que suplantan a remitentes de confianza y solicitan acciones que parecen legítimas. Si su estrategia de seguridad de correo electrónico depende completamente del escaneo de amenazas conocidas, tiene un punto ciego estructural para la categoría de ataques de correo electrónico de más rápido crecimiento.

2. No puede detectar anomalías de comportamiento en el correo electrónico

El BEC triunfa imitando patrones de comunicación normales, pero no perfectamente. Un correo electrónico falso del CEO podría enviarse a una hora inusual, usar una redacción ligeramente diferente o hacer una solicitud que rompe con los flujos de trabajo establecidos. Detectar estas anomalías requiere líneas base de comportamiento: una comprensión de a quién envía correos cada persona, cómo escribe, qué suele solicitar y cuándo. Las organizaciones sin análisis de comportamiento impulsado por IA (gráficos sociales de comunicación construidos con procesamiento de lenguaje natural) carecen de la inteligencia contextual para detectar lo que parece casi correcto pero no lo es.

3. Su equipo financiero no ha sido específicamente objetivo en simulaciones

El BEC ataca de manera desproporcionada a los empleados responsables de pagos, transferencias bancarias y comunicaciones sensibles: finanzas, contabilidad, recursos humanos y asistentes ejecutivos. Sin embargo, la mayoría de los programas de simulación de phishing envían las mismas plantillas genéricas a toda la organización. Si las personas con más probabilidades de recibir un intento de BEC nunca han sido probadas con una simulación que imite una solicitud de pago realista a un proveedor o una orden de transferencia bancaria ejecutiva, no están preparadas para la situación real. Los programas efectivos utilizan simulaciones basadas en reconocimiento, adaptadas a los roles y relaciones específicas que los atacantes realmente explotan.

4. La respuesta a incidentes aún requiere triaje manual

Cuando un empleado reporta un correo sospechoso, o cuando las herramientas de detección señalan una amenaza, ¿qué sucede después? En muchas organizaciones, un analista de seguridad investiga, clasifica y remedia manualmente cada incidente. Ese proceso puede tomar 30 minutos o más por evento. Para el BEC, la velocidad lo es todo: cuanto más tiempo permanezca un mensaje fraudulento en una bandeja de entrada, mayor será la probabilidad de que alguien actúe sobre él. Las organizaciones sin capacidades automatizadas de investigación y remediación juegan un juego en el que el atacante siempre tiene ventaja. El DBIR 2025 de Verizon encontró que la ingeniería social sigue siendo uno de los tres principales patrones de brecha en casi todas las industrias, y el tiempo de remediación es un factor crítico para determinar si un compromiso inicial se convierte en un fraude consumado.

5. No monitorea el tráfico de correo interno

La toma de control de cuentas es el primo más peligroso del BEC. Una vez que un atacante obtiene acceso a una cuenta de correo interna (mediante phishing de credenciales, rociado de contraseñas o secuestro de sesión), envía mensajes fraudulentos desde una dirección legítima y de confianza. Las defensas tradicionales basadas en perímetro nunca ven estos mensajes porque se originan dentro del entorno. Las organizaciones que solo escanean el correo externo entrante pasan por alto por completo los ataques de cuentas comprometidas. La visibilidad a nivel de bandeja de entrada, incluido el tráfico interno a interno, es esencial para detectar la toma de control de cuentas antes de que se convierta en un evento BEC.

6. Los empleados no tienen contexto en tiempo real sobre los mensajes entrantes

El BEC se aprovecha de la confianza y la rutina. Un empleado que recibe lo que parece ser una actualización de factura de un proveedor conocido no tiene motivos para cuestionarlo, a menos que algo en su flujo de trabajo le haga detenerse. Los banners de correo dinámicos que muestran contexto relevante en tiempo real ("El dominio de este remitente es similar pero diferente al de su proveedor conocido" o "Esta es la primera vez que esta persona le envía un correo") brindan apoyo para la toma de decisiones en el momento exacto en que más importa. Sin estas señales contextuales, los empleados deben confiar solo en su instinto, y en el BEC, toda la estrategia del atacante es hacer que el instinto apunte en la dirección equivocada.

7. No sabe cuántos intentos de BEC ya están pasando

Quizás la señal más reveladora de vulnerabilidad al BEC es simplemente no conocer el alcance del problema. Muchas organizaciones asumen que sus defensas actuales están atrapando todo porque no han probado la hipótesis. Un análisis retrospectivo del correo histórico, revisando lo que ya está en las bandejas de entrada contra modelos de amenazas conductuales y de intención, a menudo descubre incidentes que nunca fueron señalados: hilos de facturas falsas, intentos de suplantación, campañas de recolección de credenciales ocultas a plena vista. Las organizaciones que realizan estas evaluaciones consistentemente encuentran amenazas que sus herramientas existentes pasaron por alto.

Cerrando la brecha antes de que los atacantes la exploten

El BEC no es una falla tecnológica, sino un problema de explotación de la confianza que requiere un enfoque fundamentalmente diferente para la seguridad del correo electrónico. El escaneo de contenido detecta amenazas conocidas. La IA conductual detecta intenciones desconocidas. La remediación automatizada detecta amenazas lo suficientemente rápido como para evitar daños. Y la orientación contextual al empleado captura los momentos en que una decisión humana es la última línea de defensa.

Si alguna de estas siete señales resuena en su organización, la exposición es real y medible. Como deja claro el análisis de tendencias de ciberseguridad 2025 de Gartner, las organizaciones que integran IA conductual, programas de seguridad conductual y respuesta automatizada en su estrategia de seguridad de correo electrónico están reduciendo significativamente el riesgo. La pregunta es si identificará estas brechas antes de que lo haga un atacante.

Acerca del autor: Steve Malone es el Director de Estrategia de IRONSCALES, responsable de dar forma a la dirección estratégica de la empresa y acelerar el crecimiento. Con más de 20 años de experiencia en ciberseguridad, SaaS B2B y liderazgo de productos, Steve aporta una profunda experiencia en escalar organizaciones y alinear estrategias de producto, mercado y salida al mercado. Antes de unirse a IRONSCALES, Steve se desempeñó como Vicepresidente de Producto en Egress Software Technologies, donde unificó la cartera de productos y ayudó a guiar a la empresa a través del crecimiento y la adquisición por parte de KnowBe4. Antes de Egress, pasó más de ocho años en Mimecast como Director de Gestión de Producto, lanzando líneas de productos importantes de seguridad de correo electrónico y contribuyendo a tres adquisiciones exitosas. Steve es inventor nombrado en dos patentes de EE. UU. y ha presentado en Black Hat, RSA Conference e InfoSecurity Europe.