Fighting Biz Correo electrónico Compromiso (BEC) Ataques: Mejores prácticas

Las organizaciones están asediadas por los malos actores decididos a cometer fraude de pago.

Entre estas amenazas, los ataques de compromiso de correo electrónico comercial (BEC) se han convertido en una forma particularmente siniestra de fraude de pago dirigido a organizaciones de todos los tamaños y todas las industrias.

Solo en 2023, los ataques BEC han enviado a las empresas estadounidenses más de $ 2.9 mil millones, un aumento interanual de casi el 7%. Estos planes representan más de 21,000 incidentes reportados y siguen siendo una de las formas más caras de delito cibernético. Y ningún tejido es inmune.

A principios de 2024, el sheriff del condado de San Bernardino perdió más de $ 1.1 millones después de que los ciberdelincuentes engañaron a los empleados para hacer pagos a través de correos electrónicos fraudulentos, un ejemplo de libro de texto en la operación BEC. A medida que el número y la complejidad de los ataques BEC continúan aumentando, los paisajes amenazantes se están volviendo cada vez más peligrosos.

Las organizaciones deben implementar las mejores prácticas y herramientas de automatización para mitigar los riesgos y prevenir pérdidas financieras y violaciones de datos. Esta es la forma de combatir los ataques BEC.

¿Qué es un ataque BEC?

Cada profesional de las cuentas por pagar (AP) quiere hacer su parte para mantener en crecimiento la cadena de suministro de la organización. Esto es en lo que confía el plan BEC cometido por los estafadores.

En el programa BEC, los malos actores usan un correo electrónico para imitar a los miembros del equipo ejecutivo de una organización, proveedor u otra entidad confiable para engañar al receptor para que tomen acciones que beneficien al atacante. Los ataques BEC pueden tomar varios formularios, incluidas las estafas de facturas y las solicitudes de cambio de cuenta bancaria falsa.

Peor aún, los estafadores siguen ajustando sus tácticas para evitar medidas de seguridad. Los ataques BEC exitosos pueden conducir a pérdidas financieras, violaciones de datos e interrupciones operativas.

Características BEC

Aquí hay cinco características clave de los ataques BEC:

• imitar. El programa BEC involucra a los estafadores que se hacen pasar por proveedores, directores financieros u otros ejecutivos senior por correo electrónico, mensaje de texto o teléfono para engañar al destinatario para que cumpla con su solicitud de iniciar el pago o cambiar los detalles de la cuenta bancaria en el archivo. Los malos actores contan con profesionales de AP, que no cuestionan a los proveedores o solicitudes de nivel superior.
• Solicitud de fraude. Los correos electrónicos falsos, los mensajes de texto y las llamadas telefónicas en los ataques BEC a menudo contienen instrucciones para transferir transferencias de cables a cuentas bancarias controladas por estafadores o proporcionar información confidencial (como credenciales de inicio de sesión o información del proveedor).
• Suplantación de correo electrónico. Los malos actores a menudo engañan direcciones de correo electrónico para que parezcan como si fueran correos electrónicos de proveedores legítimos u otras fuentes de confianza. Para que el correo electrónico se vea convincente, el estafador engañará un dominio o mostrará el nombre (por ejemplo, un solo cambio de carácter).
• Individuos dirigidos. BEC ataca a profesionales de AP y otros empleados que procesan datos confidenciales, inician transacciones financieras o tienen acceso a los sistemas de pago.
• Ingeniería social. Los estafadores más exitosos manipulan las emociones del destinatario creando un sentido de urgencia o importancia en el contenido del correo electrónico. Al hacerlo, los estafadores quieren que los profesionales de AP actúen rápidamente sin verificar la legitimidad de la solicitud.

Si tiene éxito, estas estrategias pueden ser difíciles de detectar y más difíciles de recuperar.

¿Cómo se previene los ataques de BEC?

Las organizaciones deben combinar la capacitación de los empleados, los procedimientos bien definidos y la automatización para evitar convertirse en víctimas de los ataques BEC. Aquí hay seis estrategias para frustrar los ataques de Bec:

• tren. Los empleados de AP son cruciales para mitigar el fraude. Establezca un acuerdo para verificar la identidad del proveedor antes de realizar transacciones financieras con ellos. Realice regularmente el último plan BEC para los empleados. Enseñe a los empleados cómo identificar correos electrónicos sospechosos y qué hacer cuando se encuentran con uno. E impresione a los empleados sobre la importancia de nunca hacer clic en un enlace o descargar archivos adjuntos de remitentes desconocidos o no verificados.
• confirmar. En muchas organizaciones, muchas personas participan en la recopilación y verificación de la información del proveedor y los detalles de la cuenta bancaria. Si solo una persona no sigue los procedimientos de la organización durante este proceso, las cosas pueden pasar por las grietas. Es por eso que es importante construir una cultura de mitigación de fraude. Asegúrese de que todos comprendan su papel en mitigar el riesgo de fraude de pago. Existe un proceso documentado claro para verificar las solicitudes de cambio de cuenta bancaria e investigar solicitudes sospechosas. Y crear una forma de compartir ejemplos de solicitudes de cambio de cuenta bancaria falsas identificadas por su equipo.
• verificar. Los profesionales de Associated Press ocupados pueden ser fácilmente víctimas de fraude por correo electrónico. Los protocolos de autenticación de correo electrónico, como SPF (marco de política del remitente), DKIM (correo identificado por kilómetros de dominio) y DMARC (autenticación, informes y cumplimiento de mensajes basados en el dominio) pueden reducir el riesgo de falsificación y ayudar a verificar la autenticidad de los remitentes de correo electrónico. Además, considere implementar soluciones de filtrado de correo electrónico que pueden detectar y bloquear correos electrónicos sospechosos, incluidos los que tienen direcciones de remitente falsificadas o intentos de phishing.
• Autenticación multifactor. Al requerir la autenticación multifactor (MFA), hace que sea más difícil para los estafadores obtener acceso no autorizado a sistemas de financiación y banca sensibles. Además de ejecutar contraseñas para transacciones de alto riesgo, MFA también agrega seguridad adicional.
• Monitor. Monitoree regularmente el tráfico de correo electrónico de su organización para comprender las ubicaciones de inicio de sesión anormales u otros patrones que indican ataques BEC. La detección temprana de los cambios en el comportamiento de correo electrónico puede ayudar a mitigar el daño potencial de los programas fraudulentos.
• Revisar. Para abordar las amenazas en evolución, revise y actualice regularmente sus políticas y procedimientos para la incorporación de proveedores y la verificación de la solicitud de cambio de cuenta bancaria.

Estas medidas pueden reducir en gran medida el riesgo de ataques de víctimas.

Sin embargo, la garantía más efectiva para los programas BEC es automatizar la forma de los proveedores de la organización y verificar los cambios en los detalles de la cuenta bancaria de los proveedores.

Cómo bloquear las soluciones de verificación de la propiedad de la cuenta bancaria BEC?

La verificación de la propiedad de la cuenta bancaria automatizada agrega una capa adicional de seguridad a la gestión total de datos del proveedor, reduciendo así la probabilidad de realizar pagos a cuentas bancarias falsas.

El mejor portal de autoservicio para la gestión de la base de datos maestro de la incorporación y la base de proveedores de proveedores incluye funciones integradas para verificar automáticamente la propiedad de la cuenta bancaria.

Aquí hay un plan BEC de cómo las soluciones de verificación de la cuenta bancaria pueden ayudar a prevenir las víctimas:

• Propiedad de la cuenta. La solución de verificación de la cuenta bancaria utiliza una base de datos global para verificar el nombre del propietario en la cuenta bancaria. La solución también puede determinar la ubicación de la cuenta, si la cuenta está abierta y si está asociada con la cuenta. El operador revisará cualquier solicitud de cambio de cuenta bancaria con discrepancias o problemas.
• Verificación en tiempo real. La mejor solución de verificación de la cuenta bancaria se realiza cerca de la información de la cuenta bancaria proporcionada por el destinatario.
• Integración. Las soluciones de verificación de la propiedad de la cuenta bancaria automática se pueden integrar con los protocolos o tecnologías de seguridad existentes para mejorar la postura general de seguridad de las transacciones financieras y reducir el riesgo de acceso no autorizado o pagos fraudulentos.
• pista. Las soluciones de verificación de la propiedad de la cuenta bancaria automática proporcionan capacidades de auditoría y cumplimiento, lo que permite a las organizaciones rastrear y revisar la actividad de transacciones, mantener el cumplimiento de los requisitos reglamentarios y demostrar el cumplimiento de los estándares de seguridad. Esto ayuda a las organizaciones de todos los tamaños a mejorar sus defensas al garantizar la transparencia y la responsabilidad en las transacciones financieras para evitar que los ataques con BEC evolucionen.

Así es como la verificación automatizada de la propiedad de la cuenta bancaria puede ayudar a las organizaciones a mitigar el riesgo de ataques BEC, mejorar la seguridad y la integridad de las transacciones y detectar actividad fraudulenta.

El pensamiento final

La creciente amenaza de los ataques BEC subraya la importancia de implementar fuertes medidas de seguridad y mejores prácticas para prevenir las amenazas cibernéticas. Al educar a los empleados, implementar protocolos de autenticación de correo electrónico y aprovechar las capacidades de verificación de la cuenta bancaria en el portal de autoservicio, las organizaciones pueden mejorar sus defensas, mitigar el riesgo de ataques BEC y proteger sus activos financieros y datos confidenciales para evitar el acceso no autorizado y la actividad fraudulenta.

Sobre el autor

Phil Binkow Es el CEO Red de operaciones financieras (Fon), VendorInfo, el Centro de Excelencia de InvoiceInfo para la gestión de información de desarrolladores y proveedores, un conjunto líder de plataformas de servicios de transporte de software, que permite a los equipos financieros reducir con confianza, reducir costos y riesgos y aumentar el cumplimiento para verificar con confianza, verificar y administrar a los proveedores.

Antes de establecer la Red de Operaciones Financieras, Phil se desempeñó como CEO de PayTech, una plataforma de análisis de facturas, gastos y gastos electrónicos líderes que apoyan a empresas como Oracle, Cisco, Cisco, Gap, Charles Schwab, JP Morgan Chase y NCR. Bajo Phil, PayTech se une al procesamiento y paga más de 100 millones de facturas cada año.

En 2002, Fon estableció la Red de cuentas por pagar (TAPN), que se ha convertido en la organización de capacitación y certificación de cuentas más grande del mundo.

Noticias de pago recientes:

Desde el cuello de botella hasta el conductor de negocios: transformar la oficina de devolución de pagos en el centro de ganancias