Los ataques BEC (Business Email Compromise) se distinguen por su énfasis en la ingeniería social y el arte del engaño. Entre abril de 2022 y abril de 2023, La Unidad de Delitos Digitales (DCU) de Microsoft Threat Intelligence detectó e investigó 35 millones de intentos BEC, lo que supone una media de 156.000 intentos diarios de este tipo de ataques. La compañía realizó 417.678 eliminaciones únicas de URL de phishing entre mayo de 2022 y abril de 2023 y ha detectado, además, nuevas tácticas con las que este tipo de ataques podrían realizarse a escala industrial.
Para Simeón Kakpovi, analista sénior de inteligencia de amenazas de Microsoft Threat Intelligence, “la ingeniería social no siempre es tan simple como parece. Hemos visto a ciberdelincuentes aprovechar la información personal compartida en las redes sociales para atraer a las víctimas durante las campañas de ingeniería social.»
Los intentos de ataques BEC pueden realizarse de muchas formas, incluso a través de llamadas telefónicas, mensajes de texto, correos electrónicos o redes sociales. La suplantación de mensajes de solicitud de autenticación y la suplantación de identidad de individuos y empresas también son tácticas comunes. Microsoft ha observado un aumento en la sofisticación de las tácticas delictivas especializadas en el compromiso del correo electrónico empresarial (BEC), mediante el uso de plataformas de Crimen como Servicio. La compañía destaca la utilización de las direcciones IP residenciales para hacer que las campañas de ataque parezcan generadas localmente.
Microsoft ha observado también una tendencia significativa en el uso de plataformas, como BulletProftLink por parte de los atacantes, un popular servicio para crear campañas de correo malicioso a escala industrial. BulletProftlink vende un servicio de extremo a extremo que incluye plantillas, alojamiento y servicios automatizados para realizar este tipo de ataques. Los adversarios que utilizan este sistema de CaaS también reciben direcciones IP que les guían y orientan en su actividad maliciosa.
Desde Microsoft aseguran que los ataques BEC “son un gran ejemplo de por qué la ciberseguridad y el riesgo que conlleva debe abordarse de manera multifuncional entre los responsables de TI, compliance y ciberseguridad, junto a los máximos directivos de la compañía y directores de finanzas, recursos humanos y otros con acceso a registros de empleados, como números de seguridad social, declaraciones de impuestos, información de contacto y horarios”.
