Empresa tica perdió $1.5 millones en estafa BEC: ataca a gerentes

Una empresa costarricense fue víctima de una estafa especializada que pone la mira en los correos electrónicos de gerentes y personal financiero de las empresas con el objetivo de robar botines millonarios.    

Se trata de la estafa conocida como BEC, por las siglas en inglés de “Business Email Compromise”, o Compromiso de Correo Electrónico Empresarial en español. 

Según explicó, Erick Lewis, jefe de la Sección Especializada de Ciber Crimen del Organismo de Investigación Judicial (OIJ) al año se reportan aproximadamente 10 casos en el país con pérdidas millonarias.

El jefe policial inclusive detalló que esta estafa informática ha ido evolucionando durante los últimos años y explicó que empresas costarricenses se han visto afectadas. 

Las investigaciones policiales señalan que empresas ticas han perdido desde $15 mil dólares hasta  $1.5 millones de dólares.    

“Es una de las estafas que más se da a nivel de empresas. Ha ido evolucionando. En este caso afectan el correo electrónico de alguien dentro de la empresa, entonces toman el control de correos electrónicos, por ejemplo de la persona del gerente o del dueño o quien toma decisiones y de alguien que ejecuta los pagos”, explicó Lewis. 

Un proceso de meses

El jefe de Cibercrimen del OIJ, Erick Lewis, explicó que esta modalidad de estafa puede llegar a tardar hasta varios meses, mientras los ciberdelincuentes conocen a la empresa y la operación que realizan.

Asimismo, detalló que en los casos actuales y más complejos involucran la afectación de correos entre 2 empresas que tienen una relación comercial.

La estafa BEC

• ¿Qué es?: El Compromiso de Correo Electrónico Empresarial es un tipo de ciberataque donde los estafadores se hacen pasar por alguien de confianza (como un CEO o un gerente) para engañar a empleados y lograr que realicen transferencias de dinero.

• La clave: Crean un sentido de urgencia (“necesito esto ya”) con el perfil de autoridad de una empresa para que la víctima actúe y transfiera el dinero.

Paso 1: Investigación y selección de objetivo

• El estafador identifica una empresa u organización como objetivo.
• Realiza una investigación exhaustiva sobre la empresa: busca nombres y cargos de empleados clave (CEO, gerentes de finanzas, RRHH), la estructura jerárquica, socios comerciales o proveedores habituales, y a veces hasta detalles sobre proyectos en curso.

Paso 2: Hackeo del correo

• El atacante elige a quién va a suplantar, por ejemplo, el CEO o un proveedor.
• Hackean la dirección de correo electrónico:
  • Compromiso de Cuenta (EAC): Hackean directamente la cuenta de correo real del ejecutivo o empleado que quieren suplantar. Este es el método más peligroso porque el correo realmente proviene de la cuenta legítima.
  • También podrían usar técnicas con modificaciones a correos que parezcan de una dirección legítima y que es visualmente engañoso.

Paso 3: Ataque

• El estafador envía el correo electrónico cuidadosamente elaborado con el tono y estilo de la persona suplantada.
• El contenido del correo utiliza tácticas de ingeniería social:
  • Urgencia: “Necesito que hagas esta transferencia ahora mismo.”
  • Autoridad: “Soy el CEO, necesito tu ayuda inmediata.”
  • Confidencialidad: “Este asunto es muy delicado, no lo comente con nadie.”
  • Contexto Falso: Puede mencionar un supuesto negocio, una adquisición secreta o una deuda urgente.

Paso 4: Interacción

• Si la víctima responde con preguntas, el estafador continúa la conversación, manteniendo la farsa y reforzando la urgencia o la confidencialidad.
• Intentará activamente disuadir a la víctima de verificar la solicitud por otros medios (como llamar por teléfono o hablar con colegas).

Paso 5: Acción fraudulenta

• Convencida por la legitimidad aparente y la presión del correo, la víctima realiza la acción solicitada:
  • Inicia una transferencia bancaria a la cuenta controlada por el estafador.
  • Envía información confidencial

Empresa recibió piedras

En otro caso que llamó la atención de las autoridades por este tipo de estafa, fue un grupo de empresarios que principalmente compraban productos en el mercado asiático y perdieron bastante dinero.

“Los delincuentes le decían que ya habían embarcado la mercancía y de verdad, venía en el barco un saco, pero cuando llegaba el barco a Costa Rica lo que venían eran sacos con piedra con escombros”, comentó Lewis.

Las principales investigaciones apuntan a que los sospechosos de las estafas tipo BEC no se encuentran en Costa Rica.

¿Cómo prevenir la estafa?

Para evitar este tipo de estafa se recomiendan algunos pasos como:

Verificación obligatoria: Siempre confirme las solicitudes de transferencia de dinero, cambios de cuentas bancarias o envío de datos sensibles usando un canal de comunicación distinto al correo electrónico.

Desconfíe de la urgencia y el secreto: Las tácticas de presión (urgencia extrema, confidencialidad absoluta) son señales de alerta clásicas. Tome un momento para verificar.

Doble aprobación: Implemente políticas que requieran la aprobación de al menos dos personas autorizadas para realizar transferencias bancarias.

Capacitación: Capacite al personal sobre cómo identificar correos sospechosos (direcciones de remitente extrañas, errores sutiles, dominios similares) y la importancia de seguir los protocolos de verificación.

Tecnología: Use filtros de correo electrónico robustos y soluciones anti-phishing. Implemente métodos de autenticación de correo, entre otros.