Capítulo 74: La sombra en la bandeja de entrada: Fraude de facturas y compromiso de correo electrónico empresarial (BEC)

A lo largo de los años, acompañando profesionalmente a empresas, compañías y organizaciones, resulta evidente que el campo de batalla moderno no se encuentra solo entre los muros de los juzgados, ni siquiera en la feroz competencia comercial callejera. Se encuentra dentro de la bandeja de entrada del correo electrónico. En los capítulos anteriores, tratamos estafas dirigidas directamente a la alta dirección —el fraude del CEO— o al cambio de datos de proveedores a nivel técnico. Pero el presente capítulo trata sobre una amenaza sofisticada, que combina un hackeo tecnológico silencioso con ingeniería social: el compromiso de correo electrónico empresarial (Business Email Compromise - BEC) y el fraude de facturas falsas.

Este es un mundo donde el delincuente no solo se hace pasar por otra persona; se convierte en un "inquilino" encubierto dentro de la organización. Lee la correspondencia, estudia el estilo de escritura, comprende la estructura organizacional y espera el momento adecuado en que se transfiere una suma significativa de dinero para desviarla a su propio camino. En este libro, "¿Has sido víctima de una estafa?", el objetivo es exponer este mecanismo no solo para advertir, sino para presentar las herramientas legales y prácticas para afrontar el incidente el día después.

El siguiente escenario es un ejemplo educativo basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

El silencio antes de la tormenta: un escenario educativo sobre la empresa 'Cimientos Sólidos'

Rina (nombre ficticio) era contable en una empresa contratista mediana especializada en infraestructura. Se le consideraba una empleada minuciosa que conocía personalmente a todos los proveedores de la empresa.

Un martes, a primera hora de la tarde, Rina recibió un correo electrónico que parecía provenir del principal proveedor de la empresa. El mensaje era la continuación directa de una cadena de correspondencia existente sobre un proyecto de infraestructura activo. "Hola Rina", decía el correo, "adjunto la factura actualizada por el último envío de acero. Ten en cuenta que debido a una auditoría contable interna nuestra, hemos cambiado temporalmente la cuenta del beneficiario a la cuenta de nuestra filial. Se adjunta confirmación oficial del banco. Gracias, Gilead".

Rina abrió el archivo adjunto. La factura parecía totalmente correcta: el logotipo del proveedor, la dirección correcta y el detalle preciso de la mercancía suministrada. Incluso aparecía el número de pedido interno de la empresa. También vio la confirmación bancaria: un documento que parecía ser un certificado oficial que confirmaba los detalles de la nueva cuenta. El correo fue enviado desde una dirección que parecía idéntica a aquella con la que habían estado escribiendo en los últimos años.

Ella ingresó los detalles en el sistema bancario de Bank Hapoalim. Una suma significativa de dinero fue transferida a la nueva cuenta. Rina envió un correo electrónico de respuesta confirmando la transferencia y recibió una respuesta casi inmediata agradeciéndole por la rápida gestión.

Dos semanas después, en una llamada telefónica rutinaria con el proveedor, quedó claro que el proveedor no había solicitado cambiar los detalles de la cuenta y no había recibido el pago. Tras un examen profundo del correo enviado dos semanas antes, se descubrió un cambio minúsculo en el nombre de dominio del remitente: un cambio de un solo carácter que convirtió la dirección en una suplantación. Los hackers "se sentaron" en la línea, leyeron la correspondencia y aprendieron exactamente cuándo enviar la factura falsa.

En un escenario de este tipo, el dinero suele retirarse minutos después de la transferencia y pasa por una serie de cuentas puente, lo que dificulta mucho su recuperación inmediata sin una intervención rápida.

La anatomía de la intrusión: ¿Cómo se "instalan" en el correo empresarial?

Para entender cómo ocurre tal fraude, es importante comprender que las organizaciones criminales tecnológicas operan sistemáticamente. El fraude BEC generalmente se divide en cuatro etapas:

1. Etapa de recolección e infiltración (Infiltration)

Los atacantes eligen un objetivo: generalmente una empresa que realiza transferencias bancarias por sumas elevadas. La infiltración inicial se realiza generalmente mediante "phishing" o mediante la compra de contraseñas filtradas. Una vez que tienen acceso a un buzón de correo en la organización (o en la del proveedor), pueden permanecer ocultos para fines de recolección de información.

2. Etapa de aprendizaje y seguimiento (Monitoring)

Esta es una etapa en la que el atacante puede definir "reglas de enrutamiento" en el buzón de correo hackeado. Los correos que contienen ciertas palabras clave se reenvían automáticamente al atacante, quien aprende los contratos, los horarios y el estilo de comunicación entre las partes.

3. Creación del "dominio gemelo" (The Doppelgänger)

El atacante crea un dominio que parece casi idéntico al original. Un cambio de un carácter o una extensión diferente puede no levantar sospechas ante un ojo no entrenado o en momentos de carga de trabajo. En algunos casos se utilizan técnicas más avanzadas para enviar correos desde la dirección aparentemente real.

4. Momento de la "estafa" (The Execution)

El atacante "secuestra" la cadena de correspondencia en el momento en que debe pasarse una factura. La combinación de conocimiento de los detalles de la transacción y una falsificación gráfica de calidad aumenta las probabilidades de éxito del fraude.

El aspecto legal: opciones de examen de responsabilidad

Cuando un caso así llega a un examen legal, surge la cuestión de la responsabilidad entre las partes involucradas: la empresa estafada, el proveedor, el banco emisor y el banco receptor. El análisis legal se centra a menudo en la responsabilidad civil extracontractual, los contratos y la ley de servicios de pago.

Ley de servicios de pago, 2019

Esta ley establece la división de responsabilidad entre el cliente y el proveedor de servicios de pago, como plataformas financieras internacionales como Wise, en caso de una "transacción de pago no autorizada". En los casos de BEC, a veces surge una dificultad legal ya que el cliente es quien realizó la autorización efectivamente. Por lo tanto, el examen del caso se centrará en si la autorización se obtuvo mediante fraude en circunstancias que deberían haber despertado sospechas en el proveedor de servicios de pago.

Responsabilidad del proveedor de servicios de pago (el banco)

En ciertos casos se puede examinar si el banco violó su deber de cuidado hacia el cliente. Los tribunales pueden examinar si hubo "luces rojas" que una institución financiera como Bank Leumi debería haber identificado, como una transferencia inusual a una cuenta nueva o una falta de coincidencia evidente. La posibilidad de imponer responsabilidad depende de las circunstancias específicas y de si existió una sospecha real de fraude que se pudo haber evitado.

La lucha entre la empresa y el proveedor

Otro tema complejo es la pregunta de sobre quién recae la responsabilidad por la intrusión misma. Si el correo fue hackeado del lado del proveedor, podría surgir el argumento de que este no tomó medidas de precaución suficientes. Por otro lado, el proveedor podría argumentar negligencia de la empresa por no verificar los detalles de la cuenta. En estos casos, los tribunales examinan cuál de las partes era el "evitador de daños más barato" y pueden determinar una división de responsabilidad basada en la "culpa contributiva".

Estrategias de defensa y gestión de riesgos

Durante los años de trabajo profesional de un abogado que se ocupa del campo, resulta evidente que la prevención es la herramienta más efectiva. Se puede reducir el riesgo de fraudes BEC mediante la adopción de protocolos claros:

Verificación multicanal (Out-of-Band Verification)

Se recomienda establecer un procedimiento según el cual no se debe confiar en el correo electrónico como fuente exclusiva para el cambio de detalles de pago. En cualquier caso de solicitud de cambio de cuenta bancaria, se debe realizar una verificación telefónica con una persona conocida en el número de teléfono oficial del proveedor.

Verificación en dos pasos (MFA/2FA)

La activación de la verificación en dos pasos en todas las cuentas de correo electrónico corporativas es un paso básico y esencial. Una empresa que no aplica protecciones de este tipo puede ser considerada como una que no tomó medidas de precaución razonables.

Educación de los empleados

Las capacitaciones periódicas para aumentar la conciencia entre los empleados de los departamentos financieros pueden ayudar a identificar señales de advertencia, como cambios leves de dominio o redacciones sospechosas.

Seguro cibernético y aspectos contractuales

Se puede considerar la compra de pólizas de seguro que cubran eventos cibernéticos e ingeniería social. Además, se recomienda incluir en los contratos de los proveedores cláusulas que regulen la forma en que se realizarán los cambios en los detalles de pago.

Resumen del análisis legal

La ley en Israel se está adaptando a la era digital, y la exigencia del nivel de cuidado de los bancos y las empresas está aumentando. Mientras que en el pasado existía dificultad para imponer responsabilidad a las entidades financieras, hoy se puede examinar su responsabilidad de acuerdo con su capacidad para identificar anomalías en los sistemas de pago.

Las probabilidades de recuperar los fondos o recibir una indemnización dependen de las circunstancias del caso, del grado de negligencia de las partes y de la velocidad de respuesta después de descubrir el fraude. Preguntas como el origen de la brecha, los procedimientos de identificación del cliente en el banco receptor y el cumplimiento de los procedimientos básicos de seguridad son las que decidirán el resultado cuando el tribunal examine la división de la responsabilidad.

En conclusión, el fraude BEC aprovecha la confianza y el deseo de eficiencia en el mundo empresarial. A veces, el paso más correcto es detenerse, verificar y realizar una verificación humana simple antes de presionar el botón de transferencia.