Ataques BEC: la mayoría de las víctimas no utilizan la autenticación de múltiples factores: aplíquela ahora y manténgase seguro

Ha habido un gran aumento en los ataques de Business Email Compromise (BEC), y la mayoría de las víctimas trabajan en organizaciones que no usaban la autenticación multifactor (MFA) para proteger sus cuentas.

Los ataques BEC son una de las formas más lucrativas de ciberdelincuencia: según el FBI, la pérdida total combinada supera los 43 millones de dólares y sigue aumentando, con ataques informados en al menos 177 países.

Estos ataques son relativamente simples para que los ciberdelincuentes los lleven a cabo: todo lo que necesitan es acceso a una cuenta de correo electrónico y algo de paciencia mientras intentan engañar a las víctimas para que realicen transferencias financieras bajo una presencia falsa. Esto comúnmente implica enviar mensajes a los empleados, supuestamente de su jefe o un colega, que sugieren que un pago, a menudo muy grande, se debe realizar rápidamente para asegurar un acuerdo comercial importante.

Los ataques BEC más avanzados piratean la cuenta de una empresa y utilizan una dirección de correo electrónico legítima para realizar la solicitud de pago. 

Incluso se sabe que los estafadores monitorean las bandejas de entrada durante largos períodos de tiempo, eligiendo atacar solo cuando una transacción comercial real está a punto de realizarse, momento en el que intervienen y dirigen el pago a su propia cuenta.

VER: La mayor amenaza del cibercrimen también es aquella de la que nadie quiere hablar

Con el dinero que se puede ganar de esta manera, los ciberdelincuentes recurren cada vez más a las campañas de BEC y las empresas se están convirtiendo en víctimas. Según los analistas de ciberseguridad de Lobo ártico, el número de ataques de BEC a los que han respondido se duplicó entre enero-marzo y abril-junio, y estos ataques representaron más de un tercio de todos los incidentes investigados.

Hubo un tema común entre muchas de las víctimas: según los que respondieron al incidente, el 80% de las organizaciones que fueron víctimas de los ataques BEC no tenían MFA implementado.

La autenticación de múltiples factores brinda una capa adicional de seguridad para las cuentas de correo electrónico y las suites de aplicaciones en la nube, lo que requiere que el usuario verifique que realmente fue él quien inició sesión en la cuenta, lo que ayuda a proteger contra intrusiones no autorizadas, incluso si el atacante tiene el nombre de usuario correcto y clave.

Las organizaciones que ignoran MFA se exponen a campañas BEC y otros ataques cibernéticos, a pesar de las repetidas recomendaciones de las agencias de seguridad cibernética de que debe aplicarse. Entonces, ¿por qué no lo están usando?

“MFA requiere una planificación y coordinación cuidadosas para implementar con éxito, asegurando que las organizaciones puedan continuar operando sin interrupciones. Debido a que los usuarios requieren capacitación sobre cómo usar el sistema MFA, esto puede ser difícil para algunas organizaciones”, dijo a ZDNET Adrian Korn, gerente de investigación de inteligencia de amenazas en Arctic Wolf Labs. 

“Además, configurar y probar una nueva implementación de MFA en una organización puede suponer una gran carga para los departamentos de TI que ya están sobrecargados”, agregó. 

También: El aterrador futuro de Internet: cómo la tecnología del mañana planteará amenazas de ciberseguridad aún mayores

A pesar de estas restricciones potenciales, aplicar MFA a todas las cuentas de usuario es una de las cosas más importantes que las organizaciones pueden hacer para ayudar a proteger a sus empleados y su red de ataques cibernéticos, si están configurados correctamente.

“Las organizaciones deben planificar sus implementaciones de MFA con mucha anticipación para tener en cuenta los inconvenientes técnicos que puedan encontrar. Además, las organizaciones deben tomarse el tiempo para asegurarse de que las configuraciones de MFA se prueben antes del horario de máxima audiencia y que los usuarios estén bien capacitados sobre cómo usar la nueva plataforma de MFA elegida”, dijo Korn. 

Pero si bien MFA ayuda a prevenir los ataques cibernéticos, no es infalible y los ciberdelincuentes decididos están encontrando formas de evitarlo.  

Con los ataques BEC que utilizan ingeniería social para engañar a las personas haciéndoles creer que están haciendo lo correcto, también es importante que las organizaciones capaciten a sus empleados para detectar cuándo una solicitud, incluso si proviene de una cuenta legítima, podría ser sospechosa. 

“Los usuarios deben estar capacitados para reconocer solicitudes financieras sospechosas. Si algo se siente mal, los usuarios deben prestar atención a ese instinto y seguir investigando. Las solicitudes financieras urgentes deben validarse a través de medios adicionales antes de finalizar transacciones importantes”, dijo Korn. 

MÁS SOBRE CIBERSEGURIDAD