Compromiso del correo empresarial (BEC): lista de prevención para pequeñas empresas
El compromiso del correo empresarial (BEC) se produce cuando un delincuente secuestra o imita una cuenta de correo real (un proveedor, un cliente o tu propio jefe) y la usa para pedir un pago o un cambio de datos bancarios. El IC3 del FBI contabilizó 305.033 incidentes y unos 55.500 millones de dólares en pérdidas expuestas en todo el mundo entre octubre de 2013 y diciembre de 2023, y alrededor de 3.050 millones de dólares en pérdidas denunciadas por BEC solo en 2025.
Cómo funciona un ataque BEC típico
Robo de cuenta: el buzón de un proveedor o compañero se ve comprometido por phishing y el delincuente responde dentro de un hilo de correo real.
Suplantación o dominios parecidos: el correo parece venir de una dirección conocida o de un dominio casi idéntico (una letra de más, otra terminación).
La petición: «nuestros datos bancarios han cambiado», una transferencia urgente para un negocio o una solicitud de datos personales del personal.
Señales de alerta
Un cambio de datos bancarios, sobre todo a un banco o país nuevo
Urgencia, secretismo o «estoy en una reunión, hazlo ya»
Una dirección de respuesta distinta del remitente, o un dominio con un carácter diferente
Una petición que se salta tus pasos de aprobación habituales
Lista de prevención
Verifica cada cambio de datos bancarios por otro canal. El FBI recomienda usar canales secundarios para verificar cambios en la información de la cuenta: llama a un número de tus propios registros, nunca al del correo.
Exige la aprobación de dos personas para beneficiarios nuevos y pagos por encima de un umbral.
Activa la autenticación multifactor en todas las cuentas de correo y usa contraseñas únicas.
Configura la autenticación del correo (SPF, DKIM y DMARC) en tu dominio para que sea más difícil suplantarte. La FTC explica cómo en su guía de ciberseguridad para pequeñas empresas.
Muestra la dirección completa del remitente en los ordenadores y móviles del personal, y revísala letra a letra.
Vigila reglas de reenvío del buzón que no hayas creado; los atacantes las usan para ocultar respuestas.
Forma a quienes pagan las facturas. Un recordatorio breve y periódico de estas señales es la «mejor defensa» según la FTC.
Ten un plan por si ocurre: llama a tu banco para pedir la retrocesión y denuncia de inmediato al IC3 (EE. UU.), a Action Fraud (Reino Unido) o a la policía. El FBI insiste en que el tiempo es clave.
Antes de pagar una solicitud recibida por correo, pega la dirección del remitente, la web o la factura en PayOrScam. Comprueba la antigüedad del dominio, grafías parecidas, registros de correo, el registro mercantil y los datos bancarios, con la fuente de cada resultado. Después, haz la llamada de confirmación.