Ataques sin malware: el riesgo ahora viene disfrazado de correo interno

El uso de identidades ejecutivas falsas y correos meticulosamente elaborados evidencia una evolución en los esquemas de ingeniería social.

Una nueva ola de ataques cibernéticos altamente dirigidos está poniendo a prueba los filtros de seguridad y la atención del personal financiero de empresas en América Latina. De acuerdo con un reciente análisis de Kaspersky, se han detectado múltiples intentos de fraude por correo electrónico en los que los atacantes se hacen pasar por altos ejecutivos, principalmente CEOs, para engañar a los departamentos financieros y desviar fondos mediante facturas falsas.

Los ataques identificados pertenecen a la categoría de compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés). En estos esquemas, los ciberdelincuentes falsifican la identidad de directivos y utilizan tácticas de ingeniería social para construir escenarios creíbles. El objetivo es presionar para que se autoricen pagos urgentes que, en realidad, van a parar a cuentas controladas por los atacantes.

Desde el punto de vista técnico, estos correos se valen de campos de nombre manipulados que muestran al CEO como remitente, aunque la dirección de correo real no guarde ninguna relación con la organización. En algunos casos, se recrea incluso un intercambio ficticio con una firma de abogados o proveedor de servicios, que sirve como “evidencia” para legitimar la solicitud de transferencia. La factura adjunta, aunque falsa, aparenta ser genuina y urgente.

Fabio Assolini, director del Equipo Global de Investigación y Análisis (GReAT) para América Latina en Kaspersky, advirtió que “este ataque destaca por su meticulosa atención al detalle y la explotación de relaciones de confianza. Al fabricar hilos de correo convincentes e imitar a ejecutivos de alto nivel, los atacantes apuestan a que los empleados no cuestionarán solicitudes que parecen auténticas”.

La sofisticación de estos fraudes evidencia un cambio estratégico en los vectores de ataque, ya no se trata de malware masivo ni campañas automatizadas, sino de manipulaciones precisas que explotan tanto vulnerabilidades técnicas como humanas. Por ello, los expertos subrayan la importancia de mecanismos de autenticación reforzada, como el análisis del encabezado completo de los correos, y la capacitación constante para detectar inconsistencias sutiles en remitentes, lenguaje o formato.

Los intentos de suplantación continúan evolucionando, y mientras los atacantes perfeccionan sus métodos, la seguridad digital corporativa debe avanzar al mismo ritmo. Verificar direcciones, confirmar identidades por canales alternativos y mantenerse alerta ya no es solo una buena práctica, sino una necesidad.

Le puede interesar: Los ciberataques por phishing superan los 11 intentos por minuto en algunos países de Centroamérica