Ayer pasó algo raro en la empresa de software. Le llegó un correo a nuestra contable de alguien que se hacía pasar por nuestro jefe pidiendo una transferencia urgente. Cuando estaba a punto de hacerla, se desconfió tras unas preguntas.
Menos mal que no se equivocó, pero luego el jefe preguntó '¿podría haberlo enviado yo?'. Nadie está seguro. ¿Deberíamos implementar un sistema en la empresa contra este tipo de ataques?
Me da curiosidad cómo lo resuelven otras PYMES.
Doki · Migración de infraestructura · 2024
Este ataque se conoce como 'Business Email Compromise' (BEC). Los correos falsos de contabilidad apuntan a los empleados de finanzas.
Solución: Haced un protocolo escrito para todas las transferencias. Se requiere aprobación de mínimo 2 personas. No por email, verificad por teléfono o en persona.
Si el asunto del email incluye 'urgente' y 'confidencial', desconfiad. Los atacantes intentan crear urgencia.
nosotros pasamos por lo mismo... la contable se puso muy nerviosa. luego hicimos un protocolo escrito con el jefe. ahora estamos mas tranquilos
Protocolo de transferencia: 1. Al recibir el email, verifica al remitente por teléfono 2. Datos de la transferencia: importe, cuenta, concepto 3. Aprobación de una segunda persona 4. Luego se realiza la operación 5. Documentar todo
Etiquetad los emails como 'External Email' en el sistema — para resaltar los que vienen de fuera. Así es más difícil que los atacantes imiten mensajes internos.
en contabilidad empezaron a verificar por telefono cada email que ordenaba una transferencia. la verdad es un poco molesto pero seguro
Se explica el ataque BEC: Email falso del jefe, urgencia, orden de transferencia + datos bancarios. Si la contable no hace doble verificación hay pérdidas.
edit: escrito desde el móvil, perdonad las erratas.
Hay un punto que me genera dudas. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.
Si tenéis dudas, escribid os responderé en la medida de lo posible.
Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.
grcaias por escribir pero intentar hacerlo solo es la vía más cara.
también me gustaría saebr si alguien lo hace de otra manera.
¿Creen que esto funciona a cualquier escala? Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.
Las decisiones apresuradas son las que hay que corregir seis meses después.
Resumen breve para nuevos usuarios: Si el permiso y el alcance no están por escrito, que no empiece la prueba.
Si no lo pones por escrito desde el principio, luego surgen discusiones. Si escribís el resultado aquí, también servirá de ayuda a otros.
Creo que es difícil hablar con tanta claridad sobre correo pidiendo dinero a contabilidad. Un informe de escaneo automático no es lo mismo que una prueba de penetración.
Lo importante no es la cifra, sino en qué se basa esa cifra.
Voy a contar mi experiencia. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.
Una copia de seguridad no probada no es una copia de seguridad. Si escribís el resultado aquí, también servirá de ayuda a otros.
Hay tres cosas que revisar al hacer esto. El tiempo que tardas en detectar un problema determina directamente su coste.
Espero que le sea útil.
A nosotros también nos pasa. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.
Eso es todo, disculpa si me he extendido demasiado.
Estoy de acuerdo. Un informe de escaneo automático no es lo mismo que una prueba de penetración.
Que todo el mundo haga algo no significa que sea lo correcto. Yo seguiría por ese camino.
Buen trabajo. Si regañas las falsas alarmas, nadie volverá a reportar.
No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Yo seguiría por ese camino.
Estoy de acuerdo a medias, en parte no. Las decisiones apresuradas son las que hay que corregir seis meses después.
Por supuesto, cambia si tu situación es diferente.