--- id: CP-017 slug: compromiso-correo-empresarial-bec lang: es title: El compromiso del correo empresarial (BEC) description: Cómo un atacante toma el control de un buzón de trabajo o suplanta a un remitente conocido, y cómo verificar una solicitud de pago. canonical_url: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ markdown_url: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «El compromiso del correo empresarial (BEC)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ it: https://startbrain.io/cyberpedia/it/articles/compromissione-posta-aziendale-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # El compromiso del correo empresarial (BEC) En un compromiso del correo empresarial, un atacante usa una dirección de confianza para engañar a un compañero, un cliente o un proveedor. Ha tomado el control de un buzón real, o fabrica un mensaje que imita al remitente. El empleado recibe una solicitud que parece normal, por ejemplo un pago que hacer. Pues bien, los atacantes aprovechan los hábitos de trabajo de una organización para conseguir pagos no autorizados [1]. Las fuentes citadas aquí no tratan todas este fraude con ese nombre. Documentan las técnicas que lo hacen posible: suplantación del remitente, cuentas comprometidas, reglas de reenvío ocultas, dominios mal protegidos. La ficha se limita a lo que dicen. ## En 30 segundos - Dónde ocurre: en el correo, con un mensaje que parece venir de un interlocutor conocido, a veces desde la cuenta real de un compañero vulnerado [2][3]. - Qué quiere el atacante: obtener un pago no autorizado o contraseñas [1]. - El reflejo: confirmar toda solicitud de pago o de cambio por un segundo medio de comunicación, con datos de contacto que ya conoce y no con los del mensaje [1][4]. - Si ya lo ha hecho: avise de inmediato, incluso después de haber hecho clic. Un aviso rápido limita los daños [1]. ## Preguntas directas ### ¿Qué es un compromiso del correo empresarial? Es un fraude por correo en el que el atacante hace el papel de una persona de confianza. Las fuentes recogen dos vías. O bien suplanta la identidad del remitente, lo que MITRE llama «Email Spoofing» [2]. O bien compromete una cuenta legítima y la usa para escribir a los compañeros de la víctima [3]. ### ¿Cómo se reconoce el mensaje? CISA enumera señales habituales: un lenguaje urgente o emocional, una petición de información personal o financiera, direcciones o enlaces incorrectos, como amazan.com [4]. El mismo texto precisa que la mala ortografía ya no es un indicio fiable, porque algunos correos tienen ahora una gramática perfecta [4]. ### ¿Una dirección conocida demuestra quién es el remitente? No. La suplantación del remitente puede engañar tanto al destinatario humano como a las herramientas de seguridad automáticas [2]. Un atacante también puede colarse en un hilo de conversación existente, lo que MITRE llama «thread hijacking» [2]. Y cuando una cuenta interna está realmente comprometida, el atacante aprovecha la confianza que se le concede a esa cuenta para engañar a más personas [3]. ### ¿Qué hacer si la solicitud parece real? No haga clic en ningún enlace ni llame a ningún número que figure en el mensaje. CISA recomienda buscar otra forma de contactar con la empresa o con la persona, por ejemplo un número obtenido en un sitio web verificado, o llamar a un contacto cuyo número ya se tiene [4]. El NCSC británico añade que las solicitudes importantes recibidas por correo deben verificarse por un segundo tipo de comunicación: SMS, llamada telefónica, inicio de sesión en una cuenta, confirmación por correo postal o en persona [1]. ### ¿Hay que avisar de un clic por error? Sí. El NCSC pide no reprender a quienes caen en la trampa, porque quienes temen sanciones no comunican sus errores a tiempo, o no lo hacen nunca [1]. También invita a las organizaciones a lograr que los usuarios puedan notificar un correo, incluso después de haber hecho clic [1]. ## En la piel del atacante El atacante tiene dos puntos de partida. El primero es una cuenta robada. Según MITRE, una cuenta legítima puede comprometerse controlando el dispositivo del usuario u obteniendo sus credenciales, y el atacante la usa después para engañar a otras personas de la misma organización [3]. Para robar las credenciales, puede enviar un enlace a un sitio que imita una página de inicio de sesión [3]. Una vez dentro del buzón, puede instalar una regla de reenvío. Esta le permite vigilar la actividad de la víctima, robar información y conocer mejor la organización [5]. También puede permitirle conservar el acceso a los correos de la víctima después de que los administradores restablezcan la contraseña [5]. El segundo punto de partida es la suplantación, que no exige ningún acceso. El atacante se informa entonces con lo que es público. Según el NCSC, la información de su sitio web y de sus redes sociales sirve para hacer más convincentes los mensajes dirigidos, en particular para apuntar a un directivo en un ataque llamado «whaling» [1]. Le interesan más las personas que gestionan fondos o administran los sistemas informáticos [1]. ## Lo que ve en la pantalla El mensaje llega de un nombre conocido y reclama una acción rápida. Las señales que describe CISA son la urgencia, la petición de información financiera y una dirección ligeramente falsa [4]. Un dominio parecido puede bastar: MITRE señala que el grupo Leviathan envió correos con enlaces usando a menudo un dominio «lookalike» fraudulento y una imagen de marca robada [6]. El texto a veces es impecable. El NCSC cita un caso en el que un correo falso de factura que «needed urgent attention» estaba bien escrito, sin faltas de ortografía ni de gramática [1]. El nombre que aparece no lo dice todo. En la campaña descrita más abajo, el correo parecía venir de una dirección usaid.gov, cuando la dirección de envío real pertenecía al servicio de envío masivo utilizado, con una dirección de respuesta (Reply-To) también en usaid.gov [7]. La ilustración siguiente es inventada y está neutralizada. Muestra la forma típica de una solicitud sospechosa. ```text Ilustración inventada, sin valor real De : [nombre de un directivo] Asunto : [pago urgente] Cuerpo : [solicitud de pagar enseguida una factura, de mantener el asunto confidencial y de no hablar con nadie] ``` ## Bajo el capó En las fuentes se repiten tres mecanismos. El primero es el robo de credenciales mediante phishing, visto más arriba. Contra él, el NCSC recomienda la autenticación multifactor: con un segundo factor, un atacante no puede acceder a una cuenta solo con la contraseña robada [1]. CISA da el mismo consejo a los particulares [4]. El segundo es la regla de reenvío. Las reglas pueden crearse desde una aplicación local, una interfaz web o una línea de comandos, y enviar los mensajes a destinatarios internos o externos sin límite [5]. El atacante también puede ocultar la regla modificando sus propiedades mediante la API MAPI de Microsoft, lo que la hace invisible en Outlook, OWA y la mayoría de las herramientas de administración de Exchange [5]. En Exchange, incluso pueden aplicarse reglas de transporte a todo el correo de una organización [5]. MITRE aconseja desactivar el reenvío externo, auditar las reglas con regularidad y configurar alertas fuera de banda sobre los envíos inusuales, como los reenvíos masivos [5]. El tercero es el control del dominio de envío. MITRE recomienda SPF para verificar el dominio del remitente y DKIM para la integridad de los mensajes, y señala que una política como DMARC ayuda a los destinatarios a filtrar de la misma manera [2]. El NCSC precisa que DMARC impide que los estafadores suplanten su dominio, y que si el remitente tiene una política DMARC de cuarentena o de rechazo, el destinatario debe aplicarla cuando la validación falla [1]. Además, MITRE reconoce que el correo interno fraudulento es difícil de bloquear con controles preventivos, porque se basa en el abuso de funciones normales [3]. ## Autopsias ### 28 de enero de 2021: la campaña NOBELIUM, primeras oleadas Microsoft sigue desde enero de 2021 una campaña de correos maliciosos dirigida por NOBELIUM, el actor responsable de los ataques contra SolarWinds [7]. Comienza el 28 de enero de 2021: el actor envía primero solo la parte de seguimiento del mensaje, para detectar los objetivos que hacen clic, sin entregar ninguna carga maliciosa [7]. Este caso busca instalar software malicioso y no un pago. Aun así muestra el método: probar, observar quién reacciona, adaptarse [7]. ### 25 de mayo de 2021: un remitente de confianza imitado a gran escala El 25 de mayo de 2021, NOBELIUM usa el servicio legítimo de envío masivo Constant Contact para hacerse pasar por una organización estadounidense de desarrollo [7]. Apunta a unas 3000 cuentas en más de 150 organizaciones [7]. En un ejemplo, el correo parece venir de USAID, con una dirección de envío auténtica que termina en @in.constantcontact.com y una dirección de respuesta en usaid.gov [7]. El enlace lleva primero al servicio legítimo y después a la infraestructura del atacante, que entrega un archivo ISO malicioso [7]. Los sistemas automáticos bloquearon la mayoría de los correos y los clasificaron como spam, pero algunos de los primeros mensajes pudieron entregarse [7]. Microsoft recomienda la autenticación multifactor para limitar el efecto de unas credenciales comprometidas [7]. ## Fuentes 1. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultado el 3 de noviembre de 2026) 4. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026) 7. Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 de mayo de 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.