El compromiso del correo empresarial (BEC)
Cómo un atacante toma el control de un buzón de trabajo o suplanta a un remitente conocido, y cómo verificar una solicitud de pago.
En 30 segundos
- Dónde ocurre
- En el correo, con un mensaje que parece venir de un interlocutor conocido, a veces desde la cuenta real de un compañero vulnerado23.
- Qué quiere el atacante
- Obtener un pago no autorizado o contraseñas1.
- El reflejo
- Confirmar toda solicitud de pago o de cambio por un segundo medio de comunicación, con datos de contacto que ya conoce y no con los del mensaje14.
- Si ya lo ha hecho
- Avise de inmediato, incluso después de haber hecho clic. Un aviso rápido limita los daños1.
De qué se trata
En un compromiso del correo empresarial, un atacante usa una dirección de confianza para engañar a un compañero, un cliente o un proveedor. Ha tomado el control de un buzón real, o fabrica un mensaje que imita al remitente. El empleado recibe una solicitud que parece normal, por ejemplo un pago que hacer. Pues bien, los atacantes aprovechan los hábitos de trabajo de una organización para conseguir pagos no autorizados1.
Las fuentes citadas aquí no tratan todas este fraude con ese nombre. Documentan las técnicas que lo hacen posible: suplantación del remitente, cuentas comprometidas, reglas de reenvío ocultas, dominios mal protegidos. La ficha se limita a lo que dicen.
Preguntas directas
¿Qué es un compromiso del correo empresarial?
Es un fraude por correo en el que el atacante hace el papel de una persona de confianza. Las fuentes recogen dos vías. O bien suplanta la identidad del remitente, lo que MITRE llama «Email Spoofing»2. O bien compromete una cuenta legítima y la usa para escribir a los compañeros de la víctima3.
¿Cómo se reconoce el mensaje?
CISA enumera señales habituales: un lenguaje urgente o emocional, una petición de información personal o financiera, direcciones o enlaces incorrectos, como amazan.com4. El mismo texto precisa que la mala ortografía ya no es un indicio fiable, porque algunos correos tienen ahora una gramática perfecta4.
¿Una dirección conocida demuestra quién es el remitente?
No. La suplantación del remitente puede engañar tanto al destinatario humano como a las herramientas de seguridad automáticas2. Un atacante también puede colarse en un hilo de conversación existente, lo que MITRE llama «thread hijacking»2. Y cuando una cuenta interna está realmente comprometida, el atacante aprovecha la confianza que se le concede a esa cuenta para engañar a más personas3.
¿Qué hacer si la solicitud parece real?
No haga clic en ningún enlace ni llame a ningún número que figure en el mensaje. CISA recomienda buscar otra forma de contactar con la empresa o con la persona, por ejemplo un número obtenido en un sitio web verificado, o llamar a un contacto cuyo número ya se tiene4. El NCSC británico añade que las solicitudes importantes recibidas por correo deben verificarse por un segundo tipo de comunicación: SMS, llamada telefónica, inicio de sesión en una cuenta, confirmación por correo postal o en persona1.
¿Hay que avisar de un clic por error?
Sí. El NCSC pide no reprender a quienes caen en la trampa, porque quienes temen sanciones no comunican sus errores a tiempo, o no lo hacen nunca1. También invita a las organizaciones a lograr que los usuarios puedan notificar un correo, incluso después de haber hecho clic1.
1En la piel del atacante1 min
El atacante tiene dos puntos de partida. El primero es una cuenta robada. Según MITRE, una cuenta legítima puede comprometerse controlando el dispositivo del usuario u obteniendo sus credenciales, y el atacante la usa después para engañar a otras personas de la misma organización3. Para robar las credenciales, puede enviar un enlace a un sitio que imita una página de inicio de sesión3.
Una vez dentro del buzón, puede instalar una regla de reenvío. Esta le permite vigilar la actividad de la víctima, robar información y conocer mejor la organización5. También puede permitirle conservar el acceso a los correos de la víctima después de que los administradores restablezcan la contraseña5.
El segundo punto de partida es la suplantación, que no exige ningún acceso. El atacante se informa entonces con lo que es público. Según el NCSC, la información de su sitio web y de sus redes sociales sirve para hacer más convincentes los mensajes dirigidos, en particular para apuntar a un directivo en un ataque llamado «whaling»1. Le interesan más las personas que gestionan fondos o administran los sistemas informáticos1.
2Lo que ve en la pantalla1 min
El mensaje llega de un nombre conocido y reclama una acción rápida. Las señales que describe CISA son la urgencia, la petición de información financiera y una dirección ligeramente falsa4. Un dominio parecido puede bastar: MITRE señala que el grupo Leviathan envió correos con enlaces usando a menudo un dominio «lookalike» fraudulento y una imagen de marca robada6.
El texto a veces es impecable. El NCSC cita un caso en el que un correo falso de factura que «needed urgent attention» estaba bien escrito, sin faltas de ortografía ni de gramática1.
El nombre que aparece no lo dice todo. En la campaña descrita más abajo, el correo parecía venir de una dirección usaid.gov, cuando la dirección de envío real pertenecía al servicio de envío masivo utilizado, con una dirección de respuesta (Reply-To) también en usaid.gov7.
La ilustración siguiente es inventada y está neutralizada. Muestra la forma típica de una solicitud sospechosa.
Ilustración inventada, sin valor real
De : [nombre de un directivo] <[email protected]>
Asunto : [pago urgente]
Cuerpo : [solicitud de pagar enseguida una factura, de mantener
el asunto confidencial y de no hablar con nadie]3Bajo el capóEquipos de TI2 min
En las fuentes se repiten tres mecanismos.
El primero es el robo de credenciales mediante phishing, visto más arriba. Contra él, el NCSC recomienda la autenticación multifactor: con un segundo factor, un atacante no puede acceder a una cuenta solo con la contraseña robada1. CISA da el mismo consejo a los particulares4.
El segundo es la regla de reenvío. Las reglas pueden crearse desde una aplicación local, una interfaz web o una línea de comandos, y enviar los mensajes a destinatarios internos o externos sin límite5. El atacante también puede ocultar la regla modificando sus propiedades mediante la API MAPI de Microsoft, lo que la hace invisible en Outlook, OWA y la mayoría de las herramientas de administración de Exchange5. En Exchange, incluso pueden aplicarse reglas de transporte a todo el correo de una organización5. MITRE aconseja desactivar el reenvío externo, auditar las reglas con regularidad y configurar alertas fuera de banda sobre los envíos inusuales, como los reenvíos masivos5.
El tercero es el control del dominio de envío. MITRE recomienda SPF para verificar el dominio del remitente y DKIM para la integridad de los mensajes, y señala que una política como DMARC ayuda a los destinatarios a filtrar de la misma manera2. El NCSC precisa que DMARC impide que los estafadores suplanten su dominio, y que si el remitente tiene una política DMARC de cuarentena o de rechazo, el destinatario debe aplicarla cuando la validación falla1. Además, MITRE reconoce que el correo interno fraudulento es difícil de bloquear con controles preventivos, porque se basa en el abuso de funciones normales3.
4AutopsiasCasos reales1 min
28 de enero de 2021: la campaña NOBELIUM, primeras oleadas
Microsoft sigue desde enero de 2021 una campaña de correos maliciosos dirigida por NOBELIUM, el actor responsable de los ataques contra SolarWinds7. Comienza el 28 de enero de 2021: el actor envía primero solo la parte de seguimiento del mensaje, para detectar los objetivos que hacen clic, sin entregar ninguna carga maliciosa7. Este caso busca instalar software malicioso y no un pago. Aun así muestra el método: probar, observar quién reacciona, adaptarse7.
25 de mayo de 2021: un remitente de confianza imitado a gran escala
El 25 de mayo de 2021, NOBELIUM usa el servicio legítimo de envío masivo Constant Contact para hacerse pasar por una organización estadounidense de desarrollo7. Apunta a unas 3000 cuentas en más de 150 organizaciones7. En un ejemplo, el correo parece venir de USAID, con una dirección de envío auténtica que termina en @in.constantcontact.com y una dirección de respuesta en usaid.gov7. El enlace lleva primero al servicio legítimo y después a la infraestructura del atacante, que entrega un archivo ISO malicioso7.
Los sistemas automáticos bloquearon la mayoría de los correos y los clasificaron como spam, pero algunos de los primeros mensajes pudieron entregarse7. Microsoft recomienda la autenticación multifactor para limitar el efecto de unas credenciales comprometidas7.
Ficha
- Identificador
- CP-017
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Detectar el phishing (detect_phishing)
- Reflejo Brain
- cr-007
- Esquema
- G1 · Cadena de ataque (Kill Chain)
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1534/ (consultado el 3 de noviembre de 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026)
- Microsoft, «New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog», 27 de mayo de 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «El compromiso del correo empresarial (BEC)», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp017_es_2026,
author = {Brain},
title = {El compromiso del correo empresarial (BEC)},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/},
note = {CC BY 4.0}
}