Fraude por email en transferencias bancarias: tecnología y proceso como única defensa real

El correo que parece real porque lo parece todo

Imagina que estás en el tramo final de una operación inmobiliaria. Tu asesoría de títulos te manda un correo, desde la misma dirección de siempre, con el mismo tono de siempre, diciéndote que han cambiado los datos bancarios para la transferencia final. Nada raro a la vista: sin archivos adjuntos, sin enlace que lleve a ningún sitio extraño, sin ninguna señal de alarma técnica. Solo texto.

Ese correo puede ser una estafa. Y tu sistema de seguridad de email probablemente no lo habrá marcado como tal, porque técnicamente no hay nada malicioso en él.

Este es el escenario que más está creciendo en sectores como asesorías inmobiliarias, despachos de abogados, gestorías y empresas de contabilidad: el fraude de suplantación de proveedor, también conocido como Business Email Compromise o BEC. No requiere infectar ningún equipo. No requiere que nadie haga clic en nada. Solo requiere que alguien en tu equipo de finanzas o administración confíe en un correo que parece completamente legítimo.

Por qué tu herramienta de seguridad de email no lo detiene sola

La pregunta que surge de forma casi inmediata en estos casos es lógica: ¿para qué sirve el sistema de seguridad de email si no ha detectado esto?

La respuesta incomoda un poco: las puertas de enlace de correo seguro tradicionales, conocidas como SEG (de herramientas como Mimecast, Proofpoint o similares), están optimizadas para detectar indicadores técnicos de amenaza. Adjuntos con código malicioso, enlaces que apuntan a dominios comprometidos, patrones de phishing conocidos. Cuando el correo fraudulento es simplemente texto pidiendo cambiar un número de cuenta, no hay nada que escanear.

Aquí entra el concepto clave: el atacante no suplanta tu dominio exacto, sino que registra uno muy parecido. Un dominio lookalike. La diferencia puede ser una letra, un guión, una extensión distinta. Para un empleado que recibe decenas de correos al día, esa diferencia es invisible si no la busca activamente.

Las empresas asesoras de títulos o los despachos de abogados son objetivos especialmente cómodos para este tipo de fraude, precisamente porque sí envían de forma legítima instrucciones de transferencia. El receptor no activa la misma alerta mental que con una solicitud de dinero aleatoria, porque ese correo forma parte del flujo normal de trabajo.

Qué herramientas detectan dominios lookalike y suplantación real

No hay un producto que resuelva esto de forma perfecta, y desconfía de cualquier vendedor que te diga lo contrario. Dicho esto, hay diferencias importantes entre lo que ofrecen las soluciones más mencionadas en entornos de servicios financieros.

Mimecast con CyberGraph

La funcionalidad CyberGraph de Mimecast puede añadir un aviso visible en la parte superior del correo cuando detecta que el remitente es nuevo para el receptor, o cuando el dominio fue registrado recientemente. Ese banner no bloquea el mensaje, pero obliga al empleado a detenerse un momento. Si además el correo no supera las verificaciones de autenticación de dominio, Mimecast tiene opciones para enviarlo directamente a cuarentena en vez de a la bandeja de entrada. URL Protection escanea y reescribe los enlaces del mensaje para bloquearlos si llevan a destinos maliciosos, aunque en correos de solo texto este módulo aporta menos.

Check Point con detección de suplantación

Empresas del sector financiero que han vivido situaciones similares a la descrita han señalado que la detección de suplantación de Check Point marcó un dominio parecido antes de que el correo llegara a la bandeja de entrada. El módulo de sandboxing de la misma herramienta está pensado principalmente para malware, pero la detección de dominios lookalike actuó de forma preventiva en ese escenario concreto.

Proofpoint

Proofpoint es una plataforma robusta con buenas capacidades de detección de suplantación, pero su eficacia real en este tipo de fraude depende en gran medida del tiempo y esfuerzo dedicado a su configuración y ajuste. No es una solución que funcione bien desde el primer día sin trabajo de parametrización. Para empresas que no tienen recursos técnicos internos, eso es un factor a tener en cuenta.

Abnormal AI y Avanan

Estas dos soluciones funcionan de forma distinta a las SEG tradicionales: se integran directamente dentro de la plataforma de correo a través de API, sin actuar como puerta de enlace externa. Esto les permite analizar el comportamiento habitual de cada remitente y establecer una línea base de lo que es normal. Cuando un correo de un proveedor con el que llevas meses trabajando llega desde un dominio ligeramente distinto o con un patrón de escritura diferente, la herramienta lo detecta como una anomalía.

La ventaja adicional de las soluciones basadas en API es que pueden retirar correos ya entregados de las bandejas de entrada si posteriormente se confirma que son fraudulentos. Con una SEG, si el correo pasa el filtro y llega a la bandeja de entrada, ya no hay vuelta atrás automatizada.

La desventaja de Abnormal AI es su precio, que lo sitúa fuera del alcance cómodo de muchas pymes. Avanan se presenta como una alternativa con una relación coste-beneficio más ajustada para empresas de tamaño medio.

Respecto a qué solución elegir en el contexto de proveedores españoles: la eficacia de la detección de dominios lookalike no depende tanto de la geografía del proveedor como de la calidad de su base de datos de dominios similares y de su modelo de análisis de comportamiento. Lo que sí importa es la integración con el ecosistema que ya tienes: si usas Microsoft 365 o Google Workspace, hay soluciones que encajan mejor con cada uno, y cambiar toda la arquitectura de email solo para añadir seguridad es un coste que muchas veces no compensa.

La base técnica que deberías tener antes de cualquier herramienta

Antes de contratar nada, hay una configuración técnica que debería estar en orden y que no cuesta dinero extra si tienes acceso a la gestión de tu dominio: SPF, DMARC y DKIM.

• SPF define qué servidores tienen autorización para enviar correo en nombre de tu dominio.
• DKIM añade una firma digital verificable a cada mensaje enviado desde tu dominio.
• DMARC indica a los servidores receptores qué hacer cuando un correo falla las comprobaciones anteriores: dejarlo pasar, marcarlo o rechazarlo directamente.

Con DMARC configurado en modo p=reject, cualquier correo que suplante tu propio dominio será rechazado por el servidor del destinatario antes de llegar a su bandeja de entrada. Esto protege a tus clientes y proveedores de recibir correos fraudulentos que se hagan pasar por ti.

El problema, y esto es importante entenderlo, es que esta configuración no te protege a ti de correos que suplanten a tus proveedores, a menos que ellos también lo tengan bien configurado. Y en muchas pymes del sector legal o inmobiliario, la configuración de autenticación de correo es deficiente o inexistente. Por eso la tecnología sola no es suficiente.

El control que ninguna herramienta puede reemplazar

Varios profesionales de seguridad financiera con experiencia directa en este tipo de incidentes coinciden en el mismo punto: el control más efectivo no es tecnológico, es de proceso.

La regla es simple y no tiene excepciones válidas: cualquier cambio en instrucciones de transferencia bancaria debe verificarse por teléfono, usando un número que ya tengas registrado previamente, nunca el que aparece en el correo que te ha llegado. Llamas al número de siempre. Confirmas. Entonces transfieres.

Esto suena obvio, pero la realidad en muchas empresas es que hay excepciones no documentadas. Urgencia de última hora, cliente que presiona, empleado que no quiere dar sensación de desconfianza. Los atacantes conocen estas presiones y las explotan. Si la política tiene excepciones, los atacantes las encontrarán.

Hay un matiz operativo importante aquí: el equipo de finanzas o administración debe saber explícitamente que ralentizar una transferencia para hacer una llamada de verificación es correcto y no será cuestionado. Si un empleado siente que va a ser criticado por tomarse cinco minutos más en verificar, dejará de verificar. Esa cultura interna vale más que cualquier herramienta.

Entrenamiento específico, no genérico

El entrenamiento habitual de concienciación en ciberseguridad suele girar en torno a mensajes del tipo 'no hagas clic en enlaces sospechosos' o 'desconfía de adjuntos de remitentes desconocidos'. Ese entrenamiento no prepara a nadie para este tipo de fraude, porque aquí no hay enlace que no clicar ni adjunto que no abrir.

Lo que funciona es entrenar el escenario concreto: mostrar al equipo cómo se ve un correo de cambio de instrucciones bancarias fraudulento, en qué fijarse (diferencias sutiles en el dominio del remitente, cambios de tono en la escritura, urgencia inusual), y dejar claro cuál es el procedimiento en ese caso exacto. El entrenamiento genérico crea una sensación de seguridad que no corresponde con el riesgo real al que está expuesta la empresa.

¿Qué cubre el seguro si algo sale mal?

Es una pregunta relevante y la respuesta no es tranquilizadora. Las pólizas de seguro de ciberdelincuencia varían mucho en lo que consideran cubierto cuando el fraude se produce por suplantación de email sin intrusión técnica. Muchas aseguradoras exigen como requisito previo para cubrir este tipo de siniestro que la empresa pueda acreditar controles técnicos y procedimentales básicos: autenticación de dominio configurada, política documentada de verificación de transferencias, y formación demostrable del equipo. Sin esa documentación, el siniestro puede quedar fuera de cobertura. Antes de contratar o renovar cualquier póliza de ciberriesgo, conviene revisar específicamente qué requisitos establece para el fraude por transferencia y si los controles que tienes en marcha los cumplen.

La combinación que funciona en la práctica

No hay una solución única. Lo que hay es una combinación de capas que, juntas, reducen el riesgo a niveles manejables:

• Configuración técnica correcta: SPF, DMARC en modo reject y DKIM en tu dominio, y verificar que tus proveedores habituales también lo tienen.
• Herramienta de detección de suplantación y dominios lookalike: con banners de alerta para remitentes nuevos o dominios similares. La elección concreta depende de tu ecosistema actual y presupuesto.
• Política de verificación telefónica sin excepciones: cualquier cambio en datos bancarios se confirma por voz antes de ejecutar.
• Entrenamiento específico en este escenario: no concienciación genérica, sino simulaciones con el tipo exacto de correo que se recibe en tu actividad.

Para una pyme, el coste de mantener estas capas activas es significativamente menor que el coste de una sola transferencia fraudulenta. No hace falta que sea un importe enorme para que el impacto sea grave: en negocios con márgenes ajustados, perder el equivalente a varios meses de facturación en una sola operación puede ser determinante.

Si en tu empresa salen transferencias frecuentes hacia proveedores externos, despachos o gestorías, vale la pena revisar ahora mismo si el procedimiento de verificación existe, si está documentado y, sobre todo, si realmente se sigue cada vez.