El encabezado de correo que envía tu respuesta directamente a un ladrón

Aquí hay una estafa que cuesta a las empresas estadounidenses más dinero que el ransomware, el malware y las filtraciones de datos combinados, y generalmente no implica ningún malware en absoluto. Sin enlace malicioso. Sin archivo infectado. Nada para que tu antivirus detecte. Solo un correo que parece provenir de tu CFO, y una respuesta que silenciosamente va a otro lugar.

Ese otro lugar es el truco. Y vive en un campo de encabezado que casi ningún cliente de correo te muestra.

El campo se llama Responder a. Ha sido parte del estándar de correo de internet desde el principio — RFC 5322 lo define como la dirección a donde las respuestas "deberían" ir, separada de la dirección De. En un uso legítimo es aburrido y útil. Un boletín se envía desde noreply@company.com pero establece Responder a en support@company.com para que tus preguntas lleguen a un humano. Eso es. Ese es el trabajo honesto.

El compromiso de correo empresarial convierte esa conveniencia en un arma. En lugar del trabajo técnico difícil de falsificar una dirección De — lo cual dispara alarmas de SPF, DKIM y DMARC y se marca como sospechoso — el atacante simplemente registra un dominio similar o un Gmail desechable. Luego establece el nombre visible en "Karen Vasquez, CFO" para que tu bandeja de entrada muestre un nombre humano familiar en negrita. La dirección De real podría ser karen.vasquez.finance@gmail.com, pero no ves eso; ves "Karen Vasquez". Y crucialmente, establecen Responder a en una dirección que controlan.

Así que lees el correo. Es breve, plausible, un poco urgente. "¿Estás en tu escritorio? Necesito que proceses una transferencia antes de que cierre el banco." Haces clic en responder. Tu cliente, siendo útil, dirige tu respuesta a Responder a — no a De. Ahora estás hablando con el atacante, y cada mensaje que envías confirma que caíste en la trampa.

La escala aquí no es un error de redondeo. El Centro de Denuncias de Delitos por Internet del FBI registró $2.9 mil millones en pérdidas reportadas de BEC solo en 2023, en más de 21,000 denuncias. Ese es el número reportado, de personas que notaron y presentaron una denuncia. La cifra real es mayor, porque una transferencia que se ejecuta se ve como un martes normal hasta la conciliación.

Lo que hace esto enloquecedor es que la defensa está ahí y oculta. Cada cliente de correo conoce el valor de Responder a. Casi ninguno lo muestra. Gmail colapsa el remitente en un nombre visible y un pequeño símbolo de intercalación en el que tienes que hacer clic. Outlook oculta las direcciones reales bajo "Ver fuente" o un diálogo de propiedades que la mayoría de las personas nunca ha abierto. El único campo que revela la estafa es el que la interfaz trata como desorden.

Así que entrena el hábito. Antes de responder a cualquier cosa que implique dinero, detalles bancarios cambiados o urgencia, expande el encabezado. En Gmail, haz clic en la flecha hacia abajo junto al nombre del remitente y lee la línea "responder a" actual. Si De dice una cosa y Responder a apunta a un buzón diferente, detente. Esa falta de coincidencia rara vez es inocente en un correo de finanzas.

Mejor aún, no respondas en absoluto. Comienza un nuevo mensaje a la dirección que ya tienes guardada para esa persona, o llama por teléfono a un número que no obtuviste del correo. Los atacantes cuentan con que permanezcas dentro del hilo que construyeron.

La elegancia sombría de esta estafa es que pasa todas las comprobaciones automatizadas al no infringir ninguna regla. La dirección De es técnicamente real. El dominio se autentica correctamente. Nada es falsificado. La mentira no está en la infraestructura — está en la línea que tu software decidió que no necesitabas ver.