Tu antivirus nunca tuvo oportunidad contra un email en blanco

Una encargada de nómina en una empresa mediana recibe un email del CEO. Sin adjuntos. Sin enlaces. Solo cinco líneas pidiéndole que haga una transferencia urgente a un nuevo proveedor antes del corte del mediodía, y por favor guárdalo en secreto, estamos cerrando la adquisición. Transfiere $180,000. El CEO nunca lo envió. Y cada pieza de software de seguridad por la que la empresa pagó vio exactamente nada malo, porque no había nada que ver.

Esto es compromiso de correo empresarial, y es el crimen más costoso en tu bandeja de entrada por un amplio margen. El Centro de Quejas de Delitos por Internet del FBI registró $2.9 mil millones en pérdidas BEC reportadas solo en 2023. El ransomware, lo que todos paniquean, lo que tiene gráficos de calaveras y temporizadores de cuenta regresiva, registró aproximadamente $59.6 millones en pérdidas reportadas ese mismo año. BEC lo supera por un factor de casi cincuenta. Uno de estos obtiene titulares. El otro obtiene tu dinero.

La razón por la que el antivirus falla aquí es casi vergonzosa. Los escáneres de malware funcionan examinando código — un adjunto, un ejecutable, una macro enterrada en una hoja de cálculo. Lo comparan contra firmas conocidas-como-maliciosas o lo observan comportarse en un sandbox. Un email BEC les entrega una nota en texto plano escrita en el tono de tu jefe. No hay carga útil para detonar. El arma es una oración.

Lo que significa que la defensa no puede ser un escáner. Tiene que ser un hábito, y el hábito vive en los encabezados.

Aquí está la señal que la mayoría de la gente nunca busca. El campo From y el campo Reply-To son dos cosas diferentes, y los estafadores explotan la brecha. La línea From muestra un nombre y dirección en la que confías — ceo@yourcompany.com, escrito correctamente. Pero en el momento en que presionas responder, el mensaje se enruta silenciosamente a ceo.finance@gmail-secure-mail.com o algún dominio desechable que el atacante realmente controla. Tu respuesta, con la confirmación de transferencia, navega directamente hacia el delincuente. El nombre de visualización mintió. El Reply-To dijo la verdad.

Así que entrénate para expandir el encabezado antes de actuar sobre cualquier solicitud de dinero. En Gmail, haz clic en la pequeña flecha debajo del nombre del remitente. En Outlook, abre los detalles del mensaje. Si Reply-To no coincide con From, detente. Si el dominio está desfigurado por un carácter — rn haciéndose pasar por m, un .co donde esperabas .com — detente.

La versión más sofisticada ni siquiera se molesta en falsificar tu propio dominio. Suplanta a un vendedor real al que ya pagas. El atacante se sienta en una cuenta de proveedor comprometida durante semanas, lee el hilo real de facturación, luego envía en el momento perfecto: "Hemos actualizado nuestros datos bancarios, por favor usa la nueva cuenta." Esta variante es brutal precisamente porque el email es auténtico — viene de la bandeja de entrada real y comprometida del proveedor. SPF, DKIM y DMARC pasan limpios, porque el mensaje genuinamente se originó donde dice que se originó. La autenticación confirma el remitente. No puede confirmar la honestidad del remitente.

Esa es la verdad incómoda debajo de todo esto: toda la estafa se basa en confianza y prisa, dos cosas que ninguna base de datos de firmas puede medir. Un CEO que "nunca usa el email así" de repente lo hace. Un vendedor que te ha facturado de la misma manera durante tres años de repente cambia de cuentas. La solicitud siempre llega con una razón que no puedes verificar antes del mediodía.

Así que verifica por otro canal. Llama al número que ya tienes — no al que aparece en el email. Una llamada telefónica de diez segundos ha deshecho transferencias de seis cifras de manera más confiable que cualquier producto con un firewall en su nombre. Los estafadores están apostando a que no levantarás el teléfono. Demuéstrale que están equivocados.