El correu electrònic té l'aparença que hauria de tenir. Prové de l'adreça real del CEO, en un fil que fa referència a un acord en curs, demanant al vostre controller que transfereixi 47.000 $ a un proveïdor abans del final del dia perquè hi ha una data límit ajustada i "estic en reunions contínues, si us plau, simplement fes-ho". Res d'això sembla sospitós. El to coincideix. La urgència coincideix. Les errades tipogràfiques han desaparegut — l'era del phishing amb un anglès còmicament dolent ha acabat.
Vint minuts més tard, els diners han desaparegut, i el CEO mai va enviar aquest correu electrònic.
Això és el compromís del correu electrònic empresarial, o CEE, i ara és la categoria de ciberdelicte més cara que s'ha informat a l'FBI — més gran que el ransomware, més gran que les filtracions de dades. Només el 2025, el Centre de Queixes de Delictes a Internet de l'FBI va registrar gairebé 25.000 queixes de CEE que sumaven poc més de 3 mil milions de dòlars en pèrdues reportades, en comparació amb els 2,77 mil milions de dòlars de l'any anterior. Durant l'última dècada, les pèrdues acumulades de CEE reportades han superat els 17 mil milions de dòlars, un augment de més de deu vegades des del 2015. I a diferència d'una targeta de crèdit robada, una transferència bancària fraudulenta sovint desapareix per sempre en el moment en què es liquida — aproximadament el 86% de les pèrdues de CEE es mouen mitjançant transferència bancària o ACH, ambdues es liquiden ràpidament i són brutalment difícils de recuperar un cop els fons arriben al compte del defraudador i es tornen a moure.
Les petites i mitjanes empreses estan desproporcionadament exposades. Gestionen diners reals a través dels comptes a pagar cada setmana, però rares vegades tenen els controls de verificació per capes que un gran departament de tresoreria d'una empresa dona per fets. Aquesta bretxa — flux de caixa real, controls escassos — és exactament el que els estafadors de CEE estan dissenyats per explotar.
Com funciona realment l'estafa
El CEE no és realment un problema de pirateria informàtica. És un problema de confiança, i això és el que el fa tan efectiu contra persones ben intencionades i ocupades. La mecànica sol caure en un dels següents patrons:
Suplantació d'identitat executiva. Un missatge que sembla provenir d'un fundador, CEO o CFO — de vegades des d'un compte real però compromès, de vegades des d'un domini suplantat o similar (yourcompany-inc.com en lloc de yourcompany.com) — instrueix algú de finances a fer una transferència bancària urgent i confidencial. La urgència i la confidencialitat són el que fan la feina: desaconsellen al destinatari que ho comprovi amb ningú més abans d'actuar.
Suplantació d'identitat de proveïdor. Un correu electrònic que sembla provenir d'un proveïdor real i existent informa el vostre equip de comptes a pagar que "el nostre banc ha canviat" i proporciona noves instruccions de transferència per al pròxim pagament de la factura. Aquesta variant és particularment perillosa perquè la factura en si sovint és completament legítima — import real, treball real realitzat — amb només el compte de destinació intercanviat. El vostre equip paga una factura que realment deu, però al lloc equivocat.
Apropiació de compte compromès. En lloc de suplantar una adreça de correu electrònic, l'atacant obté accés real a una bústia de correu real — d'un proveïdor, d'un soci, de vegades d'un empleat — mitjançant un atac de phishing previ o una filtració de credencials. Des de dins d'un fil legítim i prèviament de confiança, insereixen una sol·licitud de pagament o redirigeixen una conversa de factura en curs. Com que el correu electrònic s'origina genuïnament des del compte real, les comprovacions tècniques d'autenticació de correu electrònic no el detectaran; només un procés humà ho farà.
Desviació de nòmines. Un missatge que suplanta la identitat d'un empleat demana a RRHH o nòmines que actualitzin les dades de dipòsit directe abans del pròxim cicle de pagament, redirigint discretament un xec (o diversos) a un compte que l'empleat no controla.
El que uneix tot això és que cap d'ells requereix irrompre en els vostres sistemes. Requereixen trobar una persona, en un dia atrafegat, que confia prou en un correu electrònic per ometre un pas de verificació que, d'altra manera, faria.
Els controls que realment ho aturen
La bona notícia: el CEE es derrota gairebé totalment amb processos, no amb tecnologia. Una petita empresa no necessita un centre d'operacions de seguretat — necessita una llista curta de regles que es segueixin cada vegada, sense excepcions per a "però aquesta semblava urgent i legítima".
1. Verificació per trucada de qualsevol canvi en les dades de pagament
Aquest és el control de més alt valor que podeu implementar, i no costa res més que disciplina. Qualsevol sol·licitud de canvi de compte bancari d'un proveïdor, instruccions de transferència o contacte de pagament — sense importar com arribi, sense importar de qui sembli provenir — s'ha de verificar per telèfon abans de processar-la. Críticament, aquesta trucada s'ha de fer a un número de telèfon ja registrat als vostres registres de proveïdors, mai a un número proporcionat en el correu electrònic o missatge de text que fa la sol·licitud. Si l'única manera de "confirmar" el canvi és responent al mateix fil de correu electrònic o trucant al número de la signatura, no heu verificat res — només heu demanat al defraudador que es confirmi a si mateix.
2. Doble aprovació per a pagaments sortints per sobre d'un llindar
Cap persona — independentment del càrrec — hauria de poder originar i aprovar unilateralment una transferència bancària per sobre d'un import en dòlars establert. Una segona revisió independent de les dades de pagament abans del seu alliberament detecta el patró de frau gairebé sempre, perquè el segon revisor no està operant sota la mateixa urgència artificial que la persona que va rebre la sol·licitud original. Establir el llindar prou baix per ser rellevant per a la mida de la vostra empresa; una transferència de 47.000 $ és exactament el tipus d'import de mida mitjana i aspecte plausible que els estafadors de CEE afavoreixen perquè es liquida fàcilment sense activar un escrutini bancari addicional.
3. Tracta la urgència i la confidencialitat com a senyals d'alarma, no com a instruccions
"Gestiona això en silenci", "no impliquis ningú més", "necessito que això estigui fet abans del meu vol" — aquestes frases també existeixen en la comunicació empresarial legítima, que és exactament per què els estafadors les utilitzen. Entrena el teu equip perquè tracti la pressió per saltar-se el procés normal com una raó per anar més a poc a poc i verificar, no una raó per anar més ràpid. Un executiu legítim que tingui pressa de veritat no s'enfadarà si confirmes una transferència bancària per telèfon abans d'enviar-la.
4. Bloqueja els canvis als fitxers mestres de proveïdors
Els canvis als registres de pagaments dels teus proveïdors — nou compte bancari, nova adreça de remesa, nou contacte principal — mereixen el mateix escrutini que els pagaments mateixos. Requereix un segon aprovador per a qualsevol edició del fitxer mestre de proveïdors i considera un breu període de reflexió entre el moment en què s'introdueix un canvi i el moment en què entra en vigor per a la següent execució de pagaments, donant temps a un segon revisor per detectar qualsevol error.
5. Vigila el domini, no només el nom
Entrena el teu equip perquè comprovi el domini d'enviament real en tot allò que impliqui diners, no només el nom de visualització (que és trivial de falsificar). Un missatge de "John Smith, CEO" mereix una segona mirada si l'adreça subjacent és john.smith@yourcompany-corp.com en lloc de john.smith@yourcompany.com. Des del punt de vista tècnic, assegura't que el teu propi domini tingui SPF, DKIM i DMARC configurats — això no impedeix que algú et suplanti, però impedeix que els atacants suplantin amb èxit el teu domini per estafar els teus propis proveïdors i clients.
6. Construeix una cultura de "si mou diners, es verifica" — i facilita-ho
Els controls anteriors només funcionen si la gent els segueix sota pressió, la qual cosa significa que el pas de verificació ha de ser ràpid i normalitzat, no un desviament molest. Mantén una llista de contactes de proveïdors actualitzada i fàcilment accessible amb números de telèfon verificats. Fes que el pas de la devolució de la trucada sigui una part normal i esperada del flux de treball de pagament, en lloc d'alguna cosa que sembli acusar un company de feina d'haver estat estafat. Les empreses més afectades solen ser aquelles on el procés tècnicament existia sobre paper, però ningú el va seguir la vegada que realment importava.
Què fer si ja ha passat
Si es realitza una transferència fraudulenta, la rapidesa és l'única palanca que et queda. Posa't en contacte amb el departament de fraus del teu banc immediatament i sol·licita una retirada o retenció de la transferència — els bancs de vegades poden interceptar fons que no s'han liquidat o compensat completament a través de la institució receptora, però només en un curt període de temps. Presenta una queixa al Centre de Queixes de Delictes per Internet de l'FBI (IC3.gov) tan aviat com sigui possible; l'Equip de Recuperació d'Actius de l'IC3, en alguns casos, ha ajudat a congelar i recuperar fons quan se l'ha notificat ràpidament. Cada hora compta — com més aviat s'informi, millors seran les probabilitats d'interceptar els diners abans que tornin a moure's.
Fes del teu llibre major un control, no només un registre
Cadascun d'aquests controls depèn de poder respondre ràpidament preguntes bàsiques: qui va aprovar aquest pagament, quines eren les dades bancàries del proveïdor abans del "canvi" i aquesta transacció coincideix amb un patró que hem pagat abans. Això és molt més difícil quan els teus llibres són una barreja d'exportacions bancàries, fulls de càlcul i aprovacions a mig recordar — i molt més fàcil quan cada transacció es troba en un únic lloc auditable i amb control de versions.
Beancount.io manté el teu historial complet de pagaments en un llibre major de text pla amb un historial complet de canvis, de manera que verificar el registre de pagaments real d'un proveïdor — en lloc de confiar en qualsevol correu electrònic que acabi d'arribar — triga segons, no una cerca frenètica a través d'extractes antics. Comença gratuïtament i dóna al teu procés de comptes a pagar el rastre documental que fa que el frau BEC sigui fàcil de detectar i difícil d'amagar.