Te pueden estar monitoreando tu Email
Te pueden estar monitoreando tu Email
El correo electrónico sigue siendo la principal vía de comunicación de las empresas y también uno de sus mayores puntos débiles, pues cada día, miles de organizaciones operan sin saber que sus cuentas de email pueden estar siendo monitorizadas silenciosamente por ciberdelincuentes, que leen, analizan y utilizan esa información sin levantar sospechas.
En este artículo analizamos cómo y por qué los ciberdelincuentes monitorizan el email de una empresa, qué señales pueden indicar que esto está ocurriendo y, sobre todo, qué medidas técnicas y organizativas son imprescindibles para prevenirlo y cumplir con las obligaciones de seguridad que exige la Normativa de protección de datos (RGPD + LOPDGDD).
¿Qué es un incidente BEC?
Un incidente BEC (Business Email Compromise) es un fraude basado en el compromiso del correo electrónico corporativo de una empresa y en la práctica, ocurre cuando un ciberdelincuente accede o suplanta una cuenta de email legítima (directivo, empleado, proveedor o cliente) y la utiliza para engañar a la propia empresa o a terceros, normalmente con fines económicos.
De forma sencilla, esta sería su secuencia:
- El atacante consigue acceso al correo (phishing, contraseña débil, falta de MFA, malware).
- Monitoriza conversaciones reales durante días o semanas.
- Interviene en el momento adecuado:
- Cambia un número de cuenta en una factura
- Da una orden falsa de pago “urgente”
- Solicita información confidencial
- El destinatario confía porque el email es auténtico o parece auténtico.
Ejemplos habituales:
- Un falso email del “CEO” pidiendo una transferencia urgente.
- Un proveedor “avisa” de un cambio de cuenta bancaria.
- Un despacho profesional envía (sin saberlo) datos personales a un tercero.
Por qué las pymes atraen a los estafadores del correo corporativo
Los atacantes buscan vectores con alto retorno y baja fricción, empresas con pagos frecuentes, proveedores externos y cadenas de validación débiles.
En la práctica, una pequeña consultora o un taller con procedimientos informales para aceptar facturas presenta menos barreras que un gran departamento financiero. Además, la visibilidad pública de estructura, cargos y viajes en redes sociales facilita personalizar los ataques.
Procesos internos que conviene revisar antes de que ocurra el fraude
El problema raramente es solo tecnológico y suele estar en cómo se autoriza una orden, es decir, si bastan un correo y la firma de una sola persona para mover una suma importante, existe un riesgo sistémico.
También es habitual que los cambios de datos bancarios se acepten vía respuesta a un correo, sin comprobación externa o que las cuentas de proveedores se gestionen desde buzones compartidos sin control de accesos.
Impacto en protección de datos y obligaciones legales
Cuando un BEC deriva en la exfiltración de información personal (números de cuenta, nóminas, documentos de empleados), se transforma en una Brecha de seguridad de datos con obligaciones establecidas en el RGPD y la LOPDGDD.
La organización debe evaluar si la confidencialidad, integridad o disponibilidad de datos personales se ha visto comprometida y, si procede, notificar a la Agencia Española de Protección de Datos (AEPD) en un plazo de 72 horas, describiendo la naturaleza de la brecha y las medidas adoptadas.
Por otro lado, pymes que prestan servicios a sectores críticos o actúan como proveedores digitales podrían encajar en obligaciones de la NIS2 o verse afectadas por normas sectoriales (ENS para contratos públicos, DORA para entidades financieras). Esto exige no solo controles técnicos, sino también evidenciar procedimientos, formación y planes de respuesta.
Medidas prácticas y aplicables por una pyme
La defensa eficaz combina controles técnicos con reglas internas visibles y sencillas.
A nivel técnico, implantar autenticación multifactor para todos los accesos al correo y paneles administrativos reduce drásticamente el riesgo de compromiso de cuentas.
Complementariamente, aplicar SPF/DKIM/DMARC mejora la reputación del dominio y ayuda a filtrar correos fraudulentos, aunque no evita el envío desde cuentas legítimas ya comprometidas.
En paralelo, definir reglas de negocio claras y cualquier cambio de datos bancarios deberá confirmarse telefónicamente con un número publicado previamente y siempre siguiendo un registro de llamadas, por ejemplo, las transferencias superiores a un umbral exigirán doble aprobación por personas independientes y las autorizaciones urgentes deben documentarse y justificarse después de la operación.
Estas prácticas convierten el correo en un dato, no en la única fuente de verdad.
Formación y cultura: el mejor refuerzo cuando el atacante es humano
La formación no debe limitarse a enviar un PPT una vez al año, es necesario organizar escenarios prácticos breves y repetidos, con ejercicios que simulen solicitudes de cambio de cuenta o peticiones de pago urgente, con retroalimentación inmediata.
Hay que hacer que el equipo financiero y de recursos humanos practique la verificación por teléfono o mediante plataformas seguras, y documente las comprobaciones realizadas. Esto crea hábitos que reducen la efectividad de la presión y la urgencia, principales tácticas de los atacantes.
Respuesta ante un incidente BEC y obligaciones de conservación
Si se detecta un posible BEC, hay que activar el plan de respuesta, aislando cuentas afectadas, preservar logs (servidores de correo, sistemas de contabilidad, registros de acceso) y notificar internamente a las personas responsables.
Para cumplir con la Normativa de protección de datos, determine si hay riesgo para los derechos y libertades de las personas y si lo hay, se deberá evaluar la necesidad de notificar a la AEPD y comunicar la brecha a las personas afectadas, junto con la aplicación de medidas de mitigación.
Es necesario mantener registros detallados del incidente: son clave para la investigación, la recuperación y, si procede, la comunicación a autoridades como la AEPD o el CERT correspondiente.
Business Adapter® a tu servicio
Si necesitas asesoramiento contacta con tu consultor o contáctanos en el email: info@businessadapter.es, también puedes llamar al 96 131 88 04, o deja tu mensaje en nuestro formulario: