Usted puede recibir un correo electrónico en el trabajo que a primera vista parece ser legítimo. Proviene de alguien a quien usted conoce: un abogado, un representante de recursos humanos (RR. HH.) o un proveedor. Incluso parece haber sido enviado por el director ejecutivo (CEO).

En realidad, es un correo electrónico con suplantación de identidad: uno creado por un estafador para engañarle y lograr que envíe dinero y abra la puerta a su red corporativa. Este tipo de estafa, conocida como vulneración del correo electrónico empresarial (BEC), puede ser uno de los delitos en línea más dañinos desde el punto de vista financiero, según el FBI. [1]

¿Cómo funciona la BEC?

Los estafadores investigan la identidad de sus objetivos, y así pueden falsificar sus identidades, incluso establecer una dirección de correo electrónico que parece ser casi idéntica a la de la víctima. Normalmente, el dominio será diferente solo por una o dos letras, o puede provenir de la dirección de correo electrónico correcta mediante otro dominio.

Una vez que el estafador descifra quién tiene la autoridad para transferir dinero dentro de una compañía, intentarán ganar la confianza al enviar mensajes a esa persona desde la cuenta de correo electrónico falsa. Con frecuencia tienen éxito ya que los destinatarios reconocen al remitente y es posible que no noten la discrepancia en la dirección de correo electrónico.

La estafa no siempre se trata de la transferencia de dinero. Algunas veces, se usa para robar información confidencial, información fiscal o billeteras de criptomonedas.

Las víctimas frecuentes son personas que ocupan puestos en los que pueden autorizar transferencias de fondos:

  • Ejecutivos cuya información suele estar disponible públicamente;
  • Empleados de finanzas, como controladores y personal de cuentas por pagar, que tienen datos bancarios, métodos de pago y números de cuenta, y
  • Los gerentes de RR. HH. que tienen acceso a los registros de empleados.

¿Por qué es peligroso?

Según el Informe sobre delitos en Internet del FBI, las pérdidas derivadas de la BEC ascendieron a unos $3,100 millones en 2025, casi 100 veces más que las provocadas por los ataques de ransomware.[2]

A pesar del éxito de las estafas de BEC, hay algunas cosas de sentido común que las corporaciones y personas pueden hacer para protegerse.

“Tengo el mismo mensaje para los empleados y clientes”, afirma Brittney DeBrouse, gerenta de personal de Operaciones de detección de fraudes de Banca corporativa e institucional de PNC. “Es crucial permanecer alerta ante la amenaza de que el correo electrónico empresarial se vea vulnerado. Es importante nunca tomar un correo electrónico al pie de la letra”. DeBrouse afirma que siempre se debe verificar con cuidado la dirección de correo electrónico para ver si es una suplantación de identidad.

¿Cómo evitar ser engañado por una estafa de BEC?

El FBI proporciona estos consejos generales para evitar las estafas de la BEC:

  • Tenga cuidado con la información que comparte en Internet o en las redes sociales. Al compartir abiertamente datos como los nombres de sus mascotas, los centros educativos a los que ha asistido, los vínculos con sus familiares y su fecha de nacimiento, puede proporcionar a un estafador toda la información que necesita para adivinar su contraseña o responder a sus preguntas de seguridad.
  • No haga clic en ningún elemento de un correo electrónico o mensaje de texto no solicitado en el que se le pida que actualice o verifique la información de su cuenta. Busque usted mismo el número de teléfono de la compañía (no utilice el que le facilite un posible estafador) y llame a la compañía para preguntar si la solicitud es legítima.
  • Examine con atención la dirección de correo electrónico, la URL y la ortografía utilizadas en cualquier tipo de correspondencia. Los estafadores aprovechan pequeñas diferencias para engañar a la vista y ganarse su confianza.
  • Tenga cuidado con lo que descarga. Nunca abra un archivo adjunto de un correo electrónico enviado por alguien que no conozca y desconfíe de los archivos adjuntos que le reenvíen.
  • Configure la autenticación de dos factores (o multifactorial) en cualquier cuenta que lo permita y no la desactive nunca.
  • Tenga especial cuidado si la persona que hace la solicitud le presiona para que actúe con rapidez.

Si usted cree que ha sido víctima, es fundamental tomar medidas lo antes posible. Los delincuentes explotan el tiempo entre la vulneración y la respuesta para hacer tanto daño como sea posible. Las mejores prácticas indican que usted haga lo siguiente:

  • Monitoree las cuentas financieras personales con frecuencia regular para detectar cualquier irregularidad, como depósitos perdidos; y
  • Una vez que haya detectado una anomalía que sugiera una posible intrusión, póngase en contacto con su banco de inmediato para que se puedan bloquear o cerrar sus cuentas y
  • denuncie el asunto ante el Centro de Denuncias de Delitos en Internet del FBI.

Para reportar correos electrónicos sospechosos que parezcan proceder de PNC, reenvíe el mensaje a abuse@pnc.com. Obtenga más información sobre BEC y otros tipos de delitos por Internet visitando el Centro de Quejas para Delitos en Internet del FBI. También puede visitar el Centro de seguridad y privacidad de PNC para obtener actualizaciones sobre estafas actuales y las mejores prácticas para proteger sus cuentas, datos y a sus clientes.