El phishing es un mensaje que finge venir de alguien de confianza para que usted pulse, inicie sesión o envíe algo. El fraude por correo dirigido a empresas es la versión que busca dinero: una petición de pagar, o de cambiar adónde va un pago.
Los bufetes manejan fondos de clientes, pagos de acuerdos y documentos delicados, y trabajan con plazos. Este artículo enumera las señales y los hábitos que ayudan. No sustituye el consejo de su abogado ni de su banco.
El problema
El atacante puede copiar a un cliente, a un colega, a un proveedor o a otra parte de una operación. A veces el mensaje sale de un buzón real que el atacante ha tomado, de modo que la dirección parece correcta.
La urgencia es la palanca habitual: una fecha de cierre, un plazo ante el tribunal o un socio que ahora no puede hablar.
Qué se sabe
Los organismos públicos describen este fraude como una estafa dirigida a empresas y a personas que hacen transferencias de fondos, a menudo mediante una cuenta tomada o una cuenta parecida. No usamos ninguna de sus cifras de pérdidas, porque no las hemos verificado de una forma que podamos citar aquí.
El consejo de los organismos es coherente: desconfíe de las peticiones no solicitadas, compruebe una petición inesperada por un segundo canal en el que ya confía y denuncie con rapidez. Si se trata de un cambio de pago, eso significa llamar a un número que ya tenía, no al que figura en el mensaje.
Qué hacer
- Trate todo cambio en las instrucciones de pago o de transferencia como no verificado hasta que alguien llame a la persona a un número que el bufete ya tenía
- Escriba un procedimiento breve para los pagos salientes y exija que dos personas aprueben cualquier beneficiario nuevo o cambio de instrucciones
- Verifique a los contactos nuevos antes de compartir documentos o datos de cuentas, y tenga cuidado con los enlaces y los archivos adjuntos de mensajes inesperados
- Entre en los servicios escribiendo la dirección o usando un marcador guardado, no siguiendo un enlace de un correo
- Haga que avisar de un mensaje sospechoso sea fácil y no acarree reproches, y responda con rapidez para que el personal siga avisando
- Active un segundo paso al iniciar sesión y pregunte a su proveedor de correo por los ajustes de autenticación del correo que dificultan la suplantación
- Revise de vez en cuando las reglas del buzón y los reenvíos, porque a veces el atacante añade una regla para copiar u ocultar mensajes
Señales que conviene buscar
- Una dirección de remitente casi igual a una real, con una letra cambiada o suprimida
- Una petición urgente, secreta o que le pide saltarse el procedimiento habitual
- Datos de pago nuevos, una cuenta nueva o un cambio de banco en un pago que ya estaba acordado
- Una dirección de respuesta distinta de la del remitente, o una conversación que de pronto pasa a otra dirección
- Un archivo adjunto inesperado, un enlace a una página de acceso o la petición de aprobar un inicio de sesión que usted no inició
- Un mensaje que mezcla datos reales con un tono raro, un momento raro o una petición que esa persona no haría normalmente
Qué mirar al implementarlo
- Si el procedimiento escrito dice quién llama, a qué número y dónde anota la llamada
- Si las personas que de verdad envían los pagos conocen el procedimiento, y no solo los socios
- Qué hace el personal en cuanto nota un error: a quién avisa, en qué orden y si el banco figura en esa lista
- Si su abogado ha dicho a quién hay que avisar después de un incidente, porque los deberes de notificación son una cuestión legal
- Si el bufete puede ponerse en contacto con su banco y denunciar ante el Centro de Denuncias de Delitos en Internet del FBI sin buscar los datos en plena crisis