Palabras clave en el trabajo: Por que tu empresa necesita un interruptor de emergencia verbal

El problema de $55.5 mil millones del que nadie habla

El compromiso de correo empresarial — o BEC por sus siglas en ingles — es el delito cibernetico mas devastador financieramente en el mundo. Segun el Centro de Quejas de Delitos en Internet (IC3) del FBI, el BEC ha causado $55.5 mil millones en perdidas acumuladas a nivel global, con $2.77 mil millones robados solo en 2024. Sin embargo, la mayoria de las empresas nunca ha escuchado de el, y menos aun tienen defensas implementadas.

El BEC funciona porque explota la confianza, no la tecnologia. Un atacante suplanta a un CEO, un proveedor o un colega y convence a alguien de transferir dinero, compartir credenciales o cambiar detalles de pago. Los correos se ven reales. Las llamadas telefonicas suenan reales. Y ahora, con la clonacion de voz y video deepfake, pueden literalmente ser reales — al menos para la percepcion humana.

El deepfake de Arup: $25 millones perdidos en una sola videollamada

En febrero de 2024, un empleado de finanzas de la firma de ingenieria Arup en Hong Kong se unio a una videoconferencia con lo que parecia ser el director financiero de la empresa y varios colegas. Cada rostro en la llamada era un deepfake. Los participantes generados por IA dieron instrucciones para transferir $25 millones a traves de cinco transacciones. El empleado cumplio. Para cuando se descubrio el fraude, el dinero habia desaparecido a traves de multiples cuentas bancarias.

Este no fue un ataque sofisticado de un estado-nacion. Fue una banda criminal usando herramientas de deepfake disponibles comercialmente. El ataque tuvo exito porque el empleado podia ver y escuchar a personas que se veian y sonaban exactamente como sus companeros de trabajo. La verificacion visual y auditiva — la base de la confianza humana — habia sido completamente comprometida.

"Estamos viendo el uso creciente de video y voz deepfake como parte del fraude BEC. Lo que antes requeria suplantar una direccion de correo electronico ahora implica suplantar a una persona entera." — Division Cibernetica del FBI, 2024

MGM Resorts: Una llamada telefonica, $100 millones en danos

En septiembre de 2023, el grupo de hackers Scattered Spider llamo a la mesa de ayuda de TI de MGM Resorts y se hizo pasar por un empleado. La llamada duro aproximadamente 10 minutos. Usando informacion extraida de LinkedIn, la persona que llamo convencio al tecnico de la mesa de ayuda de restablecer las credenciales del empleado. Esa sola llamada telefonica dio a los atacantes acceso a toda la red de MGM.

El resultado: las maquinas tragamonedas se apagaron en todo Las Vegas, las tarjetas de acceso a habitaciones dejaron de funcionar, y las operaciones de MGM se paralizaron durante 10 dias. El costo estimado supero los $100 millones. Todo porque un tecnico de mesa de ayuda de TI no pudo verificar quien estaba realmente al otro lado de una llamada telefonica.

Por que la seguridad tradicional falla aqui

Las empresas gastan miles de millones en firewalls, deteccion de endpoints y autenticacion multifactor. Pero ninguno de estos protege contra un empleado de confianza que es manipulado socialmente por telefono. La MFA no ayuda cuando el atacante convence a TI de restablecerla. Los filtros de correo no detectan una llamada telefonica. La seguridad de endpoints no impide que un humano autorice una transferencia bancaria.

• Autenticacion multifactor — los atacantes manipulan socialmente a TI para restablecerla
• Filtros de seguridad de correo — irrelevantes cuando el ataque llega por telefono o video
• Identificador de llamadas — falsificable trivialmente para mostrar cualquier numero
• Verificacion visual en videollamadas — derrotada por deepfakes en tiempo real
• Capacitacion en concientizacion de seguridad — ensena a los empleados a detectar correos de phishing, no suplantacion de voz en vivo

La capa faltante: Verificacion verbal

Las palabras clave añaden una comprobación. Pueden revelarse u olvidarse, así que conserva una vía independiente de verificación.

Llama a un número en el que ya confías y sigue el plan acordado. Devolver la llamada es una comprobación independiente, no una garantía. Si nadie contesta o la frase es incorrecta o se olvidó, detén la solicitud y usa la alternativa acordada; eso no prueba fraude por sí solo.

Como implementar palabras clave en el lugar de trabajo

• Establece palabras clave de equipo compartida en persona durante una reunion general — nunca por correo ni chat
• Crea una politica: cualquier transaccion financiera por encima de un umbral (ej. $5,000) requiere confirmacion verbal con las palabras clave
• La mesa de ayuda de TI debe verificar las palabras clave del departamento antes de restablecer contrasenas o MFA
• Rota las palabras clave trimestralmente — anuncia la nueva en la proxima reunion presencial
• Pagos a proveedores: establece palabras clave con los proveedores clave para solicitudes de cambio de pago
• Comunicaciones ejecutivas: si el CEO llama con una solicitud urgente, las palabras clave deben proporcionarse antes de que alguien actue

Suplantacion de proveedores: El vector BEC de mas rapido crecimiento

Segun Abnormal AI, el 60% de los ataques BEC modernos ahora involucran suplantacion de proveedores en lugar de suplantacion de ejecutivos. Un atacante compromete el correo de un proveedor, monitorea los patrones de facturacion y luego envia un mensaje convincente: "Nuestra cuenta bancaria cambio. Por favor actualiza tus registros y envia el proximo pago a esta nueva cuenta."

Antes de cambiar datos de pago, contacta por tu cuenta a una persona conocida usando datos en los que ya confías. Una frase privada añade una comprobación, pero conserva los controles habituales de aprobación. Saberla no autoriza por sí solo una transferencia.

El trabajo remoto empeoro esto

Cuando los equipos trabajaban en la misma oficina, podias caminar al escritorio de alguien y confirmar una solicitud cara a cara. El trabajo remoto e hibrido elimino esa opcion. Ahora, toda la verificacion ocurre a traves de canales digitales — los mismos canales que los deepfakes pueden comprometer. Las palabras clave restauran la capa de confianza presencial a las interacciones remotas.