Ataques BEC: por qué crecen y cómo frenarlos

Los ataques BEC están disparados en Europa y obligan a revisar la defensa del correo en cualquier organización. Según ha publicado MuyComputerPRO, Stoïk cifra el aumento en un 119% entre mayo y septiembre y en el último trimestre, mientras la frecuencia de siniestros ha pasado del 4,34% en 2024 al 10,56% en 2025.

La aseguradora también indica que los ciberincidentes que gestiona han subido un 60% frente a los meses previos al verano, aunque la gravedad media del daño se mantiene estable. En ese contexto, Stoïk defiende una combinación de empleados formados, seguridad apoyada en IA y respuesta humana experta. Juan Ignacio Ramallo, country manager de Stoïk en España, señala además que la IA ha profesionalizado, simplificado y abaratado estos ataques, y que ha reducido las barreras técnicas para que actores con menos conocimientos puedan operar a escala.

Qué es un ataque BEC y por qué preocupa tanto

BEC significa Business Email Compromise, es decir, un fraude en el que el atacante se hace pasar por una persona o área de confianza por correo electrónico para conseguir dinero, datos o una acción concreta. No siempre necesita malware sofisticado: muchas veces le basta con una suplantación convincente y con encontrar el momento oportuno.

Por eso preocupa tanto a asociaciones, colegios, parroquias, clubes y empresas. El correo sigue siendo la herramienta con la que se aprueban pagos, se piden cambios de cuenta, se envían facturas o se coordinan altas de personas usuarias y proveedores. Cuando alguien consigue entrar en esa conversación, el problema ya no es solo técnico: también es operativo y económico.

Cómo suele empezar

Los ataques BEC suelen apoyarse en señales muy parecidas a las del trabajo diario: un mensaje urgente, una cuenta aparentemente conocida, un cambio de última hora o una solicitud que parece rutinaria. Ahí está el riesgo: el correo fraudulento no busca llamar la atención, sino parecer normal.

La inteligencia artificial ha empeorado ese escenario porque ayuda a redactar mensajes más creíbles, adaptar el tono y reducir fallos obvios. Según Stoïk, eso ha hecho que el fraude sea más fácil de escalar y más barato de poner en marcha.

Qué cambia para tu organización

La buena noticia es que no hace falta convertir tu entidad en un departamento de seguridad para bajar el riesgo. Sí hace falta ordenar procesos y dejar de confiar en el correo como único canal para validar decisiones sensibles.

Si gestionas actividad con pagos, proveedores, cuotas o inscripciones, un ataque BEC puede afectar a varios frentes a la vez:

• Pagos desviados a cuentas falsas o modificadas a última hora.
• Suplantación de responsables para autorizar algo que no toca.
• Acceso a datos de socios, asistentes, personal o proveedores.
• Interrupción operativa por tener que parar verificaciones y revisar correos.

Por eso la respuesta no debe centrarse solo en bloquear mensajes sospechosos. También conviene revisar quién puede aprobar qué, desde qué canal y con qué validación adicional.

Medidas prácticas que sí reducen el riesgo

Stoïk recomienda dos bases claras: actualización rápida de parches y autenticación robusta. Traducido a la práctica, significa cerrar vulnerabilidades cuanto antes y proteger las cuentas con controles más fuertes que una simple contraseña.

1. Verifica siempre lo sensible por un segundo canal

Si alguien pide un cambio de cuenta bancaria, una transferencia urgente o el alta de un usuario con permisos amplios, no basta con un email. Usa una llamada, una confirmación interna o un circuito de aprobación previo. La regla debe ser simple: lo urgente no se valida en solitario.

2. Forma al equipo con regularidad

Stoïk insiste en la formación periódica para reconocer intentos de phishing cada vez más pulidos. No sirve una charla aislada una vez al año. Funciona mejor repetir ejemplos reales, revisar señales de alerta y explicar qué debe hacer cada persona si detecta algo raro.

3. Limita permisos y accesos

Cuantos menos accesos tenga cada usuario, menor será el impacto si alguien roba una cuenta. Esto vale tanto para personal fijo como para colaboradores, voluntarios o proveedores externos. Tener roles bien definidos ayuda a evitar que un correo comprometido abra demasiadas puertas.

4. Prepara una respuesta rápida

Cuando aparece un BEC, el tiempo cuenta. Conviene saber quién bloquea la cuenta, quién revisa los mensajes recientes, quién avisa a la entidad afectada y quién valida si ha habido pagos o cambios de datos. Si cada paso depende de improvisar, el daño crece.

Cómo encaja la IA en la defensa

La IA no sustituye a la vigilancia humana, pero sí puede ayudar a filtrar alertas, detectar comportamientos anómalos, reducir falsos positivos e intervenir antes de que el incidente escale. Ese es el enfoque que Stoïk considera más sólido: tecnología para ganar velocidad y criterio humano para tomar decisiones en casos delicados.

La clave está en no confundir automatización con blindaje total. La IA puede mejorar la detección, pero un fraude bien planteado seguirá intentando aprovechar la confianza interna, la rutina y la prisa. Por eso la defensa funciona mejor cuando combina herramientas, procesos y personas preparadas.

Preguntas frecuentes

¿Un ataque BEC siempre implica que han hackeado el correo?

No necesariamente. A veces el atacante suplanta una dirección o manipula una conversación sin entrar en la cuenta real. Otras veces sí consigue acceso, pero el objetivo suele ser el mismo: hacerse pasar por alguien de confianza.

¿Basta con tener antivirus o filtros de spam?

No. Son útiles, pero no cubren todos los escenarios. Los ataques BEC suelen apoyarse en el engaño y en la urgencia, así que hace falta también formación, verificación de pagos y autenticación fuerte.

¿Qué es lo primero que debería revisar una organización pequeña?

Empieza por tres cosas: quién puede aprobar pagos o cambios de datos, cómo se verifican esas decisiones y si las cuentas con acceso sensible usan protección reforzada. Con eso ya reduces mucho el riesgo inicial.

En resumen, los ataques BEC crecen porque son eficaces, baratos y cada vez más convincentes. La mejor defensa no es esperar a que llegue el siguiente correo sospechoso, sino revisar ahora los permisos, los procesos de validación y la formación interna. Si además gestionas varias personas, grupos o entidades en una misma organización, una plataforma como GestLogin puede ayudarte a ordenar roles y permisos con más control y menos accesos innecesarios.