Estafa por correo electrónico de órdenes de compra y cotización del mejor precio

Los cibercriminales perfeccionan continuamente sus tácticas, explotando la confianza y la urgencia para engañar a víctimas desprevenidas. Una de esas estrategias engañosas es la estafa por correo electrónico "Orden de compra y cotización del mejor precio". Este mensaje fraudulento se hace pasar por una consulta comercial y engaña a los destinatarios para que revelen información confidencial a través de un sitio web de phishing. Comprender los mecanismos detrás de estas tácticas es crucial para proteger los datos personales y profesionales.

Cómo funciona la táctica

El correo electrónico fraudulento llega con un asunto como "Aviso importante: demora en la entrega de mensajes entrantes". Dice ser de un gerente de ventas de Brite Recruitment Ltd. y solicita al destinatario que revise una orden de compra adjunta y envíe una cotización para obtener el mejor precio. El mensaje parece profesional, lo que aumenta la probabilidad de que los destinatarios, especialmente aquellos que trabajan en ventas o adquisiciones, caigan en la trampa.

Un componente clave de esta estafa es el archivo adjunto con la etiqueta "PDF Reversed Purchase Order-6890", que en realidad no contiene una orden de compra legítima. En su lugar, al hacer clic en el enlace "Descargar", la víctima es redirigida a una página de inicio de sesión de Google falsa. La página falsa afirma que la sesión del usuario ha expirado y le solicita que ingrese su correo electrónico y contraseña.

¿Qué sucede después de ingresar sus credenciales?

Si las víctimas introducen sus credenciales, la información se transmite instantáneamente a los estafadores, lo que les otorga acceso no autorizado a la cuenta de correo electrónico. Con este acceso, los cibercriminales pueden:

• Recopilar datos confidenciales de correos electrónicos anteriores, incluida información financiera y detalles personales.
• Envíe correos electrónicos de phishing desde la cuenta comprometida, haciendo que la táctica parezca más legítima para los nuevos objetivos.
• Intentar robar credenciales: usar contraseñas recopiladas para acceder a otras cuentas, como cuentas bancarias, redes sociales o servicios de almacenamiento en la nube.
• Vender cuentas comprometidas en mercados de la web oscura, lo que alimenta aún más los delitos cibernéticos.

Por qué estos correos electrónicos son tan convincentes

Los correos electrónicos fraudulentos como este están diseñados para evitar sospechas imitando comunicaciones comerciales legítimas. Los cibercriminales aprovechan:

• Suplantación de marca : utilizar el nombre de una empresa honesta para parecer creíble.
• Urgencia y autoridad : crear un sentido de importancia para impulsar acciones apresuradas.

• Enlaces falsos : redireccionan a los usuarios a páginas de inicio de sesión fraudulentas que parecen casi idénticas a las reales.

Muchas de estas tácticas también emplean técnicas de suplantación de correo electrónico, para que parezca que el mensaje fue enviado por una empresa de confianza. Algunas versiones pueden incluir logotipos y formatos de aspecto oficial e incluso firmas falsas para reforzar la autenticidad.

Los peligros ocultos más allá del phishing

Si bien el objetivo principal de esta táctica es el robo de credenciales, los peligros se extienden más allá de las cuentas de correo electrónico comprometidas. Los atacantes pueden aprovechar el acceso a:

• Servicios de almacenamiento en la nube (Google Drive, OneDrive) para recuperar documentos confidenciales.
• Redes corporativas si el correo electrónico pertenece a un empleado, lo que podría provocar violaciones de datos.
• Contactos personales o laborales para difundir malware a través de correos electrónicos engañosos.

Los estafadores también distribuyen archivos adjuntos cargados de malware en campañas de phishing similares. Al hacer clic en un archivo PDF, ISO o ZIP camuflado, se puede instalar un software dañino diseñado para:

• Registra las pulsaciones de teclas (keyloggers) para recopilar contraseñas.
• Cifrar archivos como parte de un ataque de ransomware.
• Establecer acceso remoto para vigilancia no autorizada.

Cómo identificar y evitar ser víctima

Para protegerse contra estas tácticas, es esencial adoptar un enfoque proactivo:

• Verifique el remitente : si un correo electrónico dice ser de una empresa conocida, verifique visitando el sitio web oficial en lugar de hacer clic en los enlaces.
• Inspeccione los enlaces antes de hacer clic : pase el cursor sobre los enlaces para ver a dónde conducen; si no es un dominio legítimo de la empresa, evítelo.
• Tenga cuidado con los archivos adjuntos : los archivos inesperados, especialmente de contactos desconocidos, nunca deben abrirse sin verificación.
• Habilitar la autenticación de dos factores (2FA) : incluso si se toman las credenciales, la 2FA puede evitar el acceso no autorizado a las cuentas.
• Informar correos electrónicos sospechosos : reenvíe los intentos de phishing a su proveedor de correo electrónico o equipo de ciberseguridad para ayudar a prevenir futuros ataques.

Reflexiones finales

Las tácticas como el correo electrónico de phishing "Orden de compra y cotización del mejor precio" están diseñadas para explotar la confianza y la urgencia, por lo que es esencial que los usuarios sean cautelosos. Al reconocer las señales de los correos electrónicos engañosos, verificar las solicitudes de forma independiente e implementar prácticas de seguridad sólidas, las personas y las empresas pueden mantenerse por delante de los cibercriminales. La vigilancia es la mejor defensa en un panorama digital en constante evolución donde las amenazas siguen adaptándose.