Urgencia, emoción, autoridad: cómo un estafador casi se infiltró en una firma de contadores públicos.

La temporada de impuestos mantiene ocupados a los contadores, y también a los estafadores. A principios de este verano, una firma de contadores públicos se convirtió en el objetivo de alguien que se hizo pasar por un nuevo cliente. El estafador pasó semanas ganándose la confianza antes de actuar. La buena noticia es que esta historia tiene un final feliz. La mejor noticia es que puedes aprender de ella sin tener que vivirla en carne propia.

La puesta en marcha

El contacto se produjo a través de la página de contacto del sitio web de la firma de contadores públicos. El posible cliente tenía nombre, una historia personal y una serie de preguntas razonables sobre la preparación de impuestos. Estaba demasiado enfermo para presentar su declaración de impuestos y preguntó si la firma de contadores públicos podría ayudarle a presentarla fuera de plazo. Durante varias semanas, siguieron llegando correos electrónicos para concertar una reunión y hablar sobre su situación fiscal.

Las estafas como esta se basan en tres factores clave, y nombrarlos ayuda a tu equipo a reconocer el patrón más rápidamente que cualquier detalle técnico. Urgencia, ya que la estafa actúa con rapidez justo cuando se necesita tomar una decisión. Emocionalidad, puesto que una historia personal conmovedora baja la guardia de la persona antes de que aparezca el primer enlace sospechoso. Autoridad, puesto que la solicitud llega envuelta en algo familiar y confiable, en este caso, una herramienta de reuniones que casi todas las empresas usan a diario.

The Switch

El día de la reunión, el estafador envió un mensaje alegando que el enlace de vídeo de la empresa no funcionaba y ofreció un enlace alternativo. El enlace parecía una invitación normal a una reunión de Microsoft Teams, pero no lo era. Al hacer clic en él, se accedía a una página de registro falsa que, sin que el usuario se diera cuenta, registraba el ordenador en un sistema de gestión de dispositivos controlado por el estafador. Desde allí, se ejecutaban scripts ocultos con permisos de sistema elevados que intentaban instalar software de acceso remoto.

El Guardar

Lo que merece ser celebrado es que el software antivirus de la empresa bloqueó ambos intentos de instalar herramientas de acceso remoto. Una revisión exhaustiva posterior no encontró evidencia de robo de datos y confirmó que el sistema de correo electrónico de la empresa permaneció intacto. Solo una computadora detectó el ataque; el resto de la empresa no lo detectó.

La verdadera lección

Hay algunos detalles que hacen que valga la pena compartir esta información, más allá del incidente que casi le cuesta la vida a una empresa. El estafador utilizó un sitio web que llevaba dos años en funcionamiento, por lo que cualquier herramienta que buscara dominios sospechosos nuevos lo habría pasado por alto por completo. Además, el estafador pareció percatarse del software de acceso remoto en el que la empresa ya confiaba e intentó instalar una copia idéntica, con la esperanza de que pasara desapercibida. La lección es sencilla: confíe en la herramienta específica que su equipo configuró, no en cualquier herramienta que comparta su nombre.

Pequeños pasos que ayudan

No necesitas un gran presupuesto de seguridad para reducir el riesgo. Unas pocas medidas asequibles pueden ayudarte a detener estos ataques en distintos puntos.

• Implemente la detección y respuesta de endpoints (EDR) en todas las estaciones de trabajo. En este incidente, la protección de endpoints bloqueó ambas instalaciones de acceso remoto incluso después de que la estafa tuviera éxito en todos los pasos anteriores, convirtiéndose así en el único control que impedía que un clic accidental comprometiera completamente la seguridad.
• Fortalezca su sistema de seguridad humano mediante capacitación periódica en concientización sobre seguridad. Los empleados capacitados para reconocer la urgencia, las emociones y la autoridad, trabajando en conjunto, detectan estafas sin necesidad de filtros, y la pausa que realiza una persona capacitada no tiene costo alguno, a la vez que ahorra semanas de limpieza.
• Elimine los permisos de administrador de las estaciones de trabajo habituales. Los scripts utilizados en este ataque se ejecutaron con permisos de sistema de alto nivel, y una cuenta sin esos permisos convierte el mismo clic en un problema mucho menor.
• Antes de programar reuniones con cualquier cliente potencial, implemente un proceso de verificación de identidad (conozca a su cliente). Solicitar a un nuevo contacto que verifique su identidad, ya sea mediante una llamada a un número registrado, una verificación de identificación oficial o una breve llamada de preselección a través del enlace de la reunión, disuade a los estafadores que utilizan perfiles falsos antes de que puedan concretar una reunión.
• Solicite a su proveedor de TI que bloquee las herramientas de administración de dispositivos y acceso remoto que su empresa no utiliza, en lugar de simplemente verificar su presencia. La configuración de directivas de Windows impide directamente el registro no autorizado de dispositivos, y el control de aplicaciones en la mayoría de las plataformas de punto final detiene las herramientas no autorizadas durante la instalación, en lugar de detectarlas después de que un atacante las haya instalado.
• Inspecciona cada enlace antes de hacer clic y confirma los inesperados llamando al remitente a un número que ya hayas verificado. Al pasar el cursor sobre el enlace, se revela si su destino real no coincide con lo que se muestra, y una llamada a un número conocido y confiable detiene a un estafador que controla el hilo de correo electrónico.

La mayoría de estos pasos requieren más tiempo que dinero, e incluso las soluciones de pago, como EDR, se ajustan al presupuesto de una pyme. Elija una esta semana y empiece por ahí.

¡Arriba esta semana!

Ya haces cien cosas bien cada día para que tu negocio funcione. Añade una más esta semana. Dedica cinco minutos con tu equipo a analizar cómo suena un mensaje real a un nuevo cliente en comparación con un intento de estafa. Estas pequeñas charlas generan confianza, algo que ninguna actualización de software puede reemplazar. ¡Anímate! El progreso siempre supera a la perfección, y leer esto ya te coloca un paso por delante de donde estabas ayer.

---

Fuentes:

• Consulte nuestro Aviso de Amenazas de CyberHoot – CH-TA-2026-0001 para obtener información adicional:

---

¡Proteja su negocio con CyberHoot hoy!