Los Peligros de Enviar Facturas por e-mail: Fraude y Seguridad en la era digital
驴Le han estafado modificando o suplantando el numero de cuenta bancaria en la factura de un proveedor o cliente? 驴Pag贸 una factura recibida por correo electr贸nico pero el dinero no llega a la persona indicada y lo recibe un ciberdelincuente en su cuenta bancaria en el extranjero? En PeriTe elaboramos informes periciales en el que analizamos todo lo sucedido para poder presentarlo como prueba en cualquier disputa o juicio
En la era digital en la que vivimos, el env铆o de facturas por correo electr贸nico se ha convertido en una pr谩ctica empresarial com煤n. Este intercambio de correos aparentemente inofensiva ahorra tiempo y recursos, pero tambi茅n abre la puerta a una serie de riesgos de seguridad inform谩tica que pueden tener consecuencias devastadoras. En este art铆culo, nuestro perito judicial en inform谩tica forense D. PedroJ. Moreno expone en detalle los peligros de enviar facturas por correo electr贸nico y el creciente fraude que acecha en este 谩mbito ( sobre todo la estafa del cambio de n煤mero de cuenta bancaria en correos electr贸nicos), as铆 como consejos para evadir estos fraudes y lo que un perito inform谩tico puede hacer para ayudarte en estos casos.
Modificaci贸n por terceros de las facturas recibidas o enviadas por email: Un Fraude creciente
EL fraude BEC
BEC聽(Business E-mail Compromise聽o聽correo electr贸nico corporativo comprometido)聽es un tipo de fraude contra empresas que realizan transferencias electr贸nicas de dinero. El ciberdelincuente suplanta a uno de nuestros proveedores e intercepta los correos de facturaci贸n que nos env铆a, cambiando la cuenta del banco donde realizar los pagos, de manera que hagamos una transferencia a una cuenta controlada por ellos.
Phishing y Suplantaci贸n de Identidad
El phishing es una de las amenazas m谩s comunes. Los ciberdelincuentes recopilan informaci贸n de contacto de empresas y env铆an facturas falsificadas que parecen leg铆timas. Estas facturas pueden incluir detalles convincentes, como logotipos y encabezados de correo electr贸nico de la empresa, lo que enga帽a a los destinatarios para que realicen pagos en cuentas fraudulentas. El resultado es la p茅rdida de fondos y expolio de datos sensibles. Las t茅cnicas de phishing tambi茅n pueden ser utilizadas para conseguir el usuario y contrase帽a del correo del emisor o receptor del correo para controlar cualquier mensaje enviado o recibido.
Facturaci贸n Falsa y Fraude de Proveedores
Otro peligro que enfrentan las empresas es la facturaci贸n falsa. Los estafadores pueden enviar facturas infladas o completamente inventadas a empresas, confiando en la velocidad y la cantidad de transacciones para que estas facturas pasen desapercibidas. Adem谩s, existe el riesgo de fraude de proveedores, donde los ciberdelincuentes se hacen pasar por proveedores leg铆timos y env铆an facturas falsificadas para pagos que nunca se destinan a la empresa real.
Vulnerabilidades en la Transmisi贸n de Correo Electr贸nico
Intercepci贸n de Correo Electr贸nico (Ataque man in the middle)
Los correos electr贸nicos que contienen facturas y datos financieros pueden ser interceptados por terceros malintencionados mientras viajan por la red. Los datos sensibles pueden ser robados y utilizados para cometer fraudes financieros u otras actividades delictivas.
Este fraude se realiza com煤nmente con el famoso ataque denominado 芦man in the middle禄 o 芦hombre en medio禄. En este tipo de fraudes se intercepta sin autorizaci贸n la comunicaci贸n entre dos servidores de correo. Este ataque permite al ciberdelincuente modificar el correo interceptandolo de varias maneras, ya sea escuchando o esnifando (sniffer) el tr谩fico de la comunicaci贸n o bien obteniendo informaci贸n sensible como credenciales de acceso o informaci贸n financiera para conseguir suplantar la identidad de alguna de las partes. Para que un ataque man in the middle funcione correctamente el estafador debe asegurarse que ser谩 el 煤nico punto de comunicaci贸n entre los dos agentes originales.
En el caso de los correos electr贸nicos el cibercriminal debe ser capaz de interceptar el mail nada m谩s ser emitido en el servidor de correo saliente, o bien justo antes de ser recibido y depositado en el buz贸n de entrada del destinatario. Para llevar a cabo una suplantaci贸n de facturas, el ataque man in the middle suele combinarse el mail spoofing.
Mail Spoofing
El email spoofing, o correo de suplantaci贸n de identidad, es una t茅cnica empleada en los ataques de spam y de phishing para hacerle pensar a un usuario que un mensaje proviene de una persona o entidad que conocen o en la que conf铆an. Mediante la tecnica de 芦spoofing禄 el remitente falsifica los encabezados del correo electr贸nico para que el software cliente muestre la direcci贸n de remitente fraudulenta, que la mayor铆a de los usuarios acepta tal como la ven. A menos que se analice detalladamente los encabezados del correo, los usuarios solamente ver谩n el remitente falso en el mensaje. Si este es un nombre que reconocen y el correo responde a una operativa recurrente, es m谩s que probable que conf铆en en este y te hagan creer que la factura recibida ha sido emitida por un proveedor o cliente de confianza y que 茅sta es aut茅ntica e 铆ntegra. La suplantaci贸n y estafa de facturas se est谩 haciendo cada vez de formas m谩s sofisticadas.
Malware y Virus Adjuntos
Los archivos adjuntos de las facturas pueden contener malware o virus que infecten los sistemas de la empresa receptora. Estos programas maliciosos pueden robar datos, da帽ar la infraestructura de TI o incluso secuestrar informaci贸n sensible.
Evitar enga帽os en facturas y Buenas Pr谩cticas
Firma del correo y/o Cifrado
La firma electr贸nica y el cifrado son herramientas esenciales para proteger las facturas electr贸nicas. Utilizar una firma electr贸nica garantiza la integridad de los documentos, mientras que el cifrado protege los datos adjuntos, asegurando que solo las partes autorizadas tengan acceso.
El protocolo para transferencia simple de correo (SMTP) es el protocolo que utilizan los servidores de correo el para el intercambio de mensajes de correo electr贸nico entre un emisor y un receptor, pero resulta que el protocolo SMTP no proporciona un mecanismo por s铆 mismo para proporcionar la autenticaci贸n de qui茅n remite el correo electr贸nico ni tampoco la integridad de los datos enviados, lo que posibilita la suplantaci贸n de identidad de un correo electr贸nico as铆 como su alteraci贸n durante el env铆o.
La firma DKIM (Domain Keys Identified Mail) es un encabezado a帽adido al mensaje y est谩 asegurado con encriptaci贸n. Una vez que el receptor (o el sistema receptor) determina que un correo electr贸nico est谩 firmado con una firma DKIM v谩lida, certifica que ni el cuerpo del mensaje ni los archivos adjuntos han sido modificados.
El SPF o Sender Policy Framework es un registro que identifica a uno o varios servidores como remitentes permitidos por el dominio que est谩 realizando el env铆o. Con ello se puede determinar si el origen de un correo es efectivamente el emisor que dice ser, previniendo el phishing o suplantaci贸n de identidad del remitente.
As铆 pues, se podr铆a llevar a cabo la suplantaci贸n de facturas mucho m谩s f谩cil en correos electr贸nicos que no cuentan con cabeceras DKIM y/o SPF, ni est谩n firmados electr贸nicamente. Por ese motivo debes de asegurar que tu proveedor de correo te activa estas opciones
Firma digital de las facturas para garantizar que la factura es leg铆tima
La forma m谩s efectiva de garantizar que una factura PDF o en cualquier otro formato no ha sido manipulada es firmarla electr贸nicamente con un certificado digital. Esta operaci贸n, que se puede hacer en segundos, garantiza que el documento que recibe tu cliente no ha sido alterada en ning煤n momento. Basta con indicar al cliente que compruebe la situaci贸n de la firma electr贸nica en el PDF.
El cifrado de correo electr贸nico
El correo electr贸nico resulta ilegible excepto para su emisor y para su receptor, los cuales cuentan con las llaves de cifrado y descrifrado. Por tanto el contenido no puede ser interceptado y alterado por un tercero.
Verificaci贸n Rigurosa de Facturas
La verificaci贸n rigurosa de facturas es crucial. Antes de realizar un pago, verifica siempre la autenticidad de la factura. Compara los detalles con acuerdos previamente establecidos y ante cualquier duda o sospecha comun铆cate directamente con el proveedor para confirmar cualquier cambio en los detalles de pago o para confirmar la cuenta bancaria de pago
Tercero de Confianza
Env铆o del correo electr贸nico a trav茅s de tercero de confianza, pudiendo descargar el receptor del contenido de la comunicaci贸n desde una pasarela segura habilitada por dicho tercero.
Educaci贸n y Capacitaci贸n del Personal
La educaci贸n y la capacitaci贸n del personal son esenciales para prevenir fraudes en las facturas electr贸nicas. Los empleados deben ser conscientes de las amenazas y saber c贸mo identificar correos electr贸nicos fraudulentos y facturas sospechosas. La capacitaci贸n continua y la concienciaci贸n pueden ayudar a evitar errores costosos.
Responsabilidad de las partes implicadas en una estafa de factura digital falsa
Una vez sufrida la ciberestafa y realizado el abono de la cantidad especificada en la factura falsa, 驴en quien recae la responsabilidad? 驴Debe volver a pagar el receptor de la factura para poder recibir lo contratado? 驴Debe el proveedor entregar el producto o servicio sin haber recibido el pago? 驴C贸mo se debe actuar?
驴Es siempre necesario identificar a la v铆ctima de la estafa?
En la mayor铆a de casos judiciales en los que he trabajado como perito inform谩tico en casos de suplantaci贸n de facturas, se suele buscar a la v铆ctima del 芦hackeo禄. Esto se hace con el prop贸sito de responsabilizar a dicha persona por los da帽os econ贸micos y perjuicios a terceros causados por la estafa. Pero la realidad es que el cibercriminal no siempre accede directamente a las cuentas de correo electr贸nico del remitente o del destinatario de la factura digital, sino que intercepta y modificado la comunicaci贸n en tr谩nsito. Hay cuatro posibles agentes, cada uno con diferentes niveles de responsabilidad:
- La persona o entidad que emite la factura digital.
- La persona o entidad receptora de la factura digital.
- El proveedor de servicios de correo electr贸nico del emisor.
- El proveedor de servicios de correo electr贸nico del receptor.
En los casos de suplantaci贸n de facturas digitales a trav茅s del correo electr贸nico, la responsabilidad de cada uno de estos agentes involucrados debe ser evaluada individualmente con la ayuda de un informe pericial inform谩tico utilizando para ello el perito diversos criterios y herramientas forenses.
驴Qu茅 responsabilidad tiene el proveedor de servicios de correo electr贸nico?
En cada caso de estafa por suplantaci贸n de facturas, se debe determinar el grado de responsabilidad de los proveedores de servicios de correo electr贸nico tanto del remitente como del destinatario. Los principales criterios para evaluar esta responsabilidad son:
- Si el cibercriminal intercept贸 las comunicaciones del servidor de correo saliente debido a una vulnerabilidad en el proveedor de correo del remitente, o si intercept贸 las comunicaciones del servidor de correo entrante debido a una vulnerabilidad en el proveedor de correo del destinatario.
- Si los correos electr贸nicos enviados desde los servidores del proveedor del remitente utilizan mecanismos de seguridad, como firmas DKIM o SPF de forma predeterminada o si esta configuraci贸n recae en el usuario.
- Si el servidor de correo entrante del proveedor de servicios del receptor verifica las firmas DKIM y SPF de los correos recibidos y los marca como spam en caso de no considerarlos seguros.
驴Qu茅 responsabilidad tiene el emisor de la factura digital?
Como se ha mencionado antes, el emisor de la factura digital tiene ciertas obligaciones establecidas por la normativa vigente, y es crucial evaluar su cumplimiento en algunos casos de suplantaci贸n de facturas. Algunos de los aspectos a considerar incluyen:
- Si el emisor firma electr贸nicamente las facturas digitales que emite y si estas firmas son v谩lidas.
- Si utiliza formatos inseguros para las facturas digitales, como facturas en papel escaneadas o PDF sin firma electr贸nica.
- Si, a pesar de utilizar formatos inseguros, implementa mecanismos para garantizar la autenticidad y la integridad de la comunicaci贸n de la factura.
驴Qu茅 responsabilidad tiene el receptor de la factura digital?
El receptor de la factura no es eximido de responsabilidad en casos de estafa mediante suplantaci贸n de facturas digitales enviadas por correo electr贸nico. Este tiene la responsabilidad de verificar que la factura recibida cumple con las normativas legales y si presenta una firma electr贸nica v谩lida o si ha sido enviada a trav茅s de un mecanismo que garantiza la autenticidad de la comunicaci贸n.
Existe la falsa creencia de que el correo electr贸nico puede garantizar la autenticidad del remitente, cosa que no es as铆. Si la suplantaci贸n o alteraci贸n fuera suficientemente evidente, podr铆a ser responsabilizado por no verificar adecuadamente la factura recibida.
驴C贸mo lleva a cabo PeriTe las periciales de correos electr贸nicos en casos de fraude?
En una pericial inform谩tica de suplantaci贸n de facturas digitales por correo electr贸nico, el perito inform谩tico debe realizar varias tareas con el objetivo de arrojar luz sobre la identidad del autor de la estafa y el grado de responsabilidad de los proveedores de servicios de correo electr贸nico, as铆 como del emisor y el receptor de las facturas falsificadas.
- Estudio de dominios de email y proveedores de servicios: El perito inform谩tico determinar谩 la identidad de los proveedores de correo electr贸nico tanto del remitente como del destinatario y examinar谩 si existen vulnerabilidades de seguridad conocidas en alguno de ellos. Adem谩s, investigar谩 si utilizan mecanismos de seguridad para enviar y recibir correos electr贸nicos.
- Intervenci贸n forense de los correos electr贸nicos: El perito inform谩tico acceder谩 a las cuentas de correo del remitente y del destinatario de la factura digital falsificada para extraer y preservar los archivos electr贸nicos correspondientes a cada correo, estableciendo una cadena de custodia digital s贸lida sobre los elementos recopilados.
- Examen de los objetos MIME del correo electr贸nico: El perito inform谩tico analizar谩 el c贸digo inform谩tico que compone cada uno de los correos electr贸nicos en busca de evidencias de la interceptaci贸n de las comunicaciones y de informaci贸n sobre la identidad del cibercriminal y el proceso utilizado para falsificar la factura.
- Examen de la factura del emisor: Se verificar谩 si la factura digital original, que fue falsificada por el cibercriminal, cumpl铆a con los requisitos t茅cnicos para las facturas electr贸nicas y si la comunicaci贸n de la factura era lo suficientemente segura como para garantizar su autenticidad y evitar manipulaciones por parte del receptor.
- An谩lisis de como hay sido tratada la factura por la parte receptora: Se evaluar谩 si el receptor de las facturas verifica de manera diligente el origen y la autenticidad de las facturas recibidas, as铆 como la sofisticaci贸n de la t茅cnica de estafa perpetrada por el estafador.
Consejos finales
El env铆o de facturas por correo electr贸nico es una pr谩ctica eficiente pero no exenta de riesgos en la era digital en la que vivimos. El fraude en las facturas electr贸nicas es una amenaza en constante crecimiento que puede tener un impacto significativo en las finanzas y la reputaci贸n de una empresa. La seguridad inform谩tica debe ser una prioridad en todas las transacciones financieras en l铆nea. El seguir buenas pr谩cticas y estar alerta, puedes proteger tus finanzas y datos en un entorno digital cada vez m谩s peligroso.
La concienciaci贸n, la educaci贸n y las medidas de protecci贸n adecuadas son clave para mitigar los peligros. En caso de duda o ante la sospecha de haber recibido una factura falsa es recomendable contactar siempre con un perito inform谩tico especializado en este tipo de delitos inform谩ticos. En PeriTe estamos dispuestos a atenderte de forma profesional.
