Por 
Los "BEC examples" sirven para decidir controles distintos según el objetivo del fraude, y ahí está el punto que las fuentes dejan fragmentado. Un mismo caso puede buscar fondos, credenciales o información, puede evadir autenticidad de correo si usa una cuenta legítima comprometida, y obliga a medir algo más útil que el clic aislado: reporte, validación fuera de banda, monitoreo del correo y preservación de evidencia.
Puestos lado a lado, los ejemplos de BEC muestran que la defensa cambia más por el objetivo del ataque que por la apariencia del correo. Ese cruce permite ver qué control priorizar, qué medir y dónde se queda corto cada enfoque.
| Tema | Qué busca | Cómo se ejecuta | Qué control priorizar | Qué medir | Límite del control | Fuente |
|---|---|---|---|---|---|---|
| Transferencia fraudulenta de fondos | Obtener una transferencia no autorizada de fondos | Compromiso de una cuenta legítima de correo empresarial o envío de instrucciones fraudulentas para transferir dinero, también puede imitar a proveedor o ejecutivo | Confirmar verbalmente cambios de instrucciones de pago con un contacto conocido, limitar autorizados y usar aprobación dual para transferencias por encima de un umbral, a nuevos socios o a nuevas cuentas bancarias | Reportes de usuarios sobre correos sospechosos, tiempo de análisis y validación del incidente, documentación, priorización, reporte y preservación de evidencia | SPF, DKIM y DMARC reducen correo forjado, pero no frenan por sí solos un abuso desde una cuenta legítima ya comprometida | según FBI IC3, CISA y NIST SP 800-61 Rev. 2 |
| Robo de credenciales | Obtener información y credenciales para comprometer cuentas | Ingeniería social en la que los delincuentes se hacen pasar por una institución confiable, junto con aumento de infostealers enviados mediante correos de phishing | Habilitar autenticación multifactor y llevarla al siguiente nivel mediante autenticación resistente al phishing, educar para identificar y reportar correos y enlaces sospechosos | Porcentaje de participantes que modificaron una conducta laboral, por ejemplo reportar un correo sospechoso, tasas de clic contextualizadas con dificultad y tasas de reporte | Las tasas de clic por sí solas no ofrecen una imagen completa de la conducta del personal | según FBI IC3, NIST, NIST SP 800-50 Rev. 1 e IBM X-Force |
| Extracción de información personal o corporativa | Solicitar información de identificación personal para comprometer otras cuentas relacionadas con otros fraudes | Uso de una cuenta empresarial legítima comprometida o mensajes que imitan con precisión a una organización real | No responder a solicitudes de información financiera o personal por correo, contactar a la persona u organización mediante un número telefónico o sitio web legítimo y no usar la información incluida en el correo | Capacidad de detectar, clasificar y declarar incidente usando criterios sobre características conocidas y supuestas, considerando falsos positivos, y preservación de evidencia | La similitud del correo fraudulento con la empresa real puede dificultar detectar el fraude solo por inspección visual del mensaje | según FBI IC3, Departamento de Justicia de Estados Unidos, NIST SP 800-61r3 IPD y NIST SP 800-83 Rev. 1 |
| Suplantación de dominio y correo forjado | Suplantar a una parte confiable para intentar que un empleado envíe dinero, información privilegiada u otro activo | Correo forjado o modificado desde dominios válidos y abuso del canal de correo organizacional | Habilitar STARTTLS, SPF y DKIM, y habilitar DMARC configurado en modo reject, además de filtrado de spam, verificación de malware en gateway, bloqueo de tipos de archivo innecesarios, antivirus y sandboxing | Cobertura de autenticación del correo organizacional y capacidad de monitorear email para detectar phishing, data leaks, exfiltration y otros eventos adversos | El phishing por correo evoluciona para evadir filtros antispam, antivirus y sandboxing, por lo que también debe haber concientización y reporte | según CISA y guías del Gobierno de Brasil |
¿Por qué "bec examples" no equivale a correos curiosos?
La lectura útil para un CISO, IT o compliance es otra: cada example de BEC funciona como un escenario de prueba. Según el FBI IC3, el BEC es una estafa sofisticada dirigida a empresas y personas que realizan solicitudes legítimas de transferencia de fondos, pero la misma fuente también describe variantes que buscan información de identificación personal para comprometer otras cuentas relacionadas con otros fraudes.
Whalemate lee ese punto como un cambio de unidad de análisis. Si el ejemplo se usa solo para awareness, se pierde la decisión central: distinguir si el caso busca transferir fondos, robar credenciales o extraer información, porque cada objetivo exige métricas y controles distintos.
¿Qué cambia cuando el objetivo es dinero, credenciales o información?
Según el FBI IC3, un BEC puede terminar en una transferencia no autorizada de fondos mediante compromiso de una cuenta legítima o mediante instrucciones fraudulentas enviadas a la víctima. Según el FBI IC3 en su alerta sobre phishing, los delincuentes también se hacen pasar por una institución confiable para obtener información y credenciales.
La consecuencia práctica es directa. Un correo que pide cambiar una cuenta bancaria no se mide igual que uno que busca credenciales de acceso o datos personales. Whalemate interpreta que "bec examples" debe ordenar el programa defensivo por objetivo del fraude, no por formato del mensaje.
¿Qué muestran los casos reales sobre la ejecución del fraude?
El Departamento de Justicia de Estados Unidos describe un caso donde el atacante comprometió o imitó el correo de una compañía de títulos inmobiliarios y envió al comprador instrucciones para transferir el pago inicial a una cuenta del atacante. Según esa misma fuente, el correo fraudulento imitaba nombre, dirección, teléfono, dirección de correo, logotipo y tipografía de la empresa real.
Ese nivel de precisión importa porque rompe una suposición habitual. No alcanza con pedirle al usuario que "mire mejor" el correo. Whalemate entiende que estos examples prueban procesos de validación y respuesta, no solo capacidad individual de detección visual.
¿Alcanza con SPF, DKIM y DMARC para frenar BEC?
Según CISA Cybersecurity Performance Goals, el correo corporativo debe habilitar STARTTLS, SPF y DKIM, y DMARC configurado en modo reject, porque phishing y Business Email Compromise son riesgos asociados al correo. Según el manual brasileño basado en CIS Controls y el Framework de privacidad y seguridad de Brasil, también hay que sumar gateway con filtrado de spam, verificación de malware, bloqueo de tipos de archivos innecesarios, antivirus y sandboxing.
La tensión aparece cuando se cruza eso con la descripción operativa del FBI IC3. Según el FBI IC3, el BEC suele ejecutarse cuando el atacante compromete cuentas legítimas de correo empresarial mediante ingeniería social o intrusión informática. La lectura de Whalemate es que la autenticidad del dominio sigue siendo necesaria, pero deja de ser una defensa suficiente cuando el remitente ya es legítimo.
¿Qué pasa cuando el atacante usa una cuenta legítima?
Si el atacante opera desde una cuenta empresarial comprometida, la validación de autenticidad del dominio puede no disparar alertas suficientes. Según el FBI IC3, ese modus operandi forma parte del patrón habitual de BEC, y por eso el problema no es solo correo forjado sino abuso de identidad real.
Acá cambia la decisión defensiva. Según NIST SP 800-61r3 IPD, hay que monitorear correo, web, file sharing, servicios de colaboración y otros vectores comunes para detectar phishing, filtraciones de datos, exfiltración y otros eventos adversos. Whalemate interpreta que el example de BEC deja de ser una muestra de ingeniería social y pasa a ser una prueba de visibilidad operativa sobre el canal de correo.
¿Sirve medir solo la tasa de clic?
Según NIST, las tasas de clic por sí solas no ofrecen una imagen completa de la conducta del personal en programas de phishing awareness. Pero según NIST SP 800-50 Rev. 1, conviene comenzar con las tasas de clic actuales por grupo de usuarios o función laboral para decidir si hace falta capacitación más focalizada.
No hay contradicción total, pero sí una tensión que suele resolverse mal en la práctica. Whalemate lee que el clic puede servir como punto de partida, no como métrica final. La medición útil debe sumar tasa de reporte, reincidencia y dificultad del señuelo, como plantea la NIST Phish Scale al contextualizar clics, reportes y usuarios que repiten el clic.
