--- title: "BEC examples: qué medir y decidir en LATAM | Whalemate" description: "Los BEC examples sirven para probar controles. La decisión cambia según si buscan fondos, credenciales o información, y no se mide solo con clics." url: https://www.whalemate.com/recursos/blog/bec-examples-medir-decidir-latam/ lang: es updated: 2026-10-23 alternates: en: https://www.whalemate.com/en/resources/blog/bec-examples-what-measure-latam/ pt-BR: https://www.whalemate.com/br/recursos/blog/casos-bec-medir-latam/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # BEC examples: qué medir y decidir en LATAM Los BEC examples sirven para probar controles. La decisión cambia según si buscan fondos, credenciales o información, y no se mide solo con clics. 23 de oct de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 11 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![BEC examples: qué medir y decidir en LATAM](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/bec-examples-medir-decidir-latam.webp) En este artículo 1. [¿Por qué "bec examples" no equivale a correos curiosos?](#s1) 2. [¿Qué cambia cuando el objetivo es dinero, credenciales o información?](#s2) 3. [¿Qué muestran los casos reales sobre la ejecución del fraude?](#s3) 4. [¿Alcanza con SPF, DKIM y DMARC para frenar BEC?](#s4) 5. [¿Qué pasa cuando el atacante usa una cuenta legítima?](#s5) 6. [¿Sirve medir solo la tasa de clic?](#s6) 7. [¿Qué se debería medir en un programa centrado en BEC?](#s7) 8. [¿Cómo se resuelve la tensión entre autenticación fuera de banda y validación por segundo canal?](#s8) 9. [¿Qué rol tiene MFA resistente al phishing en "bec examples"?](#s9) 10. [¿Qué exigen respuesta a incidentes y preservación de evidencia?](#s10) 11. [¿Por qué castigar clics puede empeorar el programa?](#s11) 12. [¿Qué decisión habilita esto para CISO, IT y compliance en LATAM?](#s12) 13. [¿Qué leer después?](#s13) Los "BEC examples" sirven para decidir controles distintos según el objetivo del fraude, y ahí está el punto que las fuentes dejan fragmentado. Un mismo caso puede buscar fondos, credenciales o información, puede evadir autenticidad de correo si usa una cuenta legítima comprometida, y obliga a medir algo más útil que el clic aislado: reporte, validación fuera de banda, monitoreo del correo y preservación de evidencia. Puestos lado a lado, los ejemplos de BEC muestran que la defensa cambia más por el objetivo del ataque que por la apariencia del correo. Ese cruce permite ver qué control priorizar, qué medir y dónde se queda corto cada enfoque. | Tema | Qué busca | Cómo se ejecuta | Qué control priorizar | Qué medir | Límite del control | Fuente | | --- | --- | --- | --- | --- | --- | --- | | Transferencia fraudulenta de fondos | Obtener una transferencia no autorizada de fondos | Compromiso de una cuenta legítima de correo empresarial o envío de instrucciones fraudulentas para transferir dinero, también puede imitar a proveedor o ejecutivo | Confirmar verbalmente cambios de instrucciones de pago con un contacto conocido, limitar autorizados y usar aprobación dual para transferencias por encima de un umbral, a nuevos socios o a nuevas cuentas bancarias | Reportes de usuarios sobre correos sospechosos, tiempo de análisis y validación del incidente, documentación, priorización, reporte y preservación de evidencia | SPF, DKIM y DMARC reducen correo forjado, pero no frenan por sí solos un abuso desde una cuenta legítima ya comprometida | según FBI IC3, CISA y NIST SP 800-61 Rev. 2 | | Robo de credenciales | Obtener información y credenciales para comprometer cuentas | Ingeniería social en la que los delincuentes se hacen pasar por una institución confiable, junto con aumento de infostealers enviados mediante correos de phishing | Habilitar autenticación multifactor y llevarla al siguiente nivel mediante autenticación resistente al phishing, educar para identificar y reportar correos y enlaces sospechosos | Porcentaje de participantes que modificaron una conducta laboral, por ejemplo reportar un correo sospechoso, tasas de clic contextualizadas con dificultad y tasas de reporte | Las tasas de clic por sí solas no ofrecen una imagen completa de la conducta del personal | según FBI IC3, NIST, NIST SP 800-50 Rev. 1 e IBM X-Force | | Extracción de información personal o corporativa | Solicitar información de identificación personal para comprometer otras cuentas relacionadas con otros fraudes | Uso de una cuenta empresarial legítima comprometida o mensajes que imitan con precisión a una organización real | No responder a solicitudes de información financiera o personal por correo, contactar a la persona u organización mediante un número telefónico o sitio web legítimo y no usar la información incluida en el correo | Capacidad de detectar, clasificar y declarar incidente usando criterios sobre características conocidas y supuestas, considerando falsos positivos, y preservación de evidencia | La similitud del correo fraudulento con la empresa real puede dificultar detectar el fraude solo por inspección visual del mensaje | según FBI IC3, Departamento de Justicia de Estados Unidos, NIST SP 800-61r3 IPD y NIST SP 800-83 Rev. 1 | | Suplantación de dominio y correo forjado | Suplantar a una parte confiable para intentar que un empleado envíe dinero, información privilegiada u otro activo | Correo forjado o modificado desde dominios válidos y abuso del canal de correo organizacional | Habilitar STARTTLS, SPF y DKIM, y habilitar DMARC configurado en modo reject, además de filtrado de spam, verificación de malware en gateway, bloqueo de tipos de archivo innecesarios, antivirus y sandboxing | Cobertura de autenticación del correo organizacional y capacidad de monitorear email para detectar phishing, data leaks, exfiltration y otros eventos adversos | El phishing por correo evoluciona para evadir filtros antispam, antivirus y sandboxing, por lo que también debe haber concientización y reporte | según CISA y guías del Gobierno de Brasil | ## ¿Por qué "bec examples" no equivale a correos curiosos? La lectura útil para un CISO, IT o compliance es otra: cada example de BEC funciona como un escenario de prueba. Según el FBI IC3, el BEC es una estafa sofisticada dirigida a empresas y personas que realizan [solicitudes legítimas de transferencia de fondos](https://www.ic3.gov/CrimeInfo/BEC), pero la misma fuente también describe variantes que buscan información de identificación personal para comprometer otras cuentas relacionadas con otros fraudes. Whalemate lee ese punto como un cambio de unidad de análisis. Si el ejemplo se usa solo para awareness, se pierde la decisión central: distinguir si el caso busca transferir fondos, robar credenciales o extraer información, porque cada objetivo exige métricas y controles distintos. ## ¿Qué cambia cuando el objetivo es dinero, credenciales o información? Según el FBI IC3, un BEC puede terminar en una transferencia no autorizada de fondos mediante compromiso de una cuenta legítima o mediante instrucciones fraudulentas enviadas a la víctima. Según el FBI IC3 en su alerta sobre phishing, los delincuentes también se hacen pasar por una institución confiable para obtener información y credenciales. La consecuencia práctica es directa. Un correo que pide cambiar una cuenta bancaria no se mide igual que uno que busca credenciales de acceso o datos personales. Whalemate interpreta que "bec examples" debe ordenar el programa defensivo por objetivo del fraude, no por formato del mensaje. ## ¿Qué muestran los casos reales sobre la ejecución del fraude? El Departamento de Justicia de Estados Unidos describe un caso donde el atacante comprometió o imitó el correo de una compañía de títulos inmobiliarios y envió al comprador [instrucciones para transferir](https://www.justice.gov/usao-az/pr/us-attorneys-office-and-fbi-phoenix-highlight-email-scams-and-preventive-measures-part) el pago inicial a una cuenta del atacante. Según esa misma fuente, el correo fraudulento imitaba nombre, dirección, teléfono, dirección de correo, logotipo y tipografía de la empresa real. Ese nivel de precisión importa porque rompe una suposición habitual. No alcanza con pedirle al usuario que "mire mejor" el correo. Whalemate entiende que estos examples prueban procesos de validación y respuesta, no solo capacidad individual de detección visual. ## ¿Alcanza con SPF, DKIM y DMARC para frenar BEC? Según CISA Cybersecurity Performance Goals, el correo corporativo debe habilitar STARTTLS, SPF y DKIM, y DMARC configurado en modo reject, porque phishing y Business Email Compromise son riesgos asociados al correo. Según el manual brasileño basado en CIS Controls y el Framework de privacidad y seguridad de Brasil, también hay que sumar gateway con filtrado de spam, verificación de malware, bloqueo de tipos de archivos innecesarios, antivirus y sandboxing. La tensión aparece cuando se cruza eso con la descripción operativa del FBI IC3. Según el FBI IC3, el BEC suele ejecutarse cuando el atacante compromete cuentas legítimas de correo empresarial mediante ingeniería social o intrusión informática. La lectura de Whalemate es que la autenticidad del dominio sigue siendo necesaria, pero deja de ser una defensa suficiente cuando el remitente ya es legítimo. ## ¿Qué pasa cuando el atacante usa una cuenta legítima? Si el atacante opera desde una cuenta empresarial comprometida, la validación de autenticidad del dominio puede no disparar alertas suficientes. Según el FBI IC3, ese modus operandi forma parte del patrón habitual de BEC, y por eso el problema no es solo correo forjado sino abuso de identidad real. Acá cambia la decisión defensiva. Según NIST SP 800-61r3 IPD, hay que monitorear correo, web, file sharing, servicios de colaboración y otros vectores comunes para detectar phishing, filtraciones de datos, exfiltración y otros eventos adversos. Whalemate interpreta que el example de BEC deja de ser una muestra de ingeniería social y pasa a ser una prueba de visibilidad operativa sobre el canal de correo. ## ¿Sirve medir solo la tasa de clic? Según NIST, las [tasas de clic](https://www.whalemate.com/recursos/blog/cisa-nist-cis-phishing-exige/) por sí solas no ofrecen una imagen completa de la conducta del personal en programas de phishing awareness. Pero según NIST SP 800-50 Rev. 1, conviene comenzar con las tasas de clic actuales por grupo de usuarios o función laboral para decidir si hace falta capacitación más focalizada. No hay contradicción total, pero sí una tensión que suele resolverse mal en la práctica. Whalemate lee que el clic puede servir como punto de partida, no como métrica final. La medición útil debe sumar tasa de reporte, reincidencia y dificultad del señuelo, como plantea la NIST Phish Scale al contextualizar clics, reportes y usuarios que repiten el clic. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué se debería medir en un programa centrado en BEC? Según NIST SP 800-50 Rev. 1, una métrica de cambio de conducta es el porcentaje de participantes que modificaron una conducta laboral, por ejemplo reportar un correo sospechoso de phishing. Según CISA, [reportar phishing](https://www.cisa.gov/secure-our-world/recognize-and-report-phishing) protege no solo al usuario sino también a otras personas de la organización. Para Whalemate, eso baja "bec examples" a un tablero medible. Hay que observar reportes de usuarios, tiempo de respuesta, capacidad de clasificar el evento, reincidencia, y si hubo validación fuera de banda cuando el scenario pedía dinero o cambio de datos bancarios. El [risk score](https://www.whalemate.com/recursos/blog/human-risk-management-mide-habilita/), en esta lógica, sirve para priorizar intervenciones y no para disciplinar personas. ## ¿Cómo se resuelve la tensión entre autenticación fuera de banda y validación por segundo canal? Según NIST SP 800-63B, el correo electrónico no debe usarse para [autenticación fuera de banda](https://pages.nist.gov/800-63-4/sp800-63b/authenticators/) porque puede ser vulnerable a acceso usando solo una contraseña. Según CISA, los cambios de instrucciones de pago deben confirmarse verbalmente llamando a un contacto conocido y no al número incluido en el correo. La FTC también recomienda exigir que los empleados llamen para confirmar solicitudes de transferencia recibidas por correo electrónico. La lectura de Whalemate es que no se trata del mismo problema, aunque en muchas organizaciones se mezclen. NIST habla de no usar el correo como factor de autenticación. CISA y la FTC hablan de validación de procesos de pago por un canal independiente y confiable. Para BEC, la decisión correcta es separar identidad digital de validación operativa de transacciones. ## ¿Qué rol tiene MFA resistente al phishing en "bec examples"? Según NIST, hay que habilitar autenticación multifactor y llevarla al siguiente nivel mediante autenticación resistente al phishing. Esa prioridad gana peso cuando el example apunta a robo de credenciales, más todavía porque IBM X-Force informó que el abuso de identidades de usuario fue el punto de entrada preferido en 30% de los casos observados durante 2024 y que la cantidad semanal de infostealers enviados por correos de phishing aumentó 84% frente al año anterior. Whalemate interpreta que esta evidencia cambia el orden de prioridades. Si el objetivo del example es capturar credenciales, el control principal no es DMARC sino MFA resistente al phishing, más capacidad de reporte y respuesta. El clic aislado pierde valor si la organización no puede cortar el abuso posterior de la identidad. ## ¿Qué exigen respuesta a incidentes y preservación de evidencia? Según NIST SP 800-61 Rev. 2, la respuesta debe determinar si ocurrió un incidente, analizar precursores e indicadores, buscar información correlacionada, documentar la investigación, priorizar según impacto funcional, impacto sobre la información y esfuerzo de recuperación, reportar y preservar evidencia. Según NIST SP 800-61r3 IPD, deben aplicarse criterios de incidentes a las características conocidas y supuestas de la actividad analizada, considerando falsos positivos conocidos, para determinar si corresponde declarar un incidente. Esto modifica el uso de los examples. No son solo piezas de entrenamiento, también deben probar si el circuito de investigación existe y si deja trazabilidad. Para compliance, la diferencia es crítica: un correo sospechoso reportado sin clasificación, documentación ni evidencia preservada no valida que el control funcione. ## ¿Por qué castigar clics puede empeorar el programa? Según el National Cyber Security Centre del Reino Unido, castigar a las personas por hacer clic en simulaciones puede generar riesgo legal y parecer una forma de entrampamiento, porque nadie puede detectar todos los correos de phishing. Según ISO/IEC 27001:2022 Anexo A 6.3, el personal y las partes interesadas relevantes deben recibir [concientización, educación y capacitación](https://www.whalemate.com/recursos/blog/iso-27001-2022-exige-awareness/) apropiadas, con actualizaciones regulares relevantes para su función, pero esa cláusula no prescribe una frecuencia anual universal. Whalemate toma esa tensión para separar entrenamiento de sanción. Si "bec examples" se convierten en un mecanismo punitivo, cae la tasa de reporte y se sesga la medición. El objetivo operativo es mejorar conductas observables y circuitos de respuesta, no producir una lista de empleados a corregir individualmente. ## ¿Qué decisión habilita esto para CISO, IT y compliance en LATAM? La decisión práctica es tratar los "BEC examples" como pruebas de control por escenario. Si el caso muestra cambio de cuenta bancaria o pedido de transferencia, la métrica principal pasa por validación fuera de banda, aprobación dual, reporte y tiempo de respuesta, según CISA, FTC y NCSC. Si muestra robo de credenciales, la prioridad pasa a MFA resistente al phishing y a medir reporte y reincidencia, según NIST e IBM X-Force. Si el atacante puede usar una cuenta legítima comprometida, entonces un stack de STARTTLS, SPF, DKIM, DMARC y gateway seguro sigue siendo necesario, pero insuficiente, y hay que sumar monitoreo del correo, criterios de declaración de incidente, documentación y preservación de evidencia, según CISA, NIST y guías de Brasil. Para equipos de LATAM, esto también ordena compliance. [PCI DSS 12.6](https://www.whalemate.com/recursos/blog/latam-mide-empresa-human-risk/) exige un programa de concientización en seguridad, no un curso suelto, y Whalemate plantea HRM como un modelo que simula, entrena, mide, interviene y reporta. En esa lógica, los examples de BEC sirven para verificar si el programa cambia conductas y reduce exposición en procesos concretos de pago, acceso e intercambio de información. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [NIST y CISA explican la ingeniería social](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) - [PCI DSS y phishing vs spam en LATAM](https://www.whalemate.com/recursos/blog/pci-dss-phishing-vs-spam/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Qué debería entender un CISO por “bec examples”?** Debería entender escenarios de prueba, no una colección de correos llamativos. Según el FBI IC3, el BEC puede buscar transferencias no autorizadas y también comprometer cuentas o pedir información para otros fraudes. Por eso, cada example debe mapear objetivo, control prioritario, métrica y circuito de respuesta. **¿Cuál es la métrica más útil para BEC?** Depende del escenario. Según NIST, la tasa de clic sola no alcanza para medir conducta. En casos de fraude de pagos, importa más la validación fuera de banda, el reporte y el tiempo de respuesta. En robo de credenciales, pesan más el reporte, la reincidencia y la cobertura de MFA resistente al phishing. **¿DMARC en modo reject resuelve el problema?** No por sí solo. Según CISA, STARTTLS, SPF, DKIM y DMARC en modo reject son controles recomendados para el correo corporativo. Pero según el FBI IC3, muchos casos de BEC usan cuentas legítimas comprometidas. Eso significa que la autenticidad del dominio ayuda a reducir forja, pero no bloquea todo el abuso de identidad. **¿Qué debería pedir compliance a un programa sobre BEC?** Debería pedir evidencia de que el programa mide y mejora conductas y respuesta. Según NIST SP 800-61 Rev. 2, hay que documentar, priorizar, reportar y preservar evidencia. Según ISO/IEC 27001:2022 Anexo A 6.3, la capacitación debe ser apropiada y relevante para la función. No alcanza con registrar asistencia a un curso. **¿Conviene castigar a empleados que caen en simulaciones?** No. Según el NCSC, castigar a personas por hacer clic en simulaciones puede generar riesgo legal y desalentar el reporte. La lectura operativa es usar los resultados para priorizar intervenciones y mejorar procesos, no para disciplinar individualmente. Eso también mejora la calidad de la señal que recibe IT y el equipo de respuesta. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CBEC%20examples%3A%20qu%C3%A9%20medir%20y%20decidir%20en%20LATAM%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CBEC%20examples%3A%20qu%C3%A9%20medir%20y%20decidir%20en%20LATAM%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [¿Por qué "bec examples" no equivale a correos curiosos?](#s1) 2. [¿Qué cambia cuando el objetivo es dinero, credenciales o información?](#s2) 3. [¿Qué muestran los casos reales sobre la ejecución del fraude?](#s3) 4. [¿Alcanza con SPF, DKIM y DMARC para frenar BEC?](#s4) 5. [¿Qué pasa cuando el atacante usa una cuenta legítima?](#s5) 6. [¿Sirve medir solo la tasa de clic?](#s6) 7. [¿Qué se debería medir en un programa centrado en BEC?](#s7) 8. [¿Cómo se resuelve la tensión entre autenticación fuera de banda y validación por segundo canal?](#s8) 9. [¿Qué rol tiene MFA resistente al phishing en "bec examples"?](#s9) 10. [¿Qué exigen respuesta a incidentes y preservación de evidencia?](#s10) 11. [¿Por qué castigar clics puede empeorar el programa?](#s11) 12. [¿Qué decisión habilita esto para CISO, IT y compliance en LATAM?](#s12) 13. [¿Qué leer después?](#s13) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[Campaña de concientización, qué exige y qué mide\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campana-concientizacion-exige-mide.webp)](https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/) Concientización 30 de oct de 2026 Por Federico Hombre ### Campaña de concientización, qué exige y qué mide ISO, PCI DSS, CIS, NIST, ENISA y California no piden lo mismo. El cruce muestra qué medir, qué evidencia guardar y qué decisión habilita. Leer más [!\[LATAM: qué evaluar en plataformas de awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-evaluar-plataformas-awareness.webp)](https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/) Concientización 29 de oct de 2026 Por Federico Hombre ### LATAM: qué evaluar en plataformas de awareness Para CISO, IT y compliance, una plataforma de awareness sirve para medir, segmentar y auditar conducta, no solo para dar cursos. Leer más [!\[PCI, CISA y NIST: phishing vs vishing en control\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp)](https://www.whalemate.com/recursos/blog/pci-cisa-nist-phishing-vs/) Concientización 28 de oct de 2026 Por Federico Hombre ### PCI, CISA y NIST: phishing vs vishing en control El cruce entre PCI DSS, NIST, CISA y CTIR muestra que phishing y vishing no se gestionan igual. Cambian métricas, controles y decisiones de cumplimiento. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)