Para ayudar a la pyme a detectar y subsanar posibles fraudes del tipo BEC (Business email compromiso) o fraude de email comprometido, INCIBE presenta un nuevo apartado, Fraude email comprometido que esperamos sea de vuestro interés. Esta página tiene información para ayudarte a identificar este fraude en dos modalidades, si tu cuenta es la comprometida o si es la de uno de tus proveedores. Además tiene las siguientes secciones:
- ¿Cómo ha sucedido?, para ayudarte a reconocer cómo han podido comprometer nuestra cuenta de correo o la del proveedor
- ¿Necesitas ayuda?, para que sepas cómo actuar si sospechas que has sido víctima de este tipo de fraude.
- ¿Cómo me recupero?, con instrucciones para detener el incidente.
- ¿Cómo evitarlo?, para estar alerta y evitar caer en este tipo de fraudes.
Más información
Ante cualquier duda, llama a la Línea de Ayuda en Ciberseguridad de INCIBE, los canales de mensajería instantánea de WhatsApp (900 116 117) y Telegram (@INCIBE017 o contacta a través del formulario de contacto.
¿Has sido víctima de un fraude BEC?
En primer lugar debes ponerte en contacto con el banco o entidad financiera correspondiente, para comunicar el hecho e intentar revertir la transferencia.
Reporta el incidente
Ten en cuenta que el correo recibido con el número de cuenta del banco modificado es una evidencia y debe ser analizado. Por ello, hemos de reportar el incidente adjuntando el correo y sus adjuntos para su análisis a INCIBE-CERT (
), de manera que llegue con las cabeceras originales.
Denuncia
Después, en particular, si se ha cometido el fraude, tenemos que denunciar el incidente para que se investigue el origen del delito ante las Fuerzas y Cuerpos de Seguridad del Estado.
Si fuera necesario realizar un análisis forense para detectar donde se ha producido la brecha, podéis consultar las empresas y soluciones del Catálogo de ciberseguridad.
Comunica la brecha de datos
Si han tenido acceso a nuestro correo electrónico (o a los datos de algún cliente), se ha producido una brecha de seguridad (según el artículo 33 del RGPD) y puede que se hayan visto afectados datos personales. Si es así, el responsable del tratamiento de la empresa tiene que notificar el incidente antes de 72 horas a la Autoridad de control competente, la AEPD o similar en tu comunidad.
