Fraude BEC en Mexico: Como investigar y recuperar millones robados por correos falsos

Son las dos de la mañana. El celular suena. Es el contador de la empresa. Nunca llama a esta hora. Nunca. Y cuando descuelga, lo primero que escucha no es un saludo — es una voz que tiembla.

«Licenciado, la transferencia de los 4.8 millones… no llegó al proveedor. La CLABE no era la correcta. Alguien cambió los datos en el correo. No sé cómo pasó. Yo verifiqué. Se lo juro que verifiqué.»

Y en ese momento, con el teléfono pegado a la oreja, con la boca seca, con esa sensación en el estómago de que algo se acaba de romper y no se puede pegar, el empresario — usted, que me está leyendo a las tres de la mañana porque alguien le mandó este artículo y está buscando respuestas — empieza a entender que lo que pasó no fue un error. Fue un ataque. Planeado. Ejecutado con paciencia quirúrgica. Y los millones ya salieron de la cuenta.

Bienvenido al fraude BEC. Business Email Compromise. El ataque cibernético más rentable del planeta. Más que el ransomware. Más que el phishing masivo. Más que los troyanos bancarios. Según el FBI, el fraude BEC ha generado pérdidas globales superiores a los 50 mil millones de dólares en la última década. Y México — les soy franco — es un buffet abierto para estas mafias.

Este artículo es largo. A propósito. Porque lo que está en juego no son datos ni archivos — son millones de pesos que salieron de la cuenta de su empresa y que cada minuto que pasa se alejan más. Aquí voy a explicar, con la precisión técnica de quien ha investigado estos casos en laboratorio, exactamente cómo operan las mafias BEC, cómo se investigan forense, dónde estuvo la brecha, quién tiene la responsabilidad legal, y qué puede hacer usted ahora mismo — esta noche, mañana a primera hora — para intentar recuperar lo que le robaron.

Empresario que descubrió el fraude hace horas. Contador que autorizó la transferencia y siente que el mundo se le viene encima. Abogado corporativo que necesita armar una demanda pero no sabe contra quién. Director de IT que sospecha que la brecha fue interna pero no tiene pruebas. Este artículo es para los cuatro. Y para los cuatro voy a hablar de frente.

Cómo operan las mafias BEC: la anatomía de un robo de millones sin armas ni violencia

A ver, a ver, a ver. Lo primero que necesita entender es que el fraude BEC no es un hackeo al banco. Reitero: no es un hackeo al banco. El sistema bancario no fue vulnerado. SPEI no fue vulnerado. La banca en línea no fue vulnerada. Los atacantes no necesitaron tocar un solo servidor del banco.

Lo que hackearon fue la comunicación entre usted y su proveedor. O entre usted y su cliente. O entre su contador y el área de tesorería del corporativo que les paga. Hackearon la confianza. Hackearon la rutina. Hackearon el proceso humano que convierte un correo electrónico en una transferencia bancaria.

Y lo hicieron con una paciencia que debería aterrorizar a cualquier empresario.

Fase 1: El acceso inicial (semanas o meses antes del robo)

El atacante necesita entrar al correo de alguien. Puede ser el correo de su empresa. Puede ser el correo de su proveedor. Puede ser ambos. Y para entrar tiene varias puertas:

Phishing dirigido. No el phishing genérico de «actualice su contraseña de Netflix.» Un correo personalizado, escrito con datos reales de su empresa — el nombre del director general, el nombre del proyecto en curso, la referencia de una factura real —, que lo dirige a una página idéntica a la de Microsoft 365, Google Workspace o el webmail de su empresa. Usted pone su usuario y contraseña pensando que está entrando a su correo. En realidad le acaba de entregar las llaves al atacante.

Envenenamiento DNS del router. Este es el método que vimos en uno de los casos más graves que ha llegado al laboratorio de Duriva. El atacante no necesitó que nadie hiciera clic en nada. Lo que hizo fue comprometer el router de la organización — el aparato que conecta toda la red a internet — y cambió la configuración DNS. ¿Qué significa eso en castellano? Que cuando cualquier persona de esa oficina escribía «mail.empresa.com» en su navegador, el router los mandaba a una página falsa idéntica. Sin alertas. Sin errores de certificado. Sin que nadie sospechara. Todas las credenciales de correo de esa oficina fueron capturadas en días.

Credenciales filtradas. Las contraseñas corporativas aparecen en filtraciones de datos con una frecuencia alarmante. Si un empleado usó su correo de empresa para registrarse en una plataforma que fue hackeada, y usa la misma contraseña para todo — que es lo que hace el 80% de la gente —, el atacante ya tiene acceso. No necesitó phishing. No necesitó malware. Solo necesitó una base de datos de contraseñas filtradas que se vende en foros por 50 dólares.

Fuerza bruta con password spraying. Si la empresa no tiene autenticación de dos factores — y la mayoría de las PYMES en México no la tienen —, el atacante puede probar contraseñas comunes contra cientos de cuentas de correo hasta que alguna funciona. «Empresa2024.» «Mexico123.» «Admin2025.» Les sorprendería cuántas cuentas corporativas caen con contraseñas así.

El punto es este: el atacante entra al correo. Y lo que hace después es lo que convierte un acceso no autorizado en un fraude multimillonario.

Fase 2: El reconocimiento silencioso (4 a 6 meses)

Aquí es donde el ataque deja de parecerse a una película de hackers y empieza a parecerse a un trabajo de inteligencia.

El atacante ya está dentro del correo. Puede leer todo. Enviados, recibidos, borradores, contactos, calendarios. Pero no hace nada. No envía correos. No cambia contraseñas. No deja rastro visible. Se sienta y lee. Durante meses.

Les soy franco: esto es lo que hace que el fraude BEC sea tan devastador. El atacante se tarda cuatro, cinco, seis meses en ejecutar. No tiene prisa. Tiene paciencia. Y esa paciencia es su arma más peligrosa.

Durante esos meses, el atacante aprende todo sobre la operación de la empresa:

• Quién autoriza pagos y quién los ejecuta.
• Cuáles son los proveedores principales y cuánto se les paga.
• Cuál es el flujo normal de facturación: cuándo se envían facturas, cuándo se aprueban, cuándo se pagan.
• Cómo se comunican internamente: si el director le dice «procede» al contador por correo, o si le manda un WhatsApp, o si le habla por teléfono.
• Qué tono usan en los correos. Si se tutean o se hablan de usted. Si usan «saludos cordiales» o «quedo pendiente.» Si firman con nombre completo o solo con iniciales.
• Cuáles son las CLABES bancarias de los proveedores recurrentes.
• Cuáles son las temporadas de pagos grandes: cierres de trimestre, pagos de nómina extraordinaria, liquidaciones de proyectos.

El atacante no está hackeando — está estudiando. Está construyendo un perfil operativo de la empresa tan detallado que cuando llegue el momento de ejecutar el fraude, va a poder redactar un correo que sea indistinguible de uno real. Porque lo escribió usando exactamente el mismo tono, las mismas palabras, las mismas referencias que usa la persona que está suplantando.

Fase 3: Las reglas de reenvío ocultas (el truco invisible)

Este es el momento técnico que define todo el ataque. Y es el que la inmensa mayoría de las víctimas nunca detecta hasta que es demasiado tarde.

Mientras el atacante tiene acceso al correo, configura reglas de reenvío automáticas en Outlook, Exchange o la plataforma de correo que use la empresa. Estas reglas hacen lo siguiente:

Regla 1: Todo correo que contenga las palabras «transferencia,» «pago,» «CLABE,» «factura,» «depósito» o «cuenta bancaria» se reenvíe automáticamente a una dirección externa controlada por el atacante. Y se marque como leído para que el usuario no lo vea como nuevo.

Regla 2: Todo correo que provenga del dominio del proveedor objetivo se mueva automáticamente a una carpeta oculta o se elimine, para que el usuario legítimo nunca lo reciba.

Regla 3: Todo correo que contenga la palabra «urgente» o «confirmar» enviado por ciertas direcciones se copie a la bandeja del atacante.

Estas reglas se configuran en la sección de reglas del correo — un menú que el 99% de los usuarios corporativos jamás revisa. Están ahí, funcionando en segundo plano, filtrando información, redirigiendo comunicaciones, creando un canal de espionaje invisible dentro del propio sistema de correo de la empresa.

Y aquí viene lo más perverso: incluso si el usuario cambia su contraseña, las reglas de reenvío siguen activas. Porque las reglas están configuradas a nivel de cuenta, no de sesión. El atacante puede perder el acceso directo al correo, pero si las reglas no se eliminan, sigue recibiendo copias de los correos críticos. Sigue viendo todo. Sigue en posición de atacar.

Director de IT que me lee: revise ahora mismo las reglas de reenvío de los correos de su director general, su director financiero y su departamento de tesorería. Ahora mismo. No mañana. Las reglas maliciosas pueden tener nombres inocuos como «Organizar bandeja» o «Mover a archivo» o simplemente estar sin nombre. Busque cualquier regla que reenvíe correo a una dirección externa que no reconozca. Si encuentra una, tiene confirmación de compromiso.

Fase 4: La intercepción y suplantación (el día del golpe)

El atacante ha esperado meses. Sabe que hay un pago grande próximo — el cierre del proyecto, la factura del proveedor principal, la liquidación trimestral. Conoce la cifra. Conoce la fecha. Conoce al proveedor. Conoce a la persona que va a enviar los datos bancarios.

Y entonces actúa.

Hay dos modalidades principales:

Modalidad 1: Man-in-the-middle del correo. El atacante intercepta un correo legítimo del proveedor que contiene los datos de pago. Lo detiene. Crea una copia idéntica — mismo formato, mismo logotipo, misma firma, mismo tono — pero con una CLABE diferente. La CLABE del atacante. Reenvía ese correo modificado al contador de la empresa víctima desde una dirección que parece ser la del proveedor. Puede ser el dominio real — si tiene acceso al correo del proveedor — o un dominio visualmente idéntico: proveedor-mx.com en lugar de proveedor.mx, o proveed0r.com con un cero en lugar de la «o.»

El contador recibe el correo. Ve la factura. Ve la CLABE. Ve que todo cuadra con el monto que esperaba. Programa la transferencia. Ejecuta. Y los millones se van a una cuenta que no es la del proveedor.

Modalidad 2: Suplantación de identidad interna. El atacante, desde el correo comprometido del director general — o desde un correo que se ve idéntico —, le envía un mensaje al contador: «Necesito que hagas una transferencia urgente a esta cuenta. Es para cerrar la operación con [nombre del proyecto real]. No lo comentes con nadie todavía porque es confidencial.» El contador, que está acostumbrado a recibir instrucciones por correo del director, que reconoce el tono, que ve la referencia a un proyecto real, ejecuta. No llama para confirmar porque el correo decía «urgente» y «confidencial.» No verifica la CLABE porque confía en que la instrucción viene del director.

En ambas modalidades, el dinero sale de la cuenta empresarial vía SPEI a una cuenta receptora. Desde ahí, los fondos se dispersan en minutos — se dividen entre cinco, diez, quince cuentas. Se retiran en efectivo en cajeros automáticos en distintas ciudades. Se convierten en criptomonedas. Se transfieren a cuentas en el extranjero. En menos de dos horas, el dinero se atomizó. Y la probabilidad de recuperación cae con cada minuto que pasa.

El caso del router envenenado: 10 millones que desaparecieron en una ONG

Este es uno de los casos más sofisticados que ha investigado Duriva, y lo cuento con detalle porque ilustra todo lo que acabo de explicar — pero en un nivel de complejidad que debería preocupar a cualquier organización, sin importar su tamaño.

Una ONG. Una organización no gubernamental que maneja fondos internacionales. Recursos de donantes, de agencias de cooperación, de fundaciones. Dinero que tiene un destino social, que está etiquetado, que tiene supervisión. Y un día, una transferencia de poco más de 10 millones de pesos no llegó a donde tenía que llegar.

La ONG descubrió el faltante durante una conciliación bancaria. El área de finanzas confirmó que la transferencia se había ejecutado. El banco confirmó que el dinero había salido. El proveedor confirmó que nunca lo recibió. Y la CLABE a la que se envió el dinero no correspondía a ninguna cuenta conocida.

Cuando Duriva recibió el caso, lo primero que hicimos fue lo que hacemos siempre: no asumir nada. No asumir que fue el banco. No asumir que fue el proveedor. No asumir que fue la ONG. Auditar todo. Porque en un fraude BEC, la brecha puede estar en cualquier punto de la cadena de comunicación, y si no determinas dónde estuvo, no puedes deslindar responsabilidades. Y si no deslindas responsabilidades, no puedes demandar. Y si no puedes demandar, no recuperas.

La auditoría forense

Lo primero: el router.

El equipo de Duriva analizó la infraestructura de red de la ONG. Y ahí estaba. El router principal — el que conecta toda la oficina a internet, el que gestiona el tráfico de datos, el que resuelve los nombres de dominio — tenía su configuración DNS alterada. Alguien había cambiado los servidores DNS del router para que apuntaran a servidores controlados por los atacantes.

¿Qué significa esto en la práctica? Que cualquier persona dentro de esa oficina que intentara acceder a su correo electrónico escribiendo la dirección web normal — outlook.office365.com, mail.google.com, webmail.laong.org — era redirigida, sin saberlo, a una página clonada. Una réplica perfecta de la página de inicio de sesión. La persona ingresaba su usuario y contraseña, la página falsa los capturaba y los enviaba al atacante, y luego redirigía al usuario a la página real para que iniciara sesión normalmente. El usuario no notaba nada. Ni un segundo de retraso sospechoso. Ni un error. Nada.

Todas las credenciales de correo de esa oficina fueron comprometidas. Todas. No una cuenta. Todas.

Les soy franco: este tipo de ataque es elegante en su simplicidad. No requiere malware en las computadoras. No requiere exploits sofisticados. No requiere que nadie haga clic en un enlace sospechoso. Solo requiere acceso al router — que en la mayoría de las PYMES y organizaciones mexicanas tiene la contraseña de fábrica: admin/admin, o 1234, o el nombre de la marca del router. Y una vez dentro del router, cambiar dos líneas de configuración DNS toma treinta segundos.

La reconstrucción del ataque

Con las credenciales capturadas, el atacante accedió a los correos de las personas clave: la directora financiera, el coordinador de proyectos, la persona que autorizaba transferencias. Y durante meses — la investigación forense de Duriva determinó que el acceso no autorizado se mantuvo durante aproximadamente cinco meses — el atacante leyó todo.

Leyó los correos con las agencias donantes. Leyó los montos. Leyó las fechas de desembolso. Leyó las instrucciones de pago. Leyó los datos bancarios de los proveedores. Y configuró las reglas de reenvío ocultas que describimos antes: cada correo que mencionara «transferencia,» «pago» o «CLABE» se copiaba silenciosamente a una cuenta externa.

Cuando llegó el momento del pago grande — los 10 millones —, el atacante interceptó el correo del proveedor que contenía los datos de pago. Lo eliminó antes de que la directora financiera lo viera. Y envió un correo idéntico — mismo formato, misma firma, misma referencia de factura — con una CLABE diferente. La directora financiera lo recibió, verificó que el monto coincidiera con lo aprobado, y dio instrucción de pago. El contador ejecutó la transferencia.

Los 10 millones salieron por SPEI. En menos de 90 minutos estaban dispersos en múltiples cuentas. Retiros en efectivo en cajeros de Guadalajara, Monterrey y Ciudad de México. Para cuando la ONG descubrió que el dinero no había llegado al proveedor, ya habían pasado cuatro días.

Lo que reveló la auditoría forense

La investigación de Duriva documentó lo siguiente:

Uno: el router de la ONG tenía la contraseña de fábrica. Nunca fue cambiada. La configuración DNS fue alterada en una fecha específica que quedó registrada en los logs del dispositivo.

Dos: las reglas de reenvío ocultas estaban activas en tres cuentas de correo. Tenían nombres genéricos que no levantaban sospecha. Habían estado operando durante meses.

Tres: los logs de acceso al correo mostraban inicios de sesión desde direcciones IP que no correspondían a ninguna ubicación conocida de la organización. Inicios de sesión a las cuatro de la mañana. A las cinco. A horarios en los que nadie de la ONG estaba trabajando. El atacante accedía de madrugada para revisar los correos sin que nadie estuviera conectado y pudiera notar la doble sesión.

Cuatro: el correo con la CLABE falsa fue enviado desde una dirección que difería en un carácter del dominio real del proveedor. Un carácter. Un punto. Una letra. Algo que a simple vista, en la bandeja de entrada, con veinte correos más esperando atención, nadie iba a notar.

Cinco: — y esto es algo que siempre documentamos porque tiene implicaciones legales críticas — el atacante volvió a acceder a los correos después de ejecutar el fraude. Volvió a la escena del crimen. Verificó que sus credenciales seguían activas. Verificó que las reglas de reenvío no habían sido detectadas. Revisó si había correos de alarma, de investigación, de denuncia. El atacante estaba monitoreando la reacción de la víctima.

Esto último es crucial para la investigación forense porque permite dos cosas: primero, confirmar que el acceso no autorizado fue sostenido y deliberado, no un incidente aislado. Segundo, establecer una línea temporal del ataque que puede correlacionarse con movimientos bancarios, con retiros de efectivo, con actividad en las cuentas receptoras. Esa correlación es lo que permite a las autoridades — si actúan a tiempo — rastrear a los responsables.

Quién tiene la culpa: la pregunta de los millones (literalmente)

Esta es la pregunta que llega al laboratorio de Duriva con cada caso BEC. Y es la pregunta que define si se puede recuperar algo o no. Porque en México, para demandar y recuperar, se necesita establecer responsabilidad. Y para establecer responsabilidad, se necesita saber dónde estuvo la brecha.

En un fraude BEC hay al menos tres actores potencialmente responsables: la empresa víctima, el proveedor cuyo correo fue suplantado, y el banco que procesó la transferencia. Y la auditoría forense es la única herramienta que puede determinar cuál de ellos falló.

Escenario 1: La brecha estuvo en la empresa víctima

Si la auditoría forense determina que el correo comprometido pertenecía a la empresa que hizo la transferencia — como en el caso de la ONG con el router envenenado —, la responsabilidad primaria recae sobre la organización que no protegió su infraestructura. El router con contraseña de fábrica. La ausencia de autenticación de dos factores. La falta de políticas de verificación de datos bancarios por un canal diferente al correo.

Esto no significa que no se pueda actuar legalmente. Significa que la demanda se dirige contra los perpetradores del ataque — si se logran identificar — y que la negociación con el banco y el proveedor parte de una posición diferente.

Escenario 2: La brecha estuvo en el proveedor

Si la auditoría forense determina que el correo comprometido fue el del proveedor — que alguien accedió al correo del proveedor y desde ahí envió los datos bancarios falsos —, la responsabilidad se complica. Porque el proveedor tenía la obligación de proteger sus comunicaciones. Y si fue desde su correo real, desde su dominio real, desde su cuenta verificada, que salió el correo con la CLABE falsa, el proveedor tiene una exposición legal significativa.

En la práctica forense, Duriva ha documentado casos donde ambas partes estaban comprometidas simultáneamente. El atacante tenía acceso al correo de la empresa Y al correo del proveedor. Leía todo de ambos lados. Controlaba la conversación como un titiritero. Interceptaba correos de un lado, los modificaba, los reenviaba al otro. Ninguna de las dos partes se daba cuenta porque cada una recibía correos que parecían perfectamente legítimos.

Escenario 3: El banco procesó una transferencia a una cuenta sospechosa

Aquí es donde la discusión se pone interesante — y donde Duriva tiene 17 años de experiencia litigando contra instituciones bancarias con récord invicto.

El banco no hackeó a nadie. El banco no envió correos falsos. El banco procesó una instrucción de transferencia que llegó por los canales normales, con las credenciales correctas, con la autorización del titular de la cuenta. Técnicamente, el banco hizo lo que le pidieron.

Pero — y aquí viene el pero, pero, pero, pero — los bancos en México tienen obligaciones regulatorias de prevención de lavado de dinero y detección de operaciones inusuales. Si la cuenta receptora fue abierta con documentación falsa — cosa que se ha documentado en múltiples casos BEC —, si la cuenta receptora recibió los fondos y los dispersó en minutos a múltiples cuentas — un patrón típico de lavado —, si la cuenta receptora fue abierta recientemente y no tenía actividad previa — otro indicador de cuenta «mula» —, entonces hay una discusión válida sobre si el banco cumplió con sus obligaciones de debida diligencia.

La auditoría forense de Duriva documenta no solo el lado electrónico del fraude, sino también los movimientos bancarios: hora exacta de la transferencia, hora de la dispersión, cuentas intermedias, patrones de retiro. Esa documentación es la base para una demanda mercantil o un procedimiento ante la CONDUSEF o ante la Comisión Nacional Bancaria.

Empresario que me lee: no se resigne a que «el dinero se perdió.» La auditoría forense determina dónde estuvo la falla. Y donde hay falla hay responsabilidad. Y donde hay responsabilidad hay acción legal. No siempre se recupera el 100%. Pero he visto casos donde se recupera una parte significativa porque la documentación forense era tan sólida que la negociación no tenía a dónde ir más que al acuerdo.

SPEI y la ventana de cancelación: las primeras horas son todo

Contador que autorizó la transferencia y siente que se le acaba el mundo: escuche bien esto, porque las próximas horas son las más importantes.

SPEI — el Sistema de Pagos Electrónicos Interbancarios — procesa transferencias en tiempo real. Cuando usted dio «enviar,» el dinero se movió en segundos. No hay un botón de «deshacer.» No hay una ventana de 24 horas para cancelar. El dinero llegó a la cuenta destino prácticamente al instante.

Pero — y este pero puede valer millones — si usted actúa dentro de las primeras horas, existe la posibilidad de que el banco receptor congele los fondos antes de que sean retirados o dispersados. Esto no es automático. Requiere que usted active una cadena de acciones inmediatas:

Primera hora: Llame a su banco. No al 800 general. Al ejecutivo de cuenta. Al área de fraudes. Reporte que fue víctima de un fraude BEC y solicite que se comuniquen con el banco receptor para solicitar la retención cautelar de los fondos. Cada minuto cuenta. Literalmente. Mientras usted espera en la línea del 800, los fondos se están moviendo.

Primeras dos horas: Presente una denuncia ante la Fiscalía — Ministerio Público — por fraude. Necesita el número de carpeta de investigación para que el banco pueda actuar con respaldo legal. Sin denuncia, el banco receptor no tiene obligación de congelar nada.

Primeras cuatro horas: Contacte a un especialista en informática forense. No para que le diga qué pasó — eso viene después. Para que preserve la evidencia digital antes de que alguien en su empresa, con la mejor intención, empiece a borrar correos, cambiar contraseñas o formatear equipos. La escena del crimen digital es tan frágil como una escena física. Si la contaminan, la información que necesita para la demanda se pierde.

Primeras 24 horas: Notifique a la CONDUSEF. Notifique a su aseguradora si tiene póliza de riesgos cibernéticos. Y — esto es crítico — notifique al proveedor o a la persona cuya identidad fue suplantada. Porque si el atacante sigue teniendo acceso a los correos, puede intentar un segundo ataque. Y porque el proveedor necesita saber que su comunicación fue comprometida para proteger a sus otros clientes.

Les soy franco: la tasa de recuperación de fondos en fraudes BEC depende casi exclusivamente de la velocidad de reacción. Si actúa en las primeras dos horas, hay posibilidades reales. Si actúa al día siguiente, las posibilidades bajan drásticamente. Si descubre el fraude una semana después — que es lo que pasa en la mayoría de los casos, cuando el proveedor real llama a preguntar por qué no ha recibido el pago —, la recuperación directa de fondos se vuelve extremadamente improbable. Lo que queda entonces es la vía legal: demanda, auditoría forense, deslinde de responsabilidades, negociación con el banco.

Man-in-the-browser: la variante que nadie ve venir

Hay una variante del fraude BEC que es todavía más difícil de detectar, y que en Duriva hemos documentado en varios casos: el man-in-the-browser.

En esta modalidad, el atacante no necesita acceso al correo. Lo que hace es instalar un malware — generalmente a través de un documento adjunto infectado, un «PDF» de una factura, una «nota de crédito» que en realidad es un ejecutable — que se incrusta en el navegador web de la víctima. Este malware no roba contraseñas. Hace algo peor: modifica en tiempo real lo que el usuario ve en su pantalla.

Cuando el contador entra a la banca en línea para hacer una transferencia, escribe la CLABE del proveedor real. La ve en su pantalla. Verifica que es correcta. Le da «enviar.» Pero lo que el banco recibió no fue la CLABE que el contador escribió — fue una CLABE diferente, sustituida por el malware en el instante entre que el contador dio clic y la instrucción llegó al servidor del banco. El contador hizo todo bien. Verificó la CLABE. Revisó el monto. Confirmó la operación. Y aun así, el dinero se fue a la cuenta del atacante.

La única forma de detectar un man-in-the-browser después del hecho es la auditoría forense del equipo de cómputo. El malware deja rastros: procesos residentes en memoria, archivos en carpetas temporales, modificaciones en las extensiones del navegador, conexiones a servidores de comando y control. Un perito puede extraer esos rastros, documentarlos y presentarlos ante un juez.

Y aquí hay una implicación legal importante: si el fraude fue por man-in-the-browser, el banco tiene una exposición mayor. Porque el sistema de banca en línea del banco debería tener mecanismos para detectar manipulación del lado del cliente. Si no los tiene, o si los tiene pero no funcionaron, esa es una discusión que se puede llevar al terreno legal con evidencia forense sólida.

La auditoría forense BEC: qué busca Duriva y cómo lo documenta

Cuando un caso BEC llega al laboratorio, el protocolo de Duriva es sistemático. No se asume nada. Se audita todo. Y se documenta cada hallazgo con la rigurosidad que exige el artículo 210-A del Código Federal de Procedimientos Civiles para que la evidencia digital tenga valor probatorio ante un juez mexicano.

Paso 1: Preservación de la evidencia

Antes de tocar cualquier equipo, se genera una imagen forense — una copia bit a bit — de los discos duros de las computadoras involucradas, de los servidores de correo, de los dispositivos de red. Se calcula el valor hash SHA-256 de cada imagen. Se documenta la cadena de custodia desde el momento de la recolección. Esto garantiza que la evidencia no fue alterada y que puede ser presentada en juicio.

Si la empresa ya cambió contraseñas, ya formateó equipos, ya «limpió» todo para «que no vuelva a pasar» — que es el instinto natural de cualquier director de IT después de un ataque —, la evidencia se contamina o se pierde. Por eso insisto: antes de limpiar, preserve. Un perito puede trabajar con una copia forense sin tocar los equipos originales. Pero no puede trabajar con un disco que fue formateado.

Paso 2: Análisis de logs de correo

Los servidores de correo — Microsoft 365, Google Workspace, Exchange On-Premise — mantienen registros detallados de toda la actividad: inicios de sesión, direcciones IP de origen, creación y modificación de reglas, envío y recepción de mensajes, eliminación de correos. Estos logs son el diario del ataque.

El equipo de Duriva analiza esos logs para establecer:

• Cuándo ocurrió el primer acceso no autorizado.
• Desde qué direcciones IP se conectó el atacante.
• Qué correos leyó el atacante y cuáles reenvió.
• Cuándo se crearon las reglas de reenvío ocultas y hacia qué direcciones apuntaban.
• Qué correos fueron eliminados por el atacante para que la víctima no los viera.
• Si el atacante accedió después del fraude para verificar que no había sido detectado.

Cada uno de estos hallazgos se documenta con capturas de pantalla, con extractos de logs con sus timestamps, con direcciones IP geolocalizadas. El dictamen forense no dice «creemos que alguien accedió.» Dice «el 14 de marzo de 2025 a las 03:47:12 UTC, la cuenta correo@empresa.com.mx fue accedida desde la dirección IP 185.XX.XX.XX, geolocalizada en [país], utilizando el navegador Chrome versión 122 en un sistema operativo Windows 11.»

Esa precisión es lo que le da peso al dictamen ante un juez. No son opiniones. Son hechos documentados con evidencia técnica verificable.

Paso 3: Análisis de la infraestructura de red

Si se sospecha envenenamiento DNS — como en el caso de la ONG —, se audita la configuración del router, del firewall, de los servidores DNS internos. Se buscan modificaciones no autorizadas. Se revisan los logs del router para determinar cuándo se cambió la configuración y desde dónde.

También se analiza si hay malware en las estaciones de trabajo: keyloggers, troyanos de acceso remoto, software de man-in-the-browser. Se revisan los procesos en memoria, los programas de inicio automático, las extensiones del navegador, las conexiones de red activas.

Paso 4: Análisis de los movimientos bancarios

La auditoría forense cruza la información técnica con la información financiera. Se documenta la hora exacta de la transferencia fraudulenta, se compara con la hora del correo que contenía la CLABE falsa, se identifica la cuenta receptora, se rastrea — en la medida de lo posible — la dispersión de los fondos.

Esta correlación tiempo-técnica-financiera es lo que permite construir la narrativa forense completa: quién fue comprometido, cuándo fue comprometido, cómo fue comprometido, qué información obtuvo el atacante, cómo la usó para ejecutar el fraude, y a dónde fueron los fondos. Esa narrativa, documentada en un dictamen pericial con valor probatorio, es la base para cualquier acción legal.

Paso 5: Deslinde de responsabilidades

Con toda la evidencia recopilada y analizada, el dictamen forense establece dónde estuvo la brecha. Si fue en la empresa víctima, en el proveedor, en el banco, o en una combinación de los tres. Este deslinde es lo que permite al abogado corporativo dirigir la demanda contra la parte correcta con evidencia que soporte cada afirmación.

Abogado corporativo que me lee y que necesita armar una demanda: sin auditoría forense, su demanda es una narrativa de hechos sin soporte técnico. Con auditoría forense, su demanda tiene timestamps, direcciones IP, reglas de reenvío documentadas, configuraciones de router preservadas, logs de acceso, correlaciones financieras y un dictamen pericial firmado por un perito certificado que cumple con el artículo 210-A. Eso no es lo mismo. No se acerca a ser lo mismo.

Los 10 pasos de emergencia ante un fraude BEC

Para el empresario que está leyendo esto en medio de la crisis — porque acaba de descubrir el fraude y está buscando qué hacer —, esta es la secuencia de acciones que Duriva recomienda basada en 17 años de experiencia en estos casos:

• 1. No apague ni formatee nada. La evidencia digital está en las computadoras, en los correos, en los servidores, en el router. Si apaga, formatea o «limpia» algún equipo, destruye evidencia que necesita para la investigación y para la demanda.
• 2. Llame a su banco inmediatamente. Reporte fraude. Solicite retención cautelar de fondos en la cuenta receptora. Pida hablar con el área de fraudes, no con atención a clientes general.
• 3. Presente denuncia ante el Ministerio Público. Necesita la carpeta de investigación para que el banco y las autoridades puedan actuar. Denuncie fraude y acceso ilícito a sistemas informáticos.
• 4. Contacte a un perito en informática forense. Antes de que su equipo de IT empiece a «arreglar» las cosas, necesita preservar la evidencia. El perito hará imágenes forenses de los equipos críticos y documentará la cadena de custodia.
• 5. Cambie todas las contraseñas de correo electrónico. Todas. No solo la que cree que fue comprometida. Todas las cuentas que tengan relación con operaciones financieras. Y active la autenticación de dos factores inmediatamente.
• 6. Revise y elimine todas las reglas de reenvío en todas las cuentas de correo. Cada cuenta. Cada regla. Si encuentra alguna que reenvíe correo a una dirección externa desconocida, documéntela antes de eliminarla — captura de pantalla con fecha y hora.
• 7. Revise la configuración DNS de su router y firewall. Si los servidores DNS están apuntando a direcciones que no reconoce, tiene confirmación de envenenamiento DNS. Documente la configuración actual antes de corregirla.
• 8. Notifique al proveedor o contraparte cuya identidad fue suplantada. Ellos pueden estar comprometidos también. Y otros clientes suyos pueden estar en riesgo.
• 9. Notifique a la CONDUSEF y a su aseguradora. Si tiene póliza de ciberseguridad, active la reclamación. La documentación forense temprana facilita enormemente el proceso con la aseguradora.
• 10. No comunique los detalles del incidente por correo electrónico. Si el atacante sigue teniendo acceso a los correos — y hasta que la auditoría forense confirme lo contrario, asuma que lo tiene —, toda comunicación sobre el incidente debe ser por teléfono, en persona o por un canal que no sea el correo corporativo comprometido. El atacante está leyendo. El atacante vuelve a la escena del crimen. No le dé un mapa de su respuesta.

Preguntas frecuentes sobre fraude BEC en México

¿El banco tiene obligación de devolverme el dinero?

Depende. Si la transferencia fue autorizada por el titular de la cuenta con sus credenciales legítimas, el banco técnicamente cumplió con la instrucción recibida. La discusión legal se centra en si el banco cumplió con sus obligaciones de detección de operaciones inusuales, si la cuenta receptora fue abierta con documentación verificada, y si hubo negligencia en el monitoreo de patrones sospechosos. La auditoría forense documenta los elementos técnicos que soportan o debilitan cada argumento.

¿Puedo demandar al proveedor si el hackeo fue de su lado?

Si la auditoría forense determina que la brecha estuvo en el sistema de correo del proveedor, hay una base para acción legal por negligencia en la protección de datos y comunicaciones comerciales. El proveedor tenía la obligación de proteger la integridad de sus comunicaciones. Si su correo fue comprometido y desde ahí se envió información bancaria falsa que resultó en un fraude, el proveedor tiene responsabilidad civil.

¿Cuánto tiempo tengo para actuar?

Para la retención bancaria de fondos: horas. No días. Horas. Para la denuncia penal: lo antes posible, pero los plazos de prescripción del fraude en México son de varios años. Para la auditoría forense: mientras más pronto, mejor. Los logs de correo tienen períodos de retención limitados — Microsoft 365, por ejemplo, conserva logs detallados durante 90 días en sus planes estándar. Si deja pasar tres meses sin hacer la auditoría, los logs que necesita pueden haber sido purgados automáticamente.

Mi empresa es pequeña, no somos objetivo de estas mafias.

Les soy franco: las PYMES son el objetivo principal. Las corporaciones grandes tienen departamentos de ciberseguridad, firewalls de siguiente generación, sistemas de detección de intrusiones, políticas de autenticación multifactor. Las PYMES no. Las PYMES tienen un router con contraseña de fábrica, correos sin doble factor, un contador que procesa pagos solo y un director que autoriza transferencias por correo electrónico. Para una mafia BEC, una PYME que mueve 5 millones al mes es un objetivo más fácil y más rentable que una corporación con 500 millones y un SOC monitoreando 24/7.

¿Qué es el artículo 210-A y por qué me importa?

El artículo 210-A del Código Federal de Procedimientos Civiles establece los requisitos para que la información generada o comunicada por medios electrónicos tenga valor probatorio ante un tribunal mexicano. En términos prácticos: si la evidencia digital no cumple con lo que establece el 210-A — integridad, atribuibilidad, accesibilidad —, el juez puede desestimarla. Un dictamen forense de Duriva cumple con estos requisitos de manera rigurosa: extracción con herramientas certificadas, cadena de custodia documentada, valores hash SHA-256, análisis replicable.

¿Pueden identificar al atacante?

En algunos casos, sí. Las direcciones IP de acceso, los dominios utilizados para el phishing, las cuentas bancarias receptoras, los patrones de retiro — todo eso deja rastro. La colaboración con las autoridades, con los bancos y en algunos casos con agencias internacionales como el FBI o INTERPOL — cuando hay conexión transnacional, que es frecuente — puede llevar a la identificación de los responsables. No siempre. Pero la auditoría forense documenta todas las pistas disponibles para que las autoridades tengan con qué trabajar.

¿Qué pasa si descubrí el fraude semanas después?

La recuperación directa de fondos es improbable si pasaron semanas. Pero la investigación forense sigue siendo posible y necesaria. Los logs de correo aún pueden estar disponibles. Las imágenes forenses de los equipos pueden revelar el método de ataque. El deslinde de responsabilidades sigue siendo viable. Y la acción legal — demanda mercantil, demanda civil, procedimiento ante CONDUSEF — puede resultar en una recuperación parcial o total dependiendo de dónde estuvo la responsabilidad.

Mi IT ya cambió contraseñas y formateó las computadoras. ¿Se perdió todo?

No necesariamente todo, pero se perdió información crítica. Los logs del servidor de correo en la nube — si usaban Microsoft 365 o Google Workspace — pueden seguir disponibles si se solicitan a tiempo. La configuración del router puede haber sido documentada antes de corregirse. Los registros bancarios están intactos en el banco. Pero la evidencia que estaba en los discos duros de las computadoras — malware, historiales de navegación, archivos temporales, procesos residentes — esa se perdió con el formateo. Por eso insisto: antes de limpiar, preserve. Llame al perito antes de llamar al técnico.

Prevención: lo que debería hacer mañana a primera hora

No es el tema principal de este artículo — el tema es qué hacer cuando ya le pasó —, pero sería irresponsable no mencionarlo. Si usted no ha sido víctima de un fraude BEC pero dirige una empresa que mueve dinero por transferencia bancaria, estas son las medidas que reducen drásticamente el riesgo:

Autenticación de dos factores en todos los correos corporativos. Todos. Sin excepción. Esto solo hubiera prevenido el caso de la ONG. Con doble factor, las credenciales capturadas por el phishing DNS no hubieran sido suficientes para acceder a los correos.

Verificación de datos bancarios por un segundo canal. Si un proveedor le envía datos de pago por correo, confirme la CLABE por teléfono antes de transferir. No por el número que viene en el correo — ese puede estar alterado también —, sino por el número que usted ya tiene registrado de ese proveedor. Una llamada de dos minutos puede ahorrarle millones.

Política de doble autorización para transferencias mayores a un umbral. Si cualquier pago superior a 100 mil pesos requiere la autorización de dos personas por canales diferentes, el atacante necesita comprometer a dos personas en lugar de una. No es imposible, pero es significativamente más difícil.

Cambio de contraseña del router y revisión de configuración DNS. Si su router tiene la contraseña de fábrica, cámbiela hoy. No mañana. Hoy. Y verifique que los servidores DNS apunten a donde deben — los de su proveedor de internet, los de Google (8.8.8.8), los de Cloudflare (1.1.1.1) — y no a una dirección desconocida.

Revisión periódica de reglas de reenvío en correos críticos. Una vez al mes, revise las reglas de reenvío de los correos de las personas que manejan finanzas. Si aparece alguna regla que nadie configuró, tiene un problema.

Duriva: auditoría forense BEC con 17 años de experiencia y récord invicto

El fraude BEC no es un problema de tecnología. Es un problema de confianza explotada con tecnología. Los atacantes no vulneran firewalls — vulneran procesos humanos. No hackean bancos — hackean la comunicación entre personas que confían unas en otras. Y cuando esa confianza se convierte en millones transferidos a la cuenta equivocada, la única forma de reconstruir lo que pasó, determinar quién es responsable y recuperar lo que se pueda, es con una auditoría forense rigurosa, documentada y con valor probatorio.

Duriva lleva 17 años haciendo exactamente eso. El laboratorio ha investigado fraudes BEC contra empresas de todos los tamaños — desde PYMES familiares hasta organizaciones internacionales. El equipo ha formado a más de 1,300 peritos en 10 países. El récord en litigios técnicos contra instituciones bancarias es invicto. No porque los bancos sean fáciles de vencer — sino porque la evidencia forense, cuando se recopila y se presenta con rigor científico, no deja espacio para la ambigüedad.

Si usted está leyendo esto porque acaba de descubrir un fraude BEC en su empresa, entienda una cosa: el reloj está corriendo. Cada hora que pasa sin preservar evidencia es una hora donde los logs se acercan a su fecha de expiración, donde el atacante puede estar borrando sus huellas, donde los fondos se dispersan un poco más. No busque culpables todavía. No señale al contador. No despida al de IT. Primero preserve. Primero documente. Primero entienda qué pasó.

Y después, con la auditoría forense en la mano, con el deslinde de responsabilidades claro, con la evidencia que cumple con el artículo 210-A — entonces sí, actúe. Demande a quien tenga que demandar. Negocie con quien tenga que negociar. Recupere lo que se pueda recuperar.

Los atacantes tuvieron paciencia. Tuvieron meses de paciencia. La respuesta no puede ser pánico — tiene que ser precisión.

Duriva está en la Ciudad de México. La consulta inicial para evaluar un caso BEC se hace por teléfono o videollamada. No se cobra por escuchar. Se cobra por investigar. Y antes de cobrar, se le dice de frente si hay caso o no hay caso. Así ha sido durante 17 años. Así va a seguir siendo.