Montilla vive en gran parte del vino, y buena parte de sus bodegas exportan a clientes y distribuidores de fuera de España. Ese tipo de comercio depende casi por completo del correo electrónico: confirmaciones de pedido, facturas, cambios de última hora en una entrega, coordinación con transportistas. Es exactamente el tipo de correspondencia que interesa a quien busca interceptar un correo y hacerse pasar por un proveedor o un cliente para desviar un pago.
El pasado marzo, Montilla acogió el roadshow itinerante del Instituto Nacional de Ciberseguridad (INCIBE), que durante una semana ofreció actividades y asesoramiento tanto a particulares como a empresas de la localidad sobre cómo protegerse de las amenazas más habituales en internet. Uno de los riesgos que más preocupa a las pequeñas empresas exportadoras es precisamente ese: alguien que consigue leer su correspondencia comercial durante semanas y, en el momento oportuno, envía una factura con un número de cuenta distinto. Un correo corporativo cifrado de extremo a extremo reduce esa ventana de exposición, porque ni siquiera el proveedor del servicio de correo puede acceder al contenido de los mensajes almacenados.
Las grandes empresas del sector cuentan con departamentos dedicados a revisar la seguridad de sus sistemas. Una bodega familiar o una cooperativa de tamaño medio, en cambio, suele gestionar su correo con cuentas compartidas entre dos o tres personas y pocas medidas de protección activadas más allá de lo básico.
Para quien intenta interceptar esa correspondencia, eso significa menos resistencia y más tiempo dentro del buzón antes de que alguien note algo raro. Cuanto más tiempo observa la relación real entre la bodega y su distribuidor habitual, más creíble resulta el mensaje fraudulento que finalmente envía.
En un correo cifrado de extremo a extremo, el contenido del mensaje se cifra en el dispositivo de quien lo envía y solo se descifra en el del destinatario. Ni el proveedor del servicio ni un tercero que intercepte el tráfico pueden leer ese contenido sin la clave correspondiente. Esto no sustituye otras precauciones, pero sí elimina una de las formas más comunes de que alguien ajeno llegue a conocer los detalles exactos de un pedido o un pago antes de intentar suplantarlo.
Sumar un control de acceso más estricto (contraseñas únicas, verificación en dos pasos, saber con claridad quién administra cada cuenta de correo de la empresa) cierra buena parte del resto de la puerta.
Como recordaba el propio Ayuntamiento durante la visita del roadshow a la Plaza de la Merced, "todos somos susceptibles de recibir un ataque de ciberdelincuencia y solo con información actualizada podemos minimizar los riesgos". Para una empresa que exporta, esto se traduce en algo muy concreto: antes de aceptar un cambio en los datos bancarios de un cliente o proveedor habitual, conviene confirmarlo por teléfono usando un número ya conocido, nunca el que aparece en el correo que solicita el cambio.
Estas comprobaciones funcionan mejor cuando la infraestructura de correo no facilita el trabajo al atacante desde el principio. De poco sirve llamar para confirmar un pago si la cuenta de correo de la empresa lleva meses siendo leída por alguien que no debería tener acceso a ella.
Migrar el correo corporativo de una bodega o una pequeña exportadora no significa abandonar las herramientas de siempre. La mayoría de estos servicios se integran con los mismos clientes de correo, calendarios y contactos habituales, solo que con el contenido protegido de una forma que muchos proveedores gratuitos no ofrecen. Para un negocio de Montilla que coordina pedidos y pagos con clientes fuera de España cada semana, es una de las medidas más sencillas de aplicar frente a un fraude que puede costar, en un solo envío, lo que representa meses de trabajo.
Vale la pena hacer el ejercicio de repasar cómo funciona hoy el correo de la empresa: quién conoce la contraseña del buzón que gestiona los pedidos de exportación, si esa contraseña se repite en algún otro sitio, y si existe algún tipo de registro sobre quién ha accedido a la cuenta recientemente. En una bodega pequeña, la respuesta a estas preguntas casi nunca está clara, y es justo esa falta de control la que un atacante paciente sabe aprovechar mejor que cualquier otra cosa.
El pasado marzo, Montilla acogió el roadshow itinerante del Instituto Nacional de Ciberseguridad (INCIBE), que durante una semana ofreció actividades y asesoramiento tanto a particulares como a empresas de la localidad sobre cómo protegerse de las amenazas más habituales en internet. Uno de los riesgos que más preocupa a las pequeñas empresas exportadoras es precisamente ese: alguien que consigue leer su correspondencia comercial durante semanas y, en el momento oportuno, envía una factura con un número de cuenta distinto. Un correo corporativo cifrado de extremo a extremo reduce esa ventana de exposición, porque ni siquiera el proveedor del servicio de correo puede acceder al contenido de los mensajes almacenados.
Por qué una bodega pequeña es un blanco tan cómodo
Las grandes empresas del sector cuentan con departamentos dedicados a revisar la seguridad de sus sistemas. Una bodega familiar o una cooperativa de tamaño medio, en cambio, suele gestionar su correo con cuentas compartidas entre dos o tres personas y pocas medidas de protección activadas más allá de lo básico.
Para quien intenta interceptar esa correspondencia, eso significa menos resistencia y más tiempo dentro del buzón antes de que alguien note algo raro. Cuanto más tiempo observa la relación real entre la bodega y su distribuidor habitual, más creíble resulta el mensaje fraudulento que finalmente envía.
Lo que cambia con el cifrado de extremo a extremo
En un correo cifrado de extremo a extremo, el contenido del mensaje se cifra en el dispositivo de quien lo envía y solo se descifra en el del destinatario. Ni el proveedor del servicio ni un tercero que intercepte el tráfico pueden leer ese contenido sin la clave correspondiente. Esto no sustituye otras precauciones, pero sí elimina una de las formas más comunes de que alguien ajeno llegue a conocer los detalles exactos de un pedido o un pago antes de intentar suplantarlo.
Sumar un control de acceso más estricto (contraseñas únicas, verificación en dos pasos, saber con claridad quién administra cada cuenta de correo de la empresa) cierra buena parte del resto de la puerta.
Buenas prácticas que INCIBE recomienda a cualquier negocio
Como recordaba el propio Ayuntamiento durante la visita del roadshow a la Plaza de la Merced, "todos somos susceptibles de recibir un ataque de ciberdelincuencia y solo con información actualizada podemos minimizar los riesgos". Para una empresa que exporta, esto se traduce en algo muy concreto: antes de aceptar un cambio en los datos bancarios de un cliente o proveedor habitual, conviene confirmarlo por teléfono usando un número ya conocido, nunca el que aparece en el correo que solicita el cambio.
Estas comprobaciones funcionan mejor cuando la infraestructura de correo no facilita el trabajo al atacante desde el principio. De poco sirve llamar para confirmar un pago si la cuenta de correo de la empresa lleva meses siendo leída por alguien que no debería tener acceso a ella.
Un cambio que no exige rehacer nada
Migrar el correo corporativo de una bodega o una pequeña exportadora no significa abandonar las herramientas de siempre. La mayoría de estos servicios se integran con los mismos clientes de correo, calendarios y contactos habituales, solo que con el contenido protegido de una forma que muchos proveedores gratuitos no ofrecen. Para un negocio de Montilla que coordina pedidos y pagos con clientes fuera de España cada semana, es una de las medidas más sencillas de aplicar frente a un fraude que puede costar, en un solo envío, lo que representa meses de trabajo.
Vale la pena hacer el ejercicio de repasar cómo funciona hoy el correo de la empresa: quién conoce la contraseña del buzón que gestiona los pedidos de exportación, si esa contraseña se repite en algún otro sitio, y si existe algún tipo de registro sobre quién ha accedido a la cuenta recientemente. En una bodega pequeña, la respuesta a estas preguntas casi nunca está clara, y es justo esa falta de control la que un atacante paciente sabe aprovechar mejor que cualquier otra cosa.
