Diez prácticas recomendadas de seguridad del correo electrónico empresarial

¿Qué es la seguridad del correo electrónico para las empresas?

La seguridad del correo electrónico para empresas es un término bastante amplio, pero se puede definir como todas las medidas que toman las empresas para proteger sus sistemas de correo electrónico, redes y datos de las ciberamenazas. Dado que las técnicas de los hackers son cada día más sofisticadas, las empresas se deben mantener al tanto de la evolución del panorama de la ciberseguridad y ajustar sus herramientas y estrategias de seguridad en consecuencia.

La seguridad del correo electrónico para corporaciones se ocupa de una escala mucho mayor de usuarios de correo electrónico, infraestructura y datos que la seguridad del correo electrónico para pequeñas empresas. Aunque según el tamaño de la empresa se requieren soluciones de seguridad complejas, sólidas y escalables, los comportamientos seguros online son universales y protegen a los empleados independientemente del lugar donde trabajen.

¿Qué es el ataque al correo electrónico empresarial (BEC)?

El BEC es un tipo de ciberdelincuencia que consiste en hacerse pasar por un contacto empresarial de confianza, como un director general o un proveedor, para engañar a los empleados con el fin de que transfieran dinero o información confidencial. Este tipo de estafas suelen ser el resultado de una cuidadosa investigación e ingeniería social para crear una treta convincente.

De acuerdo con el FBI, el fraude BEC ha costado a las empresas más de 26 000 millones de dólares a nivel mundial desde 2016, y la amenaza sigue creciendo. Las pequeñas empresas son especialmente vulnerables, ya que pueden carecer de los recursos o la experiencia necesarios para detectar y prevenir estos ataques.

Un ejemplo de estafa BEC fue en la que el director de la Compañía de Fomento Industrial de Puerto Rico, Rubén Rivera, realizó por error una transacción de 2,6 millones de dólares a una cuenta bancaria falsa. En otro caso, Ubiquiti Networks Inc., fabricante de tecnologías de redes de alto rendimiento con sede en San José, fue víctima de un ataque BEC que le ocasionó pérdidas por valor de 46,7 millones de dólares.

Dado que el uso del correo electrónico sigue siendo un aspecto esencial de la comunicación empresarial, las empresas deben permanecer atentas y adoptar medidas proactivas para defenderse de la amenaza de los BEC. Se aplica a todo tipo de empresas: la seguridad del correo electrónico para las pequeñas empresas es tan fundamental como para las grandes corporaciones.

¿Por qué es importante la seguridad del correo electrónico?

El correo electrónico se ha convertido en parte integrante de nuestra vida digital, ya que funciona casi como un documento de identidad virtual que nos permite identificarnos online y suscribirnos a servicios. Al ser uno de los métodos más populares de comunicación online, nuestros correos electrónicos contienen información sensible sobre nosotros. Si los hackers consiguen acceder, pueden hacerse con el control de otras cuentas online del usuario, robar sus datos confidenciales y suponer graves amenazas financieras y para su reputación. De acuerdo con el informe de investigaciones de filtraciones de datos de Verizon, el 94 % del malware se envía por correo electrónico. Dados los riesgos y la frecuencia de los ataques de malware por correo electrónico, garantizar su seguridad es crucial, especialmente en entornos empresariales.

El phishing es la amenaza número uno a la seguridad de los correos electrónicos

El phishing es un tipo de estafa digital que es especialmente común en los correos electrónicos. Es una forma de ingeniería social en la que el hacker intenta engañar al empleado, haciéndole creer que el correo proviene de una fuente fiable. Este tipo de correos suelen tener un CTA: es como una forma de marketing. La diferencia es que, en el caso del phishing, las llamadas a la acción consisten en hacer clic en un enlace malicioso o desvelar datos confidenciales de la empresa a terceras personas.

Al igual que cualquier publicista, los hackers emplean técnicas y estrategias creativas para mejorar sus estafas. Cuanto más engañoso sea el email, más víctimas conseguirá. Por esta razón, los correos phishing resultan difíciles de identificar. Esto pone de relieve la importancia de la seguridad del correo electrónico para las empresas. Ejemplos de correos phishing:

• Estafa de verificación de cuentas. Algunos correos de phishing contienen mensajes de este tipo: «Debido a un problema de seguridad reciente, necesitamos que verifiques tu cuenta iniciando sesión en el enlace siguiente. De lo contrario, tu cuenta se desactivará de forma permanente».

• Estafa de facturas falsas. A veces, los hackers envían correos que dicen: «Todavía no hemos recibido el pago por nuestros servicios. Utiliza el siguiente enlace para completar la transacción».

• Spear phishing. Se trata de una forma de phishing más avanzada y personalizada, la cual requiere que el hacker lleve a cabo una investigación sobre tu empresa. Por ejemplo, un empleado recibe un correo que parece ser de otro compañero, indicándole que visite una página específica o le envíe una información concreta.

Prácticas recomendadas para la seguridad del correo electrónico empresarial

Caer en estafas de phishing puede exponer a tu empresa a filtraciones de datos y malware. Tomar medidas para garantizar adecuadamente la seguridad de tu correo electrónico te ayudará a proteger tu empresa contra el phishing y otras formas de ciberdelincuencia:

1. Lleva a cabo un curso de concienciación frente al phishing

Los correos electrónicos caen en malas manos debido a la negligencia del empleado y su falta de conocimiento. Por eso, la primera medida para aumentar la ciberseguridad del correo es concienciar a los empleados sobre la amenaza más importante: el phishing. Todos los empleados deben recibir una formación exhaustiva sobre la protección frente a las amenazas del correo electrónico: reconocer y evitar los intentos de phishing. Los principales puntos que se deberían tratar son:

• Familiarizarse con las formas de phishing más habituales

• Sospechar de peticiones inusuales

• Nunca hacer clic en enlaces aleatorios recibidos por correo electrónico

Una vez que los empleados estén familiarizados con estas precauciones, la susceptibilidad de tu empresa a los correos electrónicos de phishing disminuirá significativamente y la seguridad del correo electrónico de tu empresa mejorará en general.

2. Formar a los empleados para que sepan reaccionar ante los archivos adjuntos y los enlaces sospechosos

Los archivos adjuntos y los enlaces sospechosos son los métodos más comunes que utilizan los ciberdelincuentes para difundir software malicioso. Para establecer una seguridad del correo electrónico empresarial o corporativo que funcione correctamente, asegúrate de que tus empleados conocen estas prácticas de intentos de estafa y que estén formados para detectarlas en situaciones reales. Con el tiempo y mucha práctica, tu equipo sabrá detectar los enlaces y archivos adjuntos de correo electrónico sospechosos, lo que debería reducir considerablemente el vector de ataque potencial y mejorar significativamente tu postura de seguridad general.

3. Habilitar la autenticación multifactor

Para proteger tu cuenta frente a los hackers, puedes conectar tu smartphone a tu correo electrónico. De este modo, aunque las contraseñas de tus cuentas de correo se filtren, ninguna tercera persona podrá acceder a ellas si no tiene acceso al dispositivo al que están conectadas. Todas las cuentas empresariales vitales, no solo las de correo electrónico, deberían tener habilitado la autenticación multifactor .

4. Evitar utilizar el correo electrónico en una red wifi pública

Las redes wifi públicas presentan grandes riesgos para la seguridad del correo electrónico. Si no están cifradas (lo que sucede a menudo), cualquier persona puede conectarse a la misma red. Quién sabe si una de esas personas podría ser un hacker.

Si un hacker intercepta tu conexión a una red wifi pública no cifrada y estás iniciando sesión en tu correo en ese momento, podría robarte la contraseña. Lo mejor es no utilizar nunca una red wifi pública, pero si no tienes más remedio que hacerlo, no transmitas datos importantes mientras tu dispositivo esté conectado a ella.

5. No utilizar el correo de empresa para asuntos privados y viceversa

Hoy en día, la mayoría de los trabajos de oficina incluyen una dirección de correo electrónico. Algunas personas caen en la tentación de utilizar la nueva dirección de correo electrónico para todos los registros. ¿Necesitas contratar un nuevo servicio de streaming? ¿Por qué no debes utilizar tu nuevo correo electrónico profesional para estas cosas? Lo hace todo el mundo, ¿no?

Podría parecer una gran idea. Sin embargo, utilizar el correo electrónico de tu empresa para fines privados y viceversa podría causar importantes problemas de seguridad para ti como individuo y para la empresa.

En primer lugar, utilizar un correo de empresa para tus actividades personales en Internet permite trazar más fácilmente tu perfil. Esto podría derivar en un ataque de spear phishing, una campaña de phishing dirigida u otros ciberataques personalizados.

6. Cifrar el correo electrónico de la empresa

Cifrar el correo de empresa con un software especial de seguridad es una buena forma de mantener a raya a los hackers. El cifrado garantiza que las únicas personas que puedan ver los mensajes sean el remitente y el destinatario. Si un hacker intercepta la conexión wifi o la cuenta de correo de un empleado, no verá ningún dato confidencial.

7. Establecer protocolos de seguridad para el correo electrónico

Los protocolos de seguridad para el correo electrónico son muy importantes, ya que añaden una capa adicional de seguridad a las comunicaciones digitales. Estos protocolos están diseñados para garantizar la seguridad de las comunicaciones cuando pasan por los servicios de correo web en Internet. Sin su ayuda, los delincuentes pueden interceptar las comunicaciones con relativa facilidad. Familiarízate con los tres protocolos de seguridad de correo electrónico más populares y actívalos para garantizar la seguridad de las comunicaciones.

• Seguridad de la capa de transporte (TLS): TLS, el sucesor del protocolo SSL (Secure Sockets Layer), cifra los mensajes de correo electrónico cuando viajan entre servidores de correo. Esto hace que sea mucho más difícil para los hackers interceptar la comunicación y escuchar a escondidas.

• Correo identificado por claves de dominio (DKIM): DKIM añade una firma digital a los correos electrónicos, lo que permite a los servidores de correo receptores verificar la autenticidad de los mensajes. Protege los servidores de la empresa de intentos de phishing y correos electrónicos manipulados.

• Marco de directivas de remitente (SPF): SPF permite a los propietarios de dominios crear una lista de servidores de correo que están autorizados a enviar correos electrónicos en nombre de su dominio. Cuando el servidor de una empresa recibe el mensaje, puede autenticar al remitente comparando su dirección de correo electrónico con los registros SPF.

8. Mejorar la seguridad de los endpoints

Para reforzar todavía más la seguridad, toma medidas para aumentar la seguridad de los endpoints (puntos finales). A menudo, la forma más fácil y eficaz de mejorar la seguridad de los endpoints es implementar herramientas de seguridad en toda la empresa.

Considera la posibilidad de implantar una VPN como NordLayer , una herramienta que cifra la conexión a Internet y los datos transferidos a través de tu red empresarial. Los antivirus son otra herramienta imprescindible en todas las terminales de trabajo para garantizar una defensa proactiva.

9. No cambiar las contraseñas con demasiada frecuencia

La fatiga causada por las contraseñas es una realidad: hoy en día, el usuario medio maneja alrededor de 100 contraseñas. Es complicado tenerlas todas bajo control.

Normalmente, se recomienda cambiar las contraseñas cada 90 días. Aunque esto parezca una medida de seguridad razonable, lo cierto es que podría dar lugar a que se utilicen contraseñas más sencillas y fáciles de descifrar.

Si sabes que tus empleados se toman en serio la seguridad de las contraseñas, que crean contraseñas difíciles de adivinar y que ninguna de ellas se ha filtrado nunca, deberían conservar las que ya utilizan. Si alguna contraseña se filtra (por segura que sea), es necesario cambiarla inmediatamente.

10. Emplea contraseñas potentes en las cuentas de correo

Las contraseñas seguras son la columna vertebral de la seguridad de las cuentas. Sin embargo, a menudo las empresas no protegen sus correos electrónicos con contraseñas seguras. Si tu negocio es así, debes saber que cuanto más fácil es la contraseña, más fácil es hackearla, especialmente mediante ataques de fuerza bruta. Los ataques de fuerza bruta se producen cuando los hackers intentan adivinar una contraseña inundando tu cuenta con miles de intentos.

Para defender el correo de empresa frente a este tipo de ataques, todos los trabajadores deben proteger sus contraseñas. Las contraseñas de correo electrónico seguras son:

• Largas

• Complicadas

• Contienen distintos tipos de caracteres

• Únicas (no se reutilizan en otras cuentas)

Estos puntos son cruciales si quieres proteger tu negocio. Por otro lado, las contraseñas difíciles de hackear también son difíciles de recordar. Lo último que quieres es proteger tan bien tu cuenta que ni siquiera tú puedas acceder.

Por suerte, el gestor de contraseñas Business y el gestor de contraseñas Enterprise de NordPass pueden acudir al rescate. Si todos los miembros de tu empresa lo utilizan para sus cuentas, sus correos electrónicos estarán a salvo y no tendrán que estrujarse la cabeza intentando recordar sus contraseñas.

En resumen

La seguridad del correo electrónico empresarial nunca es un hecho garantizado. Aunque plataformas como Gmail y Outlook se esfuerzan para proteger a sus usuarios, puedes ser víctima de los hackers muy fácilmente si no proteges tu cuenta de forma proactiva. Siguiendo estas diez prácticas recomendadas de seguridad del correo electrónico, las posibilidades de que hackeen los correos electrónicos de tu empresa serán mucho menores, ya que los hackers preferirán probablemente presas más vulnerables.