De hecho, hasta el 43% de todos los ciberataques se dirigen ahora a las pequeñas empresas, y los ataques de tipo BEC son una de las amenazas más devastadoras desde el punto de vista económico. Según la plataforma Abnormal Security, los atacantes están empleando técnicas avanzadas de ingeniería social para infiltrarse en las empresas, aprovechándose de la confianza de las personas y de los procesos de trabajo basados en el correo electrónico. Estas estafas sofisticadas suelen llevarse a cabo mediante correos electrónicos maliciosos, ataques de phishing y tácticas de suplantación de identidad. En este artículo, te explicaremos diez recomendaciones prácticas para reforzar la seguridad del correo electrónico de tu pequeña empresa, reducir la exposición a riesgos y aumentar la concienciación de tus empleados en materia de seguridad, sin que ello afecte al buen funcionamiento de tus operaciones.

¿Qué es la seguridad del correo electrónico para las empresas?

La seguridad del correo electrónico para las pequeñas empresas consiste en proteger los sistemas de correo corporativos frente a ciberamenazas como el phishing, los archivos adjuntos maliciosos y las filtraciones de datos. Incluye tanto soluciones técnicas ―por ejemplo el cifrado, los filtros y la autenticación multifactor― como estrategias centradas en las personas: formación para concienciar sobre la seguridad y la aplicación de políticas.

En comparación con las grandes corporaciones, las pequeñas empresas se enfrentan a retos específicos. Al contar con menos recursos y, a menudo, carecer de equipos de TI especializados, estas empresas deben recurrir a soluciones de seguridad eficientes y escalables. Por eso es fundamental establecer un marco sólido de protección del correo electrónico para salvaguardar los datos confidenciales y garantizar la continuidad del negocio.

¿Qué es el ataque al correo electrónico empresarial (BEC)?

El BEC es un tipo de ciberdelincuencia que consiste en hacerse pasar por un contacto empresarial de confianza, como un director general o un proveedor, para engañar a los empleados con el fin de que transfieran dinero o información confidencial. Este tipo de estafas suelen ser el resultado de una cuidadosa investigación e ingeniería social para crear una treta convincente.

De acuerdo con el FBI, el fraude BEC ha costado a las empresas más de 26 000 millones de dólares a nivel mundial desde 2016, y la amenaza sigue creciendo. Las pequeñas empresas son especialmente vulnerables, ya que pueden carecer de los recursos o la experiencia necesarios para detectar y prevenir estos ataques.

Un ejemplo de estafa BEC fue en la que el director de la Compañía de Fomento Industrial de Puerto Rico, Rubén Rivera, realizó por error una transacción de 2,6 millones de dólares a una cuenta bancaria falsa. En otro caso, Ubiquiti Networks Inc., fabricante de tecnologías de redes de alto rendimiento con sede en San José, fue víctima de un ataque BEC que le ocasionó pérdidas por valor de 46,7 millones de dólares.

Dado que el uso del correo electrónico sigue siendo un aspecto esencial de la comunicación empresarial, las empresas deben permanecer atentas y adoptar medidas proactivas para defenderse de la amenaza de los BEC. Se aplica a todo tipo de empresas: la seguridad del correo electrónico para las pequeñas empresas es tan fundamental como para las grandes corporaciones.

¿Por qué es importante la seguridad del correo electrónico?

El correo electrónico se ha convertido en parte integrante de nuestra vida digital, ya que funciona casi como un documento de identidad virtual que nos permite identificarnos online y suscribirnos a servicios. Al ser uno de los métodos más populares de comunicación online, nuestros correos electrónicos contienen información sensible sobre nosotros. Si los hackers consiguen acceder, pueden hacerse con el control de otras cuentas online del usuario, robar sus datos confidenciales y suponer graves amenazas financieras y para su reputación. De acuerdo con el informe de investigaciones de filtraciones de datos de Verizon, el 94 % del malware se envía por correo electrónico. Dados los riesgos y la frecuencia de los ataques de malware por correo electrónico, garantizar su seguridad es crucial, especialmente en entornos empresariales.

El phishing es la amenaza número uno a la seguridad de los correos electrónicos

El phishing es un tipo de estafa digital que es especialmente común en los correos electrónicos. Es una forma de ingeniería social en la que el hacker intenta engañar al empleado, haciéndole creer que el correo proviene de una fuente fiable. Este tipo de correos suelen tener un CTA: es como una forma de marketing. La diferencia es que, en el caso del phishing, las llamadas a la acción consisten en hacer clic en un enlace malicioso o desvelar datos confidenciales de la empresa a terceras personas.

Al igual que cualquier publicista, los hackers emplean técnicas y estrategias creativas para mejorar sus estafas. Cuanto más engañoso sea el email, más víctimas conseguirá. Por esta razón, los correos phishing resultan difíciles de identificar. Esto pone de relieve la importancia de la seguridad del correo electrónico para las empresas. Ejemplos de correos phishing:

  • Estafa de verificación de cuentas. Algunos correos de phishing contienen mensajes de este tipo: «Debido a un problema de seguridad reciente, necesitamos que verifiques tu cuenta iniciando sesión en el enlace siguiente. De lo contrario, tu cuenta se desactivará de forma permanente».

  • Estafa de facturas falsas. A veces, los hackers envían correos que dicen: «Todavía no hemos recibido el pago por nuestros servicios. Utiliza el siguiente enlace para completar la transacción».

  • Spear phishing. Se trata de una forma de phishing más avanzada y personalizada, la cual requiere que el hacker lleve a cabo una investigación sobre tu empresa. Por ejemplo, un empleado recibe un correo que parece ser de otro compañero, indicándole que visite una página específica o le envíe una información concreta.

Prácticas recomendadas para la seguridad del correo electrónico empresarial

Caer en estafas de phishing puede exponer a tu empresa a filtraciones de datos y malware. Tomar medidas para garantizar adecuadamente la seguridad de tu correo electrónico te ayudará a proteger tu empresa contra el phishing y otras formas de ciberdelincuencia:

1. Lleva a cabo un curso de concienciación frente al phishing

Los correos electrónicos caen en malas manos debido a la negligencia del empleado y su falta de conocimiento. Por eso, la primera medida para aumentar la ciberseguridad del correo es concienciar a los empleados sobre la amenaza más importante: el phishing. Todos los empleados deben recibir una formación exhaustiva sobre la protección frente a las amenazas del correo electrónico: reconocer y evitar los intentos de phishing. Los principales puntos que se deberían tratar son:

  • Familiarizarse con las formas de phishing más habituales

  • Sospechar de peticiones inusuales

  • Nunca hacer clic en enlaces aleatorios recibidos por correo electrónico

Una vez que los empleados estén familiarizados con estas precauciones, la susceptibilidad de tu empresa a los correos electrónicos de phishing disminuirá significativamente y la seguridad del correo electrónico de tu empresa mejorará en general.

2. Implementa herramientas de prevención de pérdida de datos (DLP)

Las herramientas de prevención de pérdida de datos modernas (DLP, por sus siglas en inglés) supervisan, detectan y bloquean la transmisión de información confidencial. Por ejemplo, Fortinet FortiMail evita el intercambio no autorizado de datos a través de correos electrónicos salientes y analiza posibles incumplimientos normativos. Estas herramientas ayudan a evitar filtraciones involuntarias, ya sea por un error humano o por malware.

Al integrar la solución de DLP con tus sistemas de correo electrónico, reduces el riesgo de incumplimientos normativos y de daños a la reputación, y tendrás garantizada la protección del correo electrónico empresarial sin ralentizar los flujos de trabajo.

3. Habilitar la autenticación multifactor

Para proteger tu cuenta frente a los hackers, puedes conectar tu smartphone a tu correo electrónico. De este modo, aunque las contraseñas de tus cuentas de correo se filtren, ninguna tercera persona podrá acceder a ellas si no tiene acceso al dispositivo al que están conectadas. Todas las cuentas empresariales vitales, no solo las de correo electrónico, deberían tener habilitado autenticación multifactor.

4. Evitar utilizar el correo electrónico en una red wifi pública

Las redes wifi públicas presentan grandes riesgos para la seguridad del correo electrónico. Si no están cifradas (lo que sucede a menudo), cualquier persona puede conectarse a la misma red. Quién sabe si una de esas personas podría ser un hacker.

Si un hacker intercepta tu conexión a una red wifi pública no cifrada y estás iniciando sesión en tu correo en ese momento, podría robarte la contraseña. Lo mejor es no utilizar nunca una red wifi pública, pero si no tienes más remedio que hacerlo, no transmitas datos importantes mientras tu dispositivo esté conectado a ella.

5. No utilizar el correo de empresa para asuntos privados y viceversa

Hoy en día, la mayoría de los trabajos de oficina incluyen una dirección de correo electrónico. Algunas personas caen en la tentación de utilizar la nueva dirección de correo electrónico para todos los registros. ¿Necesitas contratar un nuevo servicio de streaming? ¿Por qué no debes utilizar tu nuevo correo electrónico profesional para estas cosas? Lo hace todo el mundo, ¿no?

Podría parecer una gran idea. Sin embargo, utilizar el correo electrónico de tu empresa para fines privados y viceversa podría causar importantes problemas de seguridad para ti como individuo y para la empresa.

En primer lugar, utilizar un correo de empresa para tus actividades personales en Internet permite trazar más fácilmente tu perfil. Esto podría derivar en un ataque de spear phishing, una campaña de phishing dirigida u otros ciberataques personalizados.

6. Cifrar el correo electrónico de la empresa

Cifrar el correo de empresa con un software especial de seguridad es una buena forma de mantener a raya a los hackers. El cifrado garantiza que las únicas personas que puedan ver los mensajes sean el remitente y el destinatario. Si un hacker intercepta la conexión wifi o la cuenta de correo de un empleado, no verá ningún dato confidencial.

7. Establecer protocolos de seguridad para el correo electrónico

Los protocolos de seguridad para el correo electrónico son muy importantes, ya que añaden una capa adicional de seguridad a las comunicaciones digitales. Estos protocolos están diseñados para garantizar la seguridad de las comunicaciones cuando pasan por los servicios de correo web en Internet. Sin su ayuda, los delincuentes pueden interceptar las comunicaciones con relativa facilidad. Familiarízate con los tres protocolos de seguridad de correo electrónico más populares y actívalos para garantizar la seguridad de las comunicaciones.

  • Seguridad de la capa de transporte (TLS): TLS, el sucesor del protocolo SSL (Secure Sockets Layer), cifra los mensajes de correo electrónico cuando viajan entre servidores de correo. Esto hace que sea mucho más difícil para los hackers interceptar la comunicación y escuchar a escondidas.

  • Correo identificado por claves de dominio (DKIM): DKIM añade una firma digital a los correos electrónicos, lo que permite a los servidores de correo receptores verificar la autenticidad de los mensajes. Protege los servidores de la empresa de intentos de phishing y correos electrónicos manipulados.

  • Marco de directivas de remitente (SPF): SPF permite a los propietarios de dominios crear una lista de servidores de correo que están autorizados a enviar correos electrónicos en nombre de su dominio. Cuando el servidor de una empresa recibe el mensaje, puede autenticar al remitente comparando su dirección de correo electrónico con los registros SPF.

8. Mejorar la seguridad de los endpoints

Para reforzar todavía más la seguridad, toma medidas para aumentar la seguridad de los endpoints (puntos finales). A menudo, la forma más fácil y eficaz de mejorar la seguridad de los endpoints es implementar herramientas de seguridad en toda la empresa.

Considera la posibilidad de implantar una VPN como NordLayer, una herramienta que cifra la conexión a Internet y los datos transferidos a través de tu red empresarial. Los antivirus son otra herramienta imprescindible en todas las terminales de trabajo para garantizar una defensa proactiva.

9. No cambiar las contraseñas con demasiada frecuencia

La fatiga causada por las contraseñas es una realidad: hoy en día, el usuario medio maneja alrededor de 100 contraseñas. Es complicado tenerlas todas bajo control.

Normalmente, se recomienda cambiar las contraseñas cada 90 días. Aunque esto parezca una medida de seguridad razonable, lo cierto es que podría dar lugar a que se utilicen contraseñas más sencillas y fáciles de descifrar.

Si sabes que tus empleados se toman en serio la seguridad de las contraseñas, que crean contraseñas difíciles de adivinar y que ninguna de ellas se ha filtrado nunca, deberían conservar las que ya utilizan. Si alguna contraseña se filtra (por segura que sea), es necesario cambiarla inmediatamente.

10. Emplea contraseñas potentes en las cuentas de correo

Las contraseñas seguras son la columna vertebral de la seguridad de las cuentas. Sin embargo, a menudo las empresas no protegen sus correos electrónicos con contraseñas seguras. Si tu negocio es así, debes saber que cuanto más fácil es la contraseña, más fácil es hackearla, especialmente mediante ataques de fuerza bruta. Los ataques de fuerza bruta se producen cuando los hackers intentan adivinar una contraseña inundando tu cuenta con miles de intentos.

Para defender el correo de empresa frente a este tipo de ataques, todos los trabajadores deben proteger sus contraseñas. Las contraseñas de correo electrónico seguras son:

  • Largas

  • Complicadas

  • Contienen distintos tipos de caracteres

  • Únicas (no se reutilizan en otras cuentas)

Estos puntos son cruciales si quieres proteger tu negocio. Por otro lado, las contraseñas difíciles de hackear también son difíciles de recordar. Lo último que quieres es proteger tan bien tu cuenta que ni siquiera tú puedas acceder.

Por suerte, el gestor de contraseñas para empresas. y gestor de contraseñas empresariales de NordPass pueden acudir al rescate. Si todos los miembros de tu empresa lo utilizan para sus cuentas, sus correos electrónicos estarán a salvo y no tendrán que estrujarse la cabeza intentando recordar sus contraseñas.

¿Cuál es la mejor plataforma de correo electrónico para las pequeñas empresas?

Para garantizar la seguridad del correo electrónico en las pequeñas empresas, sobre todo cuando el marketing y la comunicación se solapan, es fundamental elegir las herramientas adecuadas de marketing por correo electrónico. A continuación te presentamos las cinco mejores plataformas que combinan sencillez, un precio asequible y seguridad en un único paquete muy práctico e ideal para pymes:

1. MailerLite

Recomendado para usuarios principiantes con cierto nivel, MailerLite ofrece un editor de arrastrar y soltar, segmentación, bloques de contenido dinámico y automatización: es gratis hasta mil suscriptores y 12 000 correos al mes. Es fácil de usar para principiantes y se adapta a medida que crece tu pequeña empresa.

2. Brevo (anteriormente Sendinblue)

Brevo ofrece una plataforma integral de marketing y ventas con funciones de CRM, automatización orientada a objetivos y flexibilidad en el número de contactos. El plan gratuito admite hasta 100 000 contactos y 300 correos electrónicos al día: es una opción económica para equipos pequeños.

3. Moosend

Moosend es ideal para pequeñas empresas que buscan herramientas de marketing por correo electrónico con una sólida automatización, segmentación de listas, informes en tiempo real y plantillas de correo electrónico personalizadas. La interfaz intuitiva ayuda a los equipos pequeños a crecer de forma eficiente.

4. Kit (anteriormente ConvertKit)

Kit está diseñado para creadores y pequeñas empresas que necesitan automatización y monetización integradas en sus campañas de correo electrónico. Ofrece un número ilimitado de correos electrónicos, páginas de destino personalizables, etiquetado de suscriptores y secuencias de automatización, con unas prestaciones muy generosas incluso en el plan gratuito.

5. Mailchimp

Mailchimp ―líder consolidado desde hace tiempo― sigue siendo una opción muy popular entre las empresas en crecimiento. Gracias a sus completas opciones de integración, sus funciones de análisis y su interfaz intuitiva, permite ampliar el número de usuarios, aunque su plan gratuito incluye publicidad y funciones de automatización limitadas.

Conclusión

La seguridad del correo electrónico empresarial nunca es un hecho garantizado. Aunque plataformas como Gmail y Outlook se esfuerzan para proteger a sus usuarios, puedes ser víctima de los hackers muy fácilmente si no proteges tu cuenta de forma proactiva. Siguiendo estas diez prácticas recomendadas de seguridad del correo electrónico, las posibilidades de que hackeen los correos electrónicos de tu empresa serán mucho menores, ya que los hackers preferirán probablemente presas más vulnerables.