Business Email Compromise: las señales en Microsoft 365
Un BEC casi nunca trae malware: trae un login raro, una regla de bandeja oculta y un cambio de cuenta bancaria. Qué buscar en los logs de Microsoft 365.
- bec
- microsoft-365
- email-security
- respuesta-a-incidentes
- fraude
- soc
El Business Email Compromise (BEC) es un fraude en el que el atacante se hace pasar por alguien de confianza, o directamente usa su buzón comprometido, para conseguir un pago o datos. No suele llevar adjuntos maliciosos ni enlaces a malware, así que los filtros clásicos lo dejan pasar. Según el informe IC3 del FBI, en 2024 el BEC causó pérdidas declaradas de casi 2.800 millones de dólares solo en Estados Unidos, muy por encima del ransomware.
Cuando el BEC sale de una cuenta real comprometida, deja rastro en los logs de Microsoft 365. Estas son las señales que conviene buscar.
1. El inicio de sesión
Casi siempre empieza con credenciales robadas por phishing, y cada vez más con un proxy AiTM que también roba la cookie de sesión y salta el MFA tradicional. En los logs de inicio de sesión de Entra ID:
- IP de un proveedor de hosting o VPN comercial, no de un ISP residencial ni de la oficina.
- País o ciudad que no encaja con el usuario, o "viaje imposible" respecto al inicio de sesión anterior.
- Un user agent distinto al habitual del usuario, a veces de librerías como
python-requestsoaxios. - Un inicio de sesión correcto justo después de que el usuario hiciera clic en un enlace de un correo.
2. Las reglas de bandeja de entrada
Es la señal más fiable y la que menos falsos positivos da, porque lo primero que hace el atacante es esconderse: una regla que mueve a "RSS" o "Archivo" y marca como leído cualquier correo que contenga "factura", "pago", "transferencia" o el nombre del proveedor que quiere suplantar. Así la víctima no ve las respuestas.
En el registro de auditoría unificado, las operaciones New-InboxRule, Set-InboxRule y UpdateInboxRules. Desconfía de reglas con nombres de un solo carácter (".", "..", "a") o que mueven a carpetas que nadie usa.
3. Reenvíos externos
Un Set-Mailbox con ForwardingSmtpAddress a una dirección externa, o una regla que reenvía copia de todo. Lo ideal es bloquear el reenvío automático externo en la política antispam saliente y crear excepciones solo cuando haya un motivo.
4. Aplicaciones OAuth con permisos de correo
Una variante más persistente: el atacante consigue que el usuario consienta una aplicación con permisos como Mail.Read o Mail.Send. Aunque se cambie la contraseña, la app sigue teniendo acceso. Revisa los consentimientos recientes en Entra ID y restringe quién puede darlos, como cuento en el artículo de mínimo privilegio en Entra ID.
5. El propio fraude
El correo final: "hemos cambiado de banco, a partir de ahora los pagos a esta cuenta", con un hilo real de conversación detrás y a veces desde un dominio casi idéntico al del proveedor. Aquí la defensa ya no es técnica: cualquier cambio de datos bancarios se verifica por un canal distinto (una llamada al número que ya tenías, no al del correo).
Respuesta en el orden correcto
- Revocar sesiones del usuario (
Revoke-MgUserSignInSession), no solo cambiar la contraseña: la cookie robada sigue valiendo. - Restablecer contraseña y revisar los métodos de MFA registrados, por si el atacante añadió el suyo.
- Eliminar reglas de bandeja y reenvíos maliciosos.
- Revisar y revocar consentimientos OAuth sospechosos.
- Buscar en el registro de auditoría qué correos se leyeron y enviaron durante el acceso, y avisar a los destinatarios.
Para que no se repita, lo que más reduce el riesgo es el MFA resistente a phishing en los usuarios de finanzas y dirección, junto a DMARC en p=reject para que nadie pueda suplantar tu dominio desde fuera.
Preguntas frecuentes
¿Qué es el BEC?
Business Email Compromise: fraude por correo en el que el atacante suplanta a un directivo, un empleado o un proveedor, o usa su cuenta comprometida, para conseguir transferencias, cambios de cuenta bancaria o información sensible.
¿Cambiar la contraseña basta para echar al atacante?
No. Hay que revocar las sesiones activas, revisar los métodos de MFA, las reglas de bandeja y las aplicaciones con consentimiento. Si no, el atacante conserva el acceso.
¿Cómo distingo un BEC de un phishing normal?
El phishing busca credenciales o instalar malware de forma masiva. El BEC es dirigido, suele ir sin enlaces ni adjuntos y busca dinero directamente, apoyándose en una relación de confianza real.