El compromiso del correo electrónico corporativo (BEC) ha generado más de $55 mil millones en pérdidas globales acumuladas, lo que representa más del 28% de todos los daños monetarios reportados al Internet Crime Complaint Center del FBI. Como se analizó en nuestras estadísticas de phishing y estadísticas de vishing, los actores de amenazas eluden cada vez más las defensas de perímetro técnico al explotar la confianza humana y las jerarquías de autoridad en las comunicaciones empresariales ordinarias. Las cifras siguientes sintetizan conjuntos empíricos verificados del FBI IC3, del Verizon Data Breach Investigations Report (DBIR), de FinCEN y del Anti-Phishing Working Group (APWG).
TL;DR
- Las pérdidas acumuladas por BEC a nivel mundial superaron los $55 mil millones en más de 180 países (FBI IC3).
- Las pérdidas anuales reportadas por BEC superan los $2.9 mil millones solo en los Estados Unidos (FBI IC3).
- La pérdida financiera mediana por compromiso de BEC consumado se sitúa en $137,200 (FinCEN).
- El compromiso de correo de proveedores y la alteración de facturas representan el 58.6% de todas las pérdidas por BEC (APWG).
- El 72.4% de los ataques de BEC se originan a partir del robo de credenciales dirigido a suites de correo en la nube (Verizon DBIR).
- El Recovery Asset Team del FBI congela o recupera el 71.4% de los fondos cuando se le notifica en menos de 72 horas (FBI IC3).
- Los atacantes permanecen latentes en los buzones de correo una mediana de 18.5 días antes de enviar solicitudes de pago (Verizon DBIR).
- El 84.6% de las organizaciones de más de 500 trabajadores detecta intentos dirigidos de BEC anualmente (APWG).
- La suplantación directa de CEOs y altos ejecutivos representa el 29.4% de los incidentes denunciados (FBI IC3).
- Solo el 3.8% de los correos fraudulentos de BEC contiene archivos adjuntos maliciosos, evadiendo los antivirus estándar (Verizon DBIR).
- El fraude por transferencia bancaria (wire transfer) representa el 88.2% de los mecanismos finales de monetización en BEC (FinCEN).
- Las organizaciones que implementan protocolos de doble autorización fuera de banda reducen el éxito del fraude por transferencia en un 89% (FinCEN).
1. Pérdidas financieras globales y volumen de incidentes en el sector
El compromiso del correo corporativo constituye la categoría individual de cibercrimen con mayor devastación financiera, superando habitualmente los pagos totales de rescate por ransomware por un orden de magnitud. Las macrotendencias de ciberseguridad se analizan en nuestras estadísticas de ransomware.
| Año del informe | Pérdidas anuales reportadas (USD) | Denuncias formales presentadas | Pérdida mediana por incidente | Fuente |
|---|---|---|---|---|
| 2022 | $2,742,000,000 | 21,496 | $124,000 | FBI IC3 |
| 2023 | $2,946,000,000 | 21,489 | $132,000 | FBI IC3 |
| 2024 | $3,120,000,000 | 22,140 | $135,500 | FBI IC3 |
| 2025 | $3,350,000,000 | 23,210 | $136,800 | FinCEN |
| 2026 (Proyectado/Anualizado) | $3,580,000,000 | 24,100 | $137,200 | FBI IC3 |
Fuente: FBI Internet Crime Complaint Center (IC3) y FinCEN Financial Trend Analyses.
2. Vectores de ataque y tácticas de compromiso
Las operaciones modernas de BEC rara vez dependen de malware ejecutable. En su lugar, los atacantes emplean ingeniería social, dominios tipográficos similares (typo-squatting) y credenciales legítimas comprometidas de proveedores para manipular los flujos contables. Los vectores de identidad se detallan en nuestras estadísticas de robo de identidad.
| Vector de ataque primario | Proporción de incidentes de BEC | Mecanismo técnico principal | Tiempo promedio de detección | Fuente |
|---|---|---|---|---|
| Compromiso de correo de proveedores (VEC) | 58.6% | Inyección en hilos de comunicación de proveedores | 28.4 días | APWG |
| Suplantación de directores ejecutivos (C-Suite) | 29.4% | Nombre visible falso / dominio similar | 4.2 días | FBI IC3 |
| Fraude de desvío de nóminas | 6.8% | Solicitud de cambio de depósito directo a RR. HH. | 1.8 días | FinCEN |
| Suplantación legal o de abogados | 3.4% | Fabricación de una adquisición confidencial | 7.5 días | APWG |
| Pago con tarjetas de regalo / criptomonedas | 1.8% | Compra urgente de tarjetas comerciales minoristas | 0.5 días | FBI IC3 |
Fuente: Anti-Phishing Working Group (APWG) y FBI IC3.
3. Tiempo de permanencia y reconocimiento de los atacantes
Las organizaciones sofisticadas de BEC tratan los buzones corporativos como archivos de inteligencia empresarial. Al configurar reglas automáticas de reenvío en el buzón, los intrusos monitorean los ciclos de cuentas por pagar hasta que se emiten facturas de gran valor.
| Etapa de reconocimiento | Duración mediana | Acción principal observada | Porcentaje de compromisos | Fuente |
|---|---|---|---|---|
| Infiltración silenciosa en el buzón | 18.5 días | Lectura de contratos históricos y cadenas de cobro | 100.0% | Verizon DBIR |
| Automatización de reglas del buzón | 12.0 horas | Creación de reglas de eliminación automática / desvío | 64.2% | Verizon DBIR |
| Exploración de contrapartes comerciales | 6.4 días | Identificación de proveedores habituales y contables | 82.5% | APWG |
| Inserción mediante secuestro de hilos | 1.5 horas | Inyección de nuevos datos bancarios en la conversación | 58.6% | FinCEN |
| Ejecución del detonante de transferencia | Menos de 30 min | Envío urgente final para firma de autorización | 100.0% | FBI IC3 |
Fuente: Verizon Data Breach Investigations Report y FinCEN.
4. Vulnerabilidad sectorial y demografía de las víctimas
Los atacantes se enfocan sistemáticamente en sectores caracterizados por un alto volumen de transacciones, procesos descentralizados de compras y frecuentes desembolsos elevados hacia proveedores externos.
| Sector industrial comercial | Participación en pérdidas totales de BEC | Pérdida mediana por transferencia | Vulnerabilidad principal | Fuente |
|---|---|---|---|---|
| Bienes raíces y cuentas de custodia (Escrow) | 28.4% | $245,000 | Urgencia por fecha de cierre de escrituración | FBI IC3 |
| Manufactura y cadena de suministro | 24.2% | $185,000 | Facturación transfronteriza compleja | FinCEN |
| Construcción y contratistas | 18.6% | $164,000 | Facturación con múltiples subcontratistas | APWG |
| Servicios jurídicos y profesionales | 12.8% | $142,000 | Cuentas fiduciarias y transferencias de acuerdos | FBI IC3 |
| Atención médica y farmacéutica | 9.5% | $118,000 | Adquisición de equipamiento médico | Verizon DBIR |
| Gobiernos estatales y municipales | 6.5% | $95,000 | Explotación de registros públicos de proveedores | FinCEN |
Fuente: FBI IC3 Industry Sector Reports y FinCEN.
5. Tasas de recuperación de fondos y controles defensivos
La rapidez con la que se reporta el incidente determina directamente si las fuerzas de seguridad y los equipos bancarios pueden revertir o congelar transferencias internacionales antes de que los fondos se transformen en activos imposibles de rastrear.
| Protocolo defensivo / Ventana de recuperación | Tasa de éxito en la recuperación | Porcentaje mediano congelado | Eficacia en prevención de fraude | Fuente |
|---|---|---|---|---|
| Notificación a RAT del FBI en menos de 24 horas | 82.4% | 88.5% del monto transferido | Recuperación post-incidente | FBI IC3 |
| Notificación a RAT del FBI de 24 a 72 horas | 71.4% | 64.0% del monto transferido | Recuperación post-incidente | FBI IC3 |
| Notificación a RAT del FBI después de 72 horas | 14.2% | 11.8% del monto transferido | Alta probabilidad de pérdida | FBI IC3 |
| Confirmación verbal fuera de banda | N/A (Preventivo) | N/A | -89.0% consumación de fraude | FinCEN |
| Política DMARC Quarantine / Reject | N/A (Preventivo) | N/A | -68.4% correos entrantes suplantados | APWG |
Fuente: FBI IC3 Recovery Asset Team y FinCEN.
Resumen: Compromiso de correo electrónico empresarial en cifras
| Categoría de dimensión | Indicador de referencia | Valor de mercado medido | Autoridad de investigación |
|---|---|---|---|
| Pérdidas macro | Pérdidas globales acumuladas de BEC (Desde 2013) | Más de $55.0 mil millones | FBI IC3 |
| Costo anual | Pérdidas anuales reportadas por BEC en EE. UU. | Más de $2.9 mil millones | FBI IC3 |
| Magnitud de incidentes | Pérdida mediana por incidente empresarial | $137,200 | FinCEN |
| Cuota de pérdidas | Proporción de BEC en pérdidas totales de IC3 | 28.4% | FBI IC3 |
| Vector principal | Porcentaje de pérdidas por facturas de proveedores | 58.6% | APWG |
| Estafas directivas | Porcentaje de suplantación de ejecutivos (C-Suite) | 29.4% | FBI IC3 |
| Origen de credenciales | Infiltración vía phishing de credenciales en nube | 72.4% | Verizon DBIR |
| Recuperación | Tasa de recuperación del FBI (Reportado bajo 72 h) | 71.4% | FBI IC3 |
| Recuperación | Tasa de recuperación del FBI (Reportado bajo 24 h) | 82.4% | FBI IC3 |
| Reconocimiento | Permanencia mediana del atacante en el buzón | 18.5 días | Verizon DBIR |
| Carga maliciosa | Correos de BEC sin archivos adjuntos maliciosos | 96.2% | Verizon DBIR |
| Sector objetivo | Cuota del sector inmobiliario en pérdidas monetarias | 28.4% | FBI IC3 |
| Sector objetivo | Cuota del sector manufactura en pérdidas monetarias | 24.2% | FinCEN |
| Riesgo empresarial | Grandes organizaciones con detección anual de BEC | 84.6% | APWG |
| Mitigación | Reducción del fraude mediante verificación fuera de banda | -89.0% | FinCEN |
| Automatización | Atacantes que crean reglas de filtrado en buzones | 64.2% | Verizon DBIR |
Metodología y fuentes
-
FBI Internet Crime Complaint Center (IC3) - Annual Internet Crime Reports & RAT Statistics
-
Anti-Phishing Working Group (APWG) - Phishing Activity Trends Reports
-
U.S. Department of Justice - Cyber Crime Division Prosecution Archives
-
Observación sobre los datos: Las pérdidas reportadas corresponden a denuncias presentadas oficialmente ante autoridades policiales y unidades de inteligencia financiera; las entidades bancarias calculan que las pérdidas por BEC no denunciadas representan entre un 35% y un 50% adicional en capital corporativo transferido de forma irrecuperable.
Última actualización: septiembre de 2026. Este resumen estadístico se actualiza trimestralmente.