El fraude de compromiso del correo corporativo (Business Email Compromise o BEC) representa uno de los mayores quebrantos económicos para empresas españolas. El escenario habitual es el siguiente: una empresa recibe una factura legítima de un proveedor habitual, pero en el cuerpo del correo o en el PDF adjunto se indica un cambio de cuenta bancaria. La transferencia se ejecuta y el dinero desaparece en cuentas bancarias intermedias.
Cuando ambas partes se percatan del engaño, surge la disputa judicial inmediata: ¿Quién debe asumir la pérdida? ¿En qué sistema de correo se produjo la intrusión?
Auditoría Forense de Cabeceras y Registros de Servidor
La resolución jurídica del litigio exige un peritaje informático que analice la cadena técnica del mensaje conforme al estándar RFC 5322 y los mecanismos de autenticación de correo:
1. Cabeceras de Correo (Headers)
El análisis forense de cabeceras desvela las direcciones IP de origen, los saltos de enrutamiento (Received from) y la autenticación criptográfica:
- SPF (Sender Policy Framework): Si el servidor remitente estaba autorizado por el registro DNS.
- DKIM (DomainKeys Identified Mail): Verificación de la firma digital de la clave pública para detectar modificaciones en tránsito.
- DMARC (Domain-based Message Authentication): Política de tratamiento de correos no alineados.
2. Reglas Maliciosas de Bandeja de Entrada (Inbox Rules)
En el 87% de los incidentes que investigamos en Microsoft 365 o Google Workspace, el atacante no falsificó el dominio exterior, sino que obtuvo las credenciales de uno de los usuarios legítimos mediante un ataque previo de phishing. Una vez dentro, el ciberdelincuente crea una regla oculta en la cuenta vulnerada:
SI asunto CONTIENE "factura" O "pago" O "IBAN"
ENTONCES marcar como leído Y mover a la carpeta "RSS Subscriptions"De este modo, el usuario legítimo nunca ve las comunicaciones reales, mientras el atacante mantiene el control del hilo de conversación con la otra parte desde IPs proxy o VPNs anónimas.
3. Registros de Auditoría Unificados (Unified Audit Log)
La extracción forense de los registros de auditoría de Microsoft 365 (operaciones UserLoggedIn, MailItemsAccessed, New-InboxRule) permite fijar con precisión:
- La IP real del atacante y el país de procedencia.
- El método de acceso (navegador, cliente IMAP o API de Graph).
- La fecha exacta del primer compromiso de la cuenta.
Determinación de Responsabilidad Procesal
El informe pericial de Zainder aporta al procedimiento judicial la evidencia indubitada de qué parte descuidó los deberes de diligencia técnica (ausencia de doble factor de autenticación 2FA, omisión de políticas SPF/DKIM o negligencia en el filtrado de accesos), facilitando la estimación íntegra de la demanda de reclamación de cantidad o la exoneración de la entidad pagadora.