La MFA detuvo la toma de control de cuentas. No detuvo una transferencia bancaria de 60 millones de dólares

En agosto de 2024, Orion S.A., una empresa química con sede en Luxemburgo que suministra negro de humo a fabricantes de neumáticos y caucho en todo el mundo, informó a la Comisión de Bolsa y Valores de EE. UU. que un empleado, no un alto ejecutivo, había sido engañado para autorizar múltiples transferencias bancarias durante varias semanas, por un total aproximado de 60 millones de dólares, a cuentas controladas por atacantes (Orion S.A. Form 8-K, sec.gov, 12 de agosto de 2024). No se vulneró ninguna cuenta. No hubo malware involucrado. Alguien creyó que una serie de mensajes provenía de una fuente en la que confiaba y actuó en consecuencia en cada uno de ellos.

El informe de Orion indica que la empresa no encontró evidencia de acceso no autorizado a sus sistemas o datos. Ese detalle es más importante de lo que parece. La mayoría de las empresas basan sus defensas en la suposición de que una gran pérdida significa que algo se rompió: un firewall falló, una contraseña se filtró o un sistema tenía una vulnerabilidad. Aquí, nada se rompió. Una persona tomó una decisión normal, aprobando un pago que parecía igual a cualquier otro pago que hubiera aprobado antes, y lo hizo varias veces antes de que alguien lo cuestionara.

Vale la pena reflexionar sobre esto un momento, porque no es un truco difícil de lograr. Los atacantes que investigan un objetivo no necesitan vulnerar nada para saber quién aprueba los pagos y cómo. El sitio web de la propia empresa, los perfiles de LinkedIn y los comunicados de prensa suelen detallar quién dirige el departamento financiero, quién reporta a quién y cómo es una solicitud normal. Suplantar ese patrón de manera convincente se parece más a escribir una buena carta de presentación que a hackear un sistema, que es precisamente la razón por la que es tan escalable.

La MFA funcionó exactamente como estaba diseñada

La proporción de ataques BEC que afectaron a organizaciones sin MFA pasó del 58% en 2023 al 25% a principios de 2024 (ArcticWolf, State of Cybersecurity 2024 Trends Report UK, arcticwolf.com). Esa es una victoria de seguridad real. La toma de control de cuentas, donde un atacante inicia sesión en un buzón real con credenciales robadas, se volvió significativamente más difícil de lograr.

Si el BEC dependiera principalmente de vulnerar cuentas, casos como el de Orion deberían ser cada vez más raros a medida que aumenta la adopción de MFA. No lo son. Orion no es un caso aislado, y ni siquiera es el único este año: una empresa de energía del Reino Unido y un sindicato de trabajadores de EE. UU. perdieron sumas comparables debido al mismo patrón: sin brechas, sin malware, solo un mensaje convincente que llegó a través del canal correcto en el momento adecuado.

El dinero no dejó de moverse

El Informe de Delitos en Internet de 2025 del FBI registró 24,768 quejas de BEC y 3,050 millones de dólares en pérdidas reportadas, frente a las 21,442 quejas y 2,770 millones de dólares de 2024 (FBI IC3 2025 Annual Report, ic3.gov). Las quejas aumentaron aproximadamente un 16% y las pérdidas un 10%, en el mismo periodo en que la adopción de MFA estaba cerrando la brecha de la toma de control de cuentas.

La Association for Financial Professionals descubrió que el BEC afectó al 74% de las organizaciones en 2025, un aumento significativo respecto a 2023 y 2024 (AFP 2026 Payments Fraud and Control Survey, financialprofessionals.org). El Informe de Defensa Digital de 2025 de Microsoft determinó que el BEC fue responsable del 21% de los resultados de ataques con un desenlace claro, por delante del ransomware con un 16% (Microsoft Digital Defense Report 2025, microsoft.com). La defensa mejoró al detener un mecanismo específico. La categoría de ataque que debía detener no se redujo, simplemente se movió más allá de la puerta que la MFA estaba protegiendo.

La suplantación de identidad no necesita una puerta rota

La suplantación de ejecutivos clásica en BEC todavía fue reportada por el 49% de las organizaciones en 2024, incluso cuando la suplantación de proveedores y terceros se volvió más común, reportada por el 45% y el 24% de las organizaciones respectivamente (AFP 2025 Payments Fraud and Control Survey, financialprofessionals.org).

Nada de eso requiere una cuenta comprometida y, cada vez más, tampoco se limita al correo electrónico. Una llamada telefónica en vivo realizada después de que llega el mensaje logra algo que un correo electrónico por sí solo no puede: permite que el objetivo haga una pregunta y obtenga una respuesta tranquilizadora en tiempo real. Ese intercambio único, una voz que suena correcta y confirma exactamente lo que decía el correo electrónico, suele ser suficiente para superar cualquier duda que estuviera empezando a surgir; el mismo patrón de refuerzo que probablemente sostuvo múltiples transferencias desde Orion durante varias semanas.

La defensa que detuvo la toma de control de cuentas no puede detener un mensaje que nunca necesitó una

La MFA protege un activo: la cuenta. La suplantación de identidad ataca una relación: la confianza que alguien deposita en un nombre que reconoce, y los protocolos de autenticación nunca fueron diseñados para evaluar eso.

Esta es la reflexión que vale la pena considerar: un CISO que observa las cifras de adopción de MFA tiene una razón real y defendible para sentir que se está progresando, mientras que la exposición financiera se desplaza silenciosamente a una categoría que ninguna métrica de autenticación estaba rastreando, y el informe de 60 millones de dólares de Orion muestra exactamente hasta dónde puede llegar esa exposición antes de que alguien se dé cuenta.

Cómo es realmente una prueba diseñada para esto

Probar este modo de fallo significa recrear la secuencia en sí, no solo el primer mensaje. Eso significa entrenar la respuesta a un correo electrónico de phishing seguido de una llamada de vishing, dentro de una única campaña que pivota según cómo responda realmente cada empleado, no dos pruebas separadas sin conexión entre ellas. Eso es lo que hace posible Multiattack Simulations. Si alguien abre el correo electrónico simulado, la llamada se activa a continuación, el mismo refuerzo de seguimiento que hace que la versión real sea tan efectiva. Si alguien reporta el correo electrónico, se activa una ruta diferente, por lo que el ejercicio nunca evalúa los dos canales de forma aislada.

El informe resultante muestra el punto exacto de la secuencia donde la verificación se mantuvo y el punto donde se rompió; información que una prueba de phishing de un solo canal simplemente no puede producir, y la misma información que le habría dicho a Orion, antes de que saliera la segunda transferencia, que la primera ya había sido procesada.

Lo que esto significa en la práctica

Los líderes de seguridad deberían dejar de leer la adopción de MFA como un indicador de la reducción del riesgo de BEC. Cierra el subconjunto de toma de control de cuentas del BEC y deja el subconjunto de suplantación de identidad, ahora el más grande y costoso, prácticamente sin probar.

Esto también significa que la solución no depende únicamente de la seguridad. La encuesta de la AFP reveló que el departamento de tesorería detecta el 83 % de los intentos de fraude y el 55 % del fraude real, más que cualquier otra área, porque es ahí donde realmente se realizan los pagos (AFP 2026 Payments Fraud and Control Survey, financialprofessionals.org). Cualquier programa destinado a reducir la exposición al BEC debe llegar directamente a esa función, en lugar de limitarse a un botón de reporte de phishing que el departamento financiero nunca utiliza.

La autenticación multifactor (MFA) resolvió un problema real, y los datos lo demuestran. Sin embargo, no resolvió el compromiso de correo electrónico empresarial (BEC), y el informe de Orion también lo evidencia. Las organizaciones que logren reducir su exposición serán aquellas que dejen de confiar ciegamente en la seguridad de las cuentas para mitigar un riesgo que se ha desplazado a un terreno donde dicha seguridad no tiene visibilidad.