Fortra publicó su BEC Global Insights Report de octubre de 2026 el 2 de noviembre de 2026, y el hallazgo más útil para quien defiende el correo tiene que ver con la infraestructura. Durante octubre, el 63% de los ataques de compromiso de correo empresarial observados por el equipo Fortra Intelligence and Research Experts, conocido como FIRE, se enviaron desde direcciones alojadas en proveedores de webmail gratuito. Solo el 37% se originó en dominios registrados maliciosamente. La cuota de webmail gratuito incluso creció desde el 60% de septiembre.
El informe se basa en los cientos de enfrentamientos de defensa activa con actores de amenazas BEC que FIRE realiza cada mes, lo que ofrece una visión inusualmente directa de cómo piden dinero los atacantes y desde dónde envían.
El volumen cayó, pero las peticiones de dinero no se detienen
FIRE observó una disminución del 36% en el volumen total de ataques BEC en octubre respecto a septiembre. Las tácticas bajo esa cifra, sin embargo, se mantuvieron notoriamente estables. Las tarjetas de regalo siguieron siendo el método de cobro más frecuente, con un 57,5% de los ataques, seguidas del fraude de pago anticipado con un 22,6% y las transferencias bancarias con un 12,2%.
Las tarjetas de Apple Store fueron las más solicitadas, con el 50% de todas las peticiones, seguidas de Amazon con un 31,8% y Sephora con un 4,5%. El cuadro de las criptomonedas fue pequeño pero persistente: se identificaron 8 estafas relacionadas, con 5 direcciones únicas de Bitcoin, peticiones de entre 1.270 y 3.300 dólares y una media de 2.437,50 dólares.
Las transferencias fueron más frecuentes y algo más baratas
Los ataques de transferencia bancaria aumentaron un 16% en octubre frente a septiembre, mientras que el importe medio pedido bajó un 18%, hasta 41.779 dólares desde 50.943. La distribución recuerda que el BEC no es solo un fraude de millones en la sala del consejo. Las peticiones inferiores a 10.000 dólares fueron el 24% del total, los importes entre 10.000 y 50.000 dólares el 46%, las peticiones entre 50.000 y 100.000 el 27%, y solo el 4% superó los 100.000 dólares.
Las cuentas mulas que recibían estas transferencias se concentraron en grandes bancos estadounidenses con un 37%, seguidas de bancos internacionales no estadounidenses con un 15% y bancos regionales de EE. UU. con un 13%. En los ataques de desvío de nómina, FIRE identificó 51 bancos en total, con Green Dot/Go2Bank al 27%, SoFi Bank al 10% y Bank of Montreal al 4% entre los más usados.
941 dominios registrados maliciosamente
La sección de infraestructura contiene la verdadera lección. FIRE identificó 941 dominios registrados maliciosamente durante octubre, y el 75% se registró a través de Google, seguido de Microsoft y Seznam. Entre los ataques basados en webmail gratuito, los tres servicios más usados fueron Spaceship, Wild West Domains y NameCheap, que juntos representaron el 42% del correo de ataque.
Geográficamente, Estados Unidos acumuló el 39% de los ataques por dirección IP identificada y Nigeria el 28%, con la advertencia de Fortra de que las ubicaciones fuera de África Occidental no pueden considerarse completamente definitivas porque un dispositivo tras una IP podría actuar como proxy.
Por qué esto importa para el DMARC
La división entre webmail y dominios registrados se corresponde exactamente con las dos mitades del problema de la suplantación. El 63% enviado desde webmail gratuito es correo autenticado. Proviene realmente del dominio del proveedor, supera los controles de SPF, DKIM y DMARC, y ninguna política que publiques en tu propio dominio lo detendrá. Esos ataques dependen del nombre visible y del relato del cuerpo del mensaje, por lo que la formación del personal y los procedimientos de verificación de cambios de pago siguen importando.
El 37% desde dominios registrados maliciosamente es donde la defensa de dominios rinde. Los atacantes registran dominios parecidos porque suplantar tu dominio exacto se ha vuelto más difícil conforme se extiende el cumplimiento del DMARC. Una política DMARC en p=reject cierra la vía de suplantación exacta, y revisar tus informes agregados muestra qué dominios similares se usan contra tu personal y tus clientes. Las 941 altas de registro en un solo mes demuestran que es un proceso continuo, no una configuración de una sola vez.
El informe fue redactado por JT Newby, Principal Threat Research Lead de Fortra, y es un buen pulso mensual sobre cómo cobran realmente los operadores de BEC y desde dónde envían.
La mayoría del correo BEC llega hoy desde infraestructura que supera la autenticación por defecto, lo que convierte a tu propio dominio en uno de los pocos activos totalmente bajo tu control. Excello Mail te muestra exactamente qué se envía en nombre de tu dominio y qué dominios similares lo rodean. Regístrate gratis en Excello Mail y toma el control de la identidad de tu dominio.