El seguro contra phishing e ingeniería social para empresas enterprise en LATAM requiere coordinación entre póliza de cyber (respuesta a incidentes, forense, notificación) y póliza de crime/fidelity (pérdida financiera directa por transferencias fraudulentas). La cobertura clave es "social engineering fraud" con sublímites de USD $1M-$10M+. Empresas deben cerrar la brecha cyber-crime donde ambas pólizas excluyen recíprocamente, y actualizar coberturas para incluir deepfakes de voz/video y verificaciones por cualquier medio de comunicación.
El phishing es el vector de ataque #1 contra empresas en América Latina. No es sofisticado — es devastadoramente efectivo. Un solo email de spear-phishing bien dirigido al CFO puede resultar en una transferencia fraudulenta de USD $3M en 24 horas. Y cuando la empresa presenta la reclamación al seguro, descubre que la pérdida cae en un vacío entre la póliza de cyber y la de crime — ninguna paga.
Este artículo explica cómo funciona la cobertura de seguro contra phishing e ingeniería social para empresas enterprise, dónde están las brechas que destruyen reclamaciones, y cómo estructurar un programa que realmente cubra todos los escenarios — incluyendo los nuevos ataques con deepfakes de voz y video que están creciendo exponencialmente en LATAM.
90%
Breaches que inician por phishing o ingeniería social
Fuente: Verizon DBIR 2024
$4.9M
Pérdida promedio por ataque BEC exitoso (USD)
Fuente: FBI IC3 2024
3,000%
Aumento de ataques de phishing con IA generativa desde 2023
Fuente: SlashNext 2024
El Panorama del Phishing Enterprise en LATAM
El phishing enterprise en LATAM ha evolucionado de campañas masivas a ataques dirigidos (spear-phishing y whaling) contra directivos, controllers y tesoreros de empresas multinacionales. Los grupos de cibercrimen latinoamericanos como Grandoreiro y Mekotio se especializan en troyanos bancarios distribuidos por phishing, mientras que actores internacionales apuntan a empresas LATAM para fraude BEC explotando la cultura empresarial de baja verificación para transferencias.
LATAM tiene características que la hacen especialmente vulnerable al phishing enterprise. La jerarquía corporativa fuerte significa que cuando un email "del CEO" ordena una transferencia urgente, pocas personas cuestionan la instrucción. Las operaciones multinacionales con oficinas en múltiples países crean confusión sobre quién tiene autoridad para aprobar pagos. Y la adopción acelerada de banca digital ha ampliado la superficie de ataque sin que los controles de verificación se hayan actualizado al mismo ritmo.
Los grupos de cibercrimen especializados en LATAM — como Grandoreiro, Mekotio, Casbaneiro y Amavaldo — operan cadenas de phishing sofisticadas que distribuyen troyanos bancarios capaces de interceptar sesiones de banca empresarial y modificar transferencias en tiempo real. A estos se suman actores internacionales que ejecutan fraudes BEC dirigidos a los departamentos financieros de multinacionales con operaciones en la región, aprovechando la complejidad de transacciones cross-border donde una transferencia "urgente" a una nueva cuenta en otro país no levanta alarmas inmediatas.
Para las aseguradoras, el phishing enterprise es el riesgo que genera más reclamaciones pero también más disputas. La línea entre "el empleado fue engañado" (cubierto por social engineering fraud) y "el empleado fue negligente" (potencialmente excluido) es el campo de batalla de cada reclamación. Entender exactamente cómo funciona la cobertura — y dónde falla — es esencial antes de que ocurra el incidente.
Los 6 Vectores de Ingeniería Social contra Empresas
Los seis vectores principales de ingeniería social contra empresas enterprise son: BEC (Business Email Compromise) para fraude de transferencias, spear-phishing con malware para infiltración de red, vishing (voice phishing) con suplantación telefónica, smishing para robo de credenciales corporativas, compromiso de cadena de suministro vía proveedores suplantados, y deepfakes de audio/video para autorización fraudulenta. Cada vector activa diferentes secciones de la póliza de seguro.
📧
BEC — Business Email Compromise
CEO Fraud / Wire Transfer Fraud
Email suplantando al CEO, CFO, o proveedor solicita transferencia urgente o cambio de datos bancarios. Puede usar dominio falsificado (spoofing) o cuenta real comprometida. Pérdida directa de fondos — la más costosa.
Pérdida: USD $250K - $35M
🎯
Spear-Phishing con Payload
Targeted Phishing / Whaling
Email personalizado dirigido a un ejecutivo específico con adjunto malicioso o link a credential harvester. Objetivo: instalar ransomware, robar credenciales, o acceder a la red. Antesala del 90% de los breaches.
Pérdida: Breach completo
📞
Vishing — Voice Phishing
Suplantación telefónica / Callback scam
Llamada telefónica suplantando a un banco, regulador, auditor, o ejecutivo interno. El atacante usa urgencia, autoridad y conocimiento previo de la empresa (obtenido de LinkedIn/OSINT) para solicitar acceso, credenciales, o transferencias.
Pérdida: USD $100K - $5M
📱
Smishing — SMS/WhatsApp Phishing
SMS Phishing / Mensajería corporativa
Mensajes SMS o WhatsApp suplantando servicios internos, proveedores cloud, o bancos corporativos. En LATAM, WhatsApp es canal de comunicación corporativa — un link malicioso en WhatsApp corporativo compromete credenciales de la red.
Pérdida: Credential theft
🔗
Vendor Email Compromise (VEC)
Supply Chain BEC / Invoice Fraud
El atacante compromete el email real de un proveedor y modifica la factura con nuevos datos bancarios. La empresa paga la factura legítima a la cuenta del atacante. Extremadamente difícil de detectar porque el email viene de la dirección real del proveedor.
Pérdida: USD $500K - $20M
🤖
Deepfake de Voz/Video
AI-Powered Social Engineering
IA generativa clona la voz o video del CEO para una llamada o videoconferencia "urgente" ordenando una transferencia. Caso real en Hong Kong: deepfake de video del CFO en Zoom resultó en transferencia de USD $25M. Crecimiento exponencial en LATAM.
Pérdida: USD $500K - $25M+
⚠ Dato Crítico para Enterprise
En empresas multinacionales con operaciones en LATAM, los ataques de ingeniería social más exitosos combinan múltiples vectores: primero OSINT para investigar la estructura corporativa, luego spear-phishing para comprometer un email interno, y finalmente BEC o VEC para ejecutar la transferencia fraudulenta. Esta cadena multi-vector es la que genera las pérdidas más grandes — y la que requiere la coordinación más compleja de coberturas.
Anatomía de un Ataque BEC: De la Investigación al Fraude
Un ataque BEC (Business Email Compromise) contra una empresa enterprise sigue una secuencia de 5 fases: reconocimiento (2-4 semanas de OSINT sobre la empresa y sus ejecutivos), infiltración (compromiso del email corporativo o creación de dominio falso), vigilancia (monitoreo silencioso de comunicaciones internas y patrones de pago), ejecución (envío de la instrucción fraudulenta en el momento óptimo), y monetización (los fondos son movidos a múltiples cuentas internacionales en horas). El tiempo total desde el primer reconocimiento hasta la transferencia es de 30-90 días.
🔍
Fase 1: Reconocimiento (Semanas 1-4)
Duración: 2-4 semanas · No detectable
El atacante mapea la organización: identifica al CFO, controller, y tesorero en LinkedIn; analiza el organigrama; estudia proveedores en licitaciones públicas; revisa reportes anuales para entender volúmenes de pago. En LATAM, la información corporativa pública es abundante — registros de cámaras de comercio, DIAN/SAT/SII, y redes sociales corporativas.
📨
Fase 2: Infiltración (Semana 4-5)
Duración: días · Spear-phishing o credential stuffing
El atacante compromete la cuenta de email del CEO o CFO mediante credential phishing, o registra un dominio look-alike (nextguard-insurance.com vs nextguardinsurance.com). Si logra acceso al email real, configura una regla de reenvío silenciosa para monitorear toda la comunicación sin que el ejecutivo lo note.
👁️
Fase 3: Vigilancia Silenciosa (Semanas 5-10)
Duración: 3-6 semanas · El atacante lee emails internos
El atacante lee comunicaciones internas durante semanas: aprende patrones de pago, identifica proveedores grandes, entiende el tono de comunicación del CEO, detecta cuándo hay viajes de ejecutivos (momento ideal para atacar). Identifica una transacción real en proceso — como el pago trimestral a un proveedor — para usarla como pretexto.
💸
Fase 4: Ejecución del Fraude (Día del Ataque)
Duración: 1-4 horas · Timing preciso
Cuando el CEO está en vuelo o en reunión (no puede ser contactado para verificar), el atacante envía el email al controller: "necesito que proceses esta transferencia urgente al nuevo banco de [proveedor real]. Adjunto nueva factura con datos actualizados." El email es perfecto — usa el tono exacto del CEO, referencia una transacción real, y tiene sentido en el contexto.
🏦
Fase 5: Monetización y Lavado (Horas post-transferencia)
Duración: 2-48 horas · Los fondos desaparecen
Los fondos llegan a una cuenta mula y son inmediatamente fragmentados en múltiples transferencias internacionales, criptomonedas, o retiros en efectivo. En 24-48 horas, el dinero es irrecuperable. Cuando el CEO regresa y dice "yo no pedí esa transferencia", es demasiado tarde. La ventana de recall bancario se cerró.
💡 Caso Real LATAM: Vendor Email Compromise
Una multinacional con operaciones en Colombia recibió un email del proveedor de logística con el que trabajaba hace 8 años, informando un "cambio de cuenta bancaria por reestructura corporativa." El email venía de la dirección real del contacto del proveedor (la cuenta había sido comprometida). La empresa pagó USD $2.3M a la nueva cuenta. Cuando el proveedor real llamó para cobrar, descubrieron el fraude. La reclamación fue disputada por la aseguradora porque la empresa no verificó el cambio de cuenta por un canal independiente (callback telefónico al número registrado del proveedor). La póliza requería "verificación dual para cambios de datos bancarios" como condición de cobertura.
Mapa de Cobertura: Dónde Responde Cada Póliza
La cobertura de seguro contra phishing e ingeniería social se divide entre tres pólizas: la póliza de cyber cubre respuesta a incidentes (forense, notificación, BI, costos legales/regulatorios), la póliza de crime/fidelity cubre pérdida financiera directa por transferencias fraudulentas, y la póliza de D&O cubre reclamaciones contra directivos por falta de supervisión. La cobertura específica de "social engineering fraud" puede estar como endorsement en cyber o en crime — la empresa debe verificar en cuál póliza está y con qué sublímite.
🛡️ Póliza de Cyber
✓ Forense digital para investigar el phishing
✓ Notificación a afectados por breach de datos
✓ Monitoreo de crédito para víctimas
✓ Costos legales y defensa regulatoria
✓ Business interruption por sistemas comprometidos
✓ Restauración de datos y sistemas
✓ Crisis management y PR
✗ Transferencia voluntaria de fondos (usualmente excluida)
✗ Pérdida financiera directa por fraude
🏛️ Póliza de Crime / Fidelity
✓ Social engineering fraud (con endorsement)
✓ Computer fraud (transferencia no autorizada)
✓ Funds transfer fraud
✓ Employee dishonesty / Fidelidad
✓ Forgery and alteration
✗ Costos de respuesta a incidentes
✗ Notificación y monitoreo
✗ Business interruption
✗ Puede excluir "eventos cibernéticos"
👔 Póliza de D&O
✓ Defensa de directivos por falta de supervisión
✓ Investigaciones regulatorias contra directivos
✓ Securities claims por shareholders
✗ Pérdida financiera directa
✗ Costos operativos de respuesta
✗ Puede excluir "bodily injury / property damage"
⚡ Social Engineering Endorsement
✓ Pérdida por instrucción fraudulenta vía email
✓ Suplantación de ejecutivo o proveedor
✓ Cambio fraudulento de datos bancarios
✓ Invoice manipulation
⚠ Sublímite típico: USD $250K - $5M
⚠ Requiere verificación dual como condición
⚠ Puede estar en cyber O en crime (no en ambas)
⚠ Pólizas antiguas: solo "escrito" (no cubre vishing)
La Brecha Cyber-Crime: El Vacío que Destruye Reclamaciones
La brecha cyber-crime ocurre cuando la póliza de cyber excluye "transferencia voluntaria de fondos" y la póliza de crime excluye "pérdidas causadas por eventos cibernéticos." Un ataque BEC que resulta en una transferencia fraudulenta cae exactamente en esta intersección: es un evento cibernético (exclusión de crime) que resulta en una transferencia voluntaria (exclusión de cyber). La solución es eliminar exclusiones cruzadas entre ambas pólizas y asegurar que el endorsement de social engineering fraud no tenga carve-outs que excluyan los escenarios más comunes.
1 El Problema
El CFO de una empresa manufacturera con operaciones en México y Colombia recibe un email del "CEO" (cuenta comprometida) ordenando una transferencia de USD $1.8M a un proveedor en Panamá. El controller procesa la transferencia. Cuando descubren que es fraude, presentan dos reclamaciones:
A la póliza de cyber: "Sufrimos un ataque de phishing." La aseguradora responde: "Cubrimos la respuesta al incidente (forense, etc.), pero la pérdida de fondos está excluida bajo 'voluntary parting of funds / transferencia voluntaria.'"
A la póliza de crime: "Sufrimos fraude por transferencia." La aseguradora responde: "La pérdida se originó en un 'computer event' / 'cyber event', que está excluido de esta póliza."
Resultado: USD $1.8M sin cobertura. Ni cyber ni crime pagan. Esto es la brecha cyber-crime — y destruye más reclamaciones de social engineering que cualquier otra exclusión.
2 La Solución
Cerrar la brecha requiere acción en ambas pólizas simultáneamente:
Checklist para Cerrar la Brecha Cyber-Crime
En la póliza de Cyber: Agregar endorsement de social engineering fraud con sublímite adecuado. Verificar que la exclusión de "voluntary parting" no aplique cuando la transferencia fue inducida por fraude. Incluir cobertura de "fraudulent instruction" por cualquier medio (escrito, verbal, video).
En la póliza de Crime: Eliminar o limitar la exclusión de "cyber events." Verificar que computer fraud y funds transfer fraud no excluyan BEC. Confirmar que social engineering fraud no tenga carve-out para "instrucciones verificables."
Coordinación: Mismo broker debe colocar ambas pólizas para identificar y eliminar exclusiones cruzadas. El manuscript de ambas pólizas debe revisarse conjuntamente. Incluir cláusula de "no other insurance" coordination para evitar que cada aseguradora señale a la otra.
Deepfakes, Vishing e IA: La Nueva Frontera del Fraude
Los deepfakes de voz y video representan la evolución más peligrosa de la ingeniería social para empresas enterprise. Un audio deepfake convincente del CEO puede generarse con solo 3 segundos de muestra de voz (disponible en videos corporativos, podcasts, conferencias). El caso más notable: en 2024, un empleado en Hong Kong transfirió USD $25M después de una videollamada con deepfakes de múltiples ejecutivos de su empresa. Las pólizas de seguro deben actualizarse para cubrir "instrucciones fraudulentas por cualquier medio de comunicación" incluyendo voz y video sintéticos.
La IA generativa ha democratizado el fraude enterprise. Lo que antes requería un actor profesional y semanas de preparación ahora se logra con herramientas de clonación de voz que necesitan solo 3-10 segundos de audio del CEO — fácilmente obtenible de un video corporativo en YouTube, una entrevista, o una conferencia grabada.
1 Deepfake de Voz (Audio Cloning)
El atacante clona la voz del CEO y llama al controller: "Soy [nombre], necesito que proceses una transferencia urgente. No puedo enviarte email porque estoy en un vuelo con WiFi limitado." La voz es indistinguible de la real. El controller, entrenado para seguir instrucciones del CEO, procesa la transferencia. La cobertura depende de si la póliza cubre instrucciones fraudulentas "verbales" — muchas pólizas antiguas solo cubren instrucciones "escritas" (email), dejando vishing y deepfakes sin cobertura.
2 Deepfake de Video (Video Conferencing Fraud)
El caso de Hong Kong en 2024 estableció un precedente: el empleado participó en una videollamada donde vio y escuchó a su CFO y a otros ejecutivos — todos eran deepfakes generados en tiempo real. Resultado: USD $25.6M transferidos. Este tipo de ataque explota la confianza que las empresas depositan en las videoconferencias como método de verificación — muchas empresas tienen como protocolo "verificar por videollamada" en lugar de callback telefónico, sin darse cuenta de que la videollamada es ahora un vector de ataque.
3 IA Generativa para Phishing Masivo Personalizado
Los LLMs generan emails de spear-phishing en español perfecto, con contexto específico de la empresa (obtenido de scraping de la web corporativa), personalizados para cada destinatario, y sin los errores ortográficos que antes eran la señal de alerta. Un atacante puede generar 10,000 emails de spear-phishing únicos y contextuales en minutos. Los filtros de email basados en patrones y templates conocidos son inefectivos contra phishing generado por IA.
🔴 Verificación de Póliza: Deepfake Coverage
Revise su póliza para estas cláusulas críticas: ¿La definición de "social engineering" incluye "verbal and electronic communications" o solo "written communications"? ¿La definición de "computer fraud" incluye "synthetic media" o "AI-generated content"? ¿El endorsement de social engineering requiere que la instrucción sea "verified through a separate communication channel" — y esa verificación, ¿excluye videollamada como canal válido? Si su póliza fue escrita antes de 2024, es probable que no cubra deepfakes.
Controles que Exigen las Aseguradoras
Las aseguradoras de cyber y crime exigen controles específicos para cubrir riesgo de phishing e ingeniería social enterprise: MFA en email y VPN, DMARC/DKIM/SPF en todos los dominios, simulaciones de phishing periódicas con tasa de click menor al 5%, verificación dual con callback telefónico para transferencias superiores a USD $25K-50K, protocolo documentado para cambios de datos bancarios de proveedores, y monitoreo de dominios similares (typosquatting). La ausencia de estos controles puede resultar en negación de cobertura o aumento de prima del 40-80%.
🔐
MFA en Email y VPN
Multi-factor authentication obligatorio en email corporativo (O365/Google Workspace), VPN, y todos los accesos remotos. Sin MFA, la aseguradora puede declinar cobertura completa. Phishing-resistant MFA (FIDO2/WebAuthn) reduce prima.
Requisito Mínimo
📧
DMARC, DKIM, SPF
Configuración de autenticación de email en todos los dominios corporativos. DMARC en policy "reject" (no "none" o "quarantine"). Esto previene domain spoofing — que alguien envíe emails desde su dominio. La aseguradora verifica esto antes de cotizar.
Requisito Mínimo
🎓
Simulaciones de Phishing
Programa continuo de phishing simulation con métricas: tasa de click, tasa de reporte, tiempo de reporte. Objetivo: click rate menor al 5%. Reportes trimestrales al board. Las aseguradoras piden evidencia de al menos 4 campañas/año.
Reduce Prima 10-20%
📞
Verificación Dual con Callback
Para transferencias superiores a USD $25K-$50K: callback telefónico al número registrado (NO al número del email) de la persona que solicitó la transferencia. Dos personas deben aprobar. Este control es condición de cobertura del endorsement de social engineering — sin él, la reclamación será negada.
Condición de Cobertura
🏦
Protocolo de Cambio de Datos Bancarios
Proceso documentado para verificar cambios de cuenta bancaria de proveedores: confirmar por teléfono al contacto registrado, esperar 48 horas antes de activar el cambio, verificar con comprobante bancario oficial. No aceptar cambios por email solamente.
Condición de Cobertura
🌐
Monitoreo de Dominios Similares
Servicio de monitoreo de typosquatting: detectar dominios registrados que imitan el dominio corporativo (nextguard-insurance.com, nextguardlnsurance.com, etc.). Acción automática de takedown. Reduce la superficie de ataque de BEC significativamente.
Reduce Prima 5-10%
🔍
Email Security Gateway Avanzado
Solución de email security con anti-phishing, anti-spoofing, sandbox de adjuntos, URL rewriting, y detección de BEC basada en IA (análisis de tono y comportamiento). Soluciones líderes: Proofpoint, Mimecast, Abnormal Security.
Reduce Prima 10-15%
⚙️
Reglas de Forwarding Deshabilitadas
Bloquear la creación de reglas de auto-forwarding en email corporativo a direcciones externas. Los atacantes que comprometen cuentas de email crean reglas silenciosas de reenvío para monitorear comunicaciones. Auditoría periódica de reglas existentes.
Best Practice
Estructura del Programa y Sublímites
Un programa enterprise de seguro contra phishing e ingeniería social para LATAM debe incluir: póliza de cyber con límite primario de USD $5M-$25M y endorsement de social engineering fraud de USD $1M-$10M, póliza de crime/fidelity con límite de USD $5M-$25M incluyendo computer fraud y funds transfer fraud, y coordinación con D&O para cubrir reclamaciones contra directivos. El sublímite de social engineering debe reflejar la transacción máxima autorizable. El costo adicional del endorsement es típicamente 5-15% de la prima total.
Transferencias iniciadas directamente por el atacante (sin engañar a un empleado). Sin exclusión de "cyber events."
Funds Transfer Fraud
Crime
Full policy limit
Instrucciones fraudulentas al banco. Verificar que cubra transferencias internacionales (cross-border).
Incident Response
Cyber
Full policy limit
Forense, legal, notificación, monitoreo. Se activa en paralelo con crime cuando hay breach + fraude.
Vendor Fraud / Invoice Manipulation
Cyber o Crime
USD $500K - $5M
Pago a factura modificada de proveedor real comprometido (VEC). Puede requerir endorsement específico.
Business Interruption
Cyber
Full policy limit
Cuando phishing resulta en ransomware o compromiso de red que detiene operaciones.
Regulatory Defense
Cyber + D&O
Varies
Investigaciones de SIC, INAI, ANPD, SFC por breach de datos resultante de phishing.
D&O - Directivos
D&O
USD $5M - $25M
Reclamaciones contra directivos por falta de controles de ciberseguridad. Eliminar cyber exclusion de D&O.
💰 Ejemplo: Programa Enterprise USD $15M
Cyber primario: USD $10M límite, USD $5M sublímite social engineering, USD $100K deducible. Crime/Fidelity: USD $10M límite, computer fraud y funds transfer fraud al full limit, USD $5M sublímite social engineering adicional, USD $50K deducible. D&O: USD $15M límite, sin exclusión cyber. Coordinación: mismo broker, manuscritos revisados conjuntamente, sin exclusiones cruzadas. Prima estimada: USD $120K-$250K/año dependiendo de sector, controles, y historial de reclamaciones.
Preguntas Frecuentes
Sí, pero depende del tipo de pérdida. El seguro cibernético cubre costos de respuesta al incidente de phishing (forense, notificación, restauración), costos legales y regulatorios si el phishing resulta en un breach de datos, y business interruption si el ataque interrumpe operaciones. Sin embargo, las pérdidas financieras directas por transferencias fraudulentas (como en BEC/CEO fraud) frecuentemente caen bajo la cobertura de "social engineering fraud" que puede estar en la póliza de cyber o en la póliza de crime/fidelity, y usualmente tiene sublímites de USD $250K-$5M.
La cobertura de social engineering fraud protege contra pérdidas financieras directas cuando un empleado es engañado por un atacante para transferir fondos, cambiar datos de pago de un proveedor, o entregar información confidencial. La cobertura puede estar en la póliza de cyber (como endorsement) o en la póliza de crime/fidelity. Los sublímites típicos van de USD $250K a $5M. Para que la cobertura aplique, generalmente debe haber una verificación fallida — la aseguradora puede negar la reclamación si la empresa no tenía controles de verificación dual para transferencias.
Los deepfakes representan un reto emergente para el seguro. Si un empleado transfiere fondos porque un deepfake de voz imitó al CEO en una llamada, la cobertura de social engineering fraud debería aplicar — el empleado fue "engañado por un tercero que se hizo pasar por una persona autorizada." Sin embargo, las pólizas más antiguas pueden requerir que la instrucción fraudulenta sea "escrita" (email), excluyendo voz. Las pólizas modernas deben incluir "verbal and electronic communications" para cubrir deepfakes. Empresas enterprise deben verificar que su póliza cubra instrucciones fraudulentas por cualquier medio de comunicación.
La póliza de cyber cubre los costos de responder al ataque de phishing: forense digital, notificación a afectados, monitoreo de crédito, restauración de sistemas, costos legales, multas regulatorias, y business interruption. La póliza de crime/fidelity cubre la pérdida financiera directa: dinero robado por transferencias fraudulentas, manipulación de cuentas, o desvío de fondos. La brecha ocurre cuando cyber excluye "transferencia voluntaria de fondos" y crime excluye "eventos cibernéticos." La solución es coordinar ambas pólizas para que no haya exclusiones cruzadas — esto es especialmente crítico para empresas que manejan transacciones de alto valor.
Las aseguradoras exigen controles específicos: MFA en todos los sistemas (especialmente email y VPN), filtrado avanzado de email con anti-phishing/anti-spoofing (DMARC, DKIM, SPF), capacitación de phishing awareness con simulaciones periódicas, verificación dual para transferencias superiores a un umbral (típicamente USD $25K-$50K), protocolo de callback telefónico para cambios de datos bancarios de proveedores, y monitoreo de dominios similares (typosquatting). Si la empresa no tiene estos controles, la aseguradora puede declinar cobertura, aumentar la prima 40-80%, o reducir el sublímite de social engineering.
El sublímite debe basarse en la transacción máxima que un empleado puede autorizar: si un controller puede aprobar transferencias de USD $5M, el sublímite debe ser al menos USD $5M. Para empresas enterprise con operaciones multinacionales, el sublímite típico es USD $1M-$10M en la póliza de cyber (endorsement) más USD $5M-$25M en la póliza de crime/fidelity. Empresas que procesan pagos o tienen tesorerías activas necesitan el rango alto. El costo adicional del sublímite de social engineering es relativamente bajo — típicamente 5-15% de la prima total.
¿Su programa de seguro cubre fraude por ingeniería social?
Revisamos su póliza actual de cyber y crime para identificar la brecha que deja sin cobertura las pérdidas por BEC, vishing y deepfakes. Análisis sin costo para empresas enterprise en LATAM.
Aviso Legal: Este artículo es informativo y no constituye asesoría legal, financiera o de seguros. Las coberturas, sublímites, exclusiones y condiciones descritas son ejemplos generales del mercado y varían significativamente entre aseguradoras, jurisdicciones y programas específicos. Los datos estadísticos son de fuentes públicas referenciadas y pueden haber sido actualizados desde la fecha de publicación. Consulte con un corredor de seguros especializado para evaluar su situación específica. NextGuard Insurance Agency LLC, NPN 20662855, domiciliado en Florida, EE.UU.
