Spear phishing contra contadores en PR: temporada fiscal, máximo riesgo

Entre enero y abril, firmas contables en San Juan, Bayamón y Miami sirviendo clientes boricuas reciben oleadas de spear phishing con logos de Departamento de Hacienda, IRS, o bancos locales. Brian Krebs ha documentado campañas BEC contra preparadores de impuestos continentales; en PR el vector es idéntico pero el correo llega en español impecable con referencias a Planilla 480 o fechas de extensión.

El atacante investiga: sitio web de la firma, LinkedIn de so

El atacante investiga: sitio web de la firma, LinkedIn de socios, clientes públicos. El correo pide "actualizar credenciales del portal" o incluye ZIP con "documentación fiscal urgente". Un clic y el malware roba cookies de portal, credenciales de email, o instala keylogger mientras el contador prepara decenas de planillas.

OWASP publica guías de social engineering aplicables más all

OWASP publica guías de social engineering aplicables más allá de desarrollo: verificación out-of-band, callbacks a números conocidos, y nunca procesar cambios de cuenta bancaria solo por email. Para firmas contables, separamos estaciones de preparación fiscal de email general, bloqueamos macros, y exigimos MFA en portales de e-filing.

Capacitación específica de temporada: simulaciones en enero antes del pico, no en julio cuando ya pasó el daño. Bruce Schneier insiste en que el eslabón humano falla bajo presión de deadline — exactamente el ambiente de tax season. Incluya escenarios de "cliente pide transferencia urgente de reembolso" en talleres cwAWARE.

Una firma contable comprometida en PR expone cientos de contribuyentes: W-2, 480, datos bancarios. Eso es incidente reportable, daño reputacional, y posible responsabilidad profesional. Invertir en controles en diciembre cuesta menos que responder en marzo bajo auditoría.