Spear phishing contra contadores en PR: temporada fiscal, máximo riesgo
Correos con logos de Hacienda y adjuntos "urgentes". Por qué las firmas contables son blanco premium en enero–abril.
Entre enero y abril, firmas contables en San Juan, Bayamón y Miami sirviendo clientes boricuas reciben oleadas de spear phishing con logos de Departamento de Hacienda, IRS, o bancos locales. Brian Krebs ha documentado campañas BEC contra preparadores de impuestos continentales; en PR el vector es idéntico pero el correo llega en español impecable con referencias a Planilla 480 o fechas de extensión.
El atacante investiga: sitio web de la firma, LinkedIn de socios, clientes públicos. El correo pide "actualizar credenciales del portal" o incluye ZIP con "documentación fiscal urgente". Un clic y el malware roba cookies de portal, credenciales de email, o instala keylogger mientras el contador prepara decenas de planillas.
Controles de verificación y MFA
OWASP publica guías de social engineering aplicables más allá de desarrollo: verificación out-of-band, callbacks a números conocidos, y nunca procesar cambios de cuenta bancaria solo por email. Para firmas contables, separamos estaciones de preparación fiscal de email general, bloqueamos macros, y exigimos MFA en portales de e-filing.
Capacitación específica de temporada: simulaciones en enero antes del pico, no en julio cuando ya pasó el daño. Bruce Schneier insiste en que el eslabón humano falla bajo presión de deadline — exactamente el ambiente de tax season. Incluya escenarios de "cliente pide transferencia urgente de reembolso" en talleres cwAWARE.
Impacto de una firma comprometida
Una firma contable comprometida en PR expone cientos de contribuyentes: W-2, 480, datos bancarios. Eso es incidente reportable, daño reputacional, y posible responsabilidad profesional. Invertir en controles en diciembre cuesta menos que responder en marzo bajo auditoría.
Operaciones y ejecución — conecta estrategia con lo que el equipo entrega cada semana.
