toolbox
Inicio / IA, datos y tecnología / Estimador de pérdida esperada por Business Email Compromise

Estimador de pérdida esperada por Business Email Compromise

Este estimador calcula la pérdida anual esperada por Business Email Compromise (BEC) combinando el número de intentos relevantes, la tasa de éxito, el importe medio solicitado o desviado, el porcentaje que normalmente se recupera y el coste medio de respuesta por incidente exitoso. De este modo distingue la pérdida financiera neta del esfuerzo de investigación y remediación.

Está dirigido a equipos de seguridad, tesorería, finanzas, riesgos y fraude que necesitan una referencia cuantitativa para controles de correo y procesos de pago. El modelo permite explorar el efecto de mejorar la verificación de transferencias, reducir la tasa de éxito o aumentar la capacidad de recuperación de fondos. Como usa importes medios, no refleja por sí solo la cola de eventos de gran cuantía ni diferencias entre tipos de fraude, por lo que conviene complementar la cifra con escenarios severos.

Datos del escenario

intentos
%
€
%
€
Resultado
—
estimación
Incidentes exitosos esperados—
Pérdida neta de fondos—
Coste de respuesta—

1. Define el escenario. Usa valores que correspondan al mismo periodo y al mismo alcance operativo.

2. Introduce los datos principales. Completa Intentos BEC relevantes al año, Tasa de éxito, Importe medio por fraude exitoso.

3. Añade los factores restantes. Introduce Fondos recuperados, Coste de respuesta por incidente con las unidades indicadas.

4. Revisa el resultado. La página actualiza el cálculo automáticamente y muestra también un desglose de los componentes principales.

5. Prueba escenarios. Cambia un supuesto cada vez para ver qué variable tiene mayor efecto y utiliza “Restablecer” para volver a los valores iniciales.

Pérdida esperada = Incidentes exitosos × [Importe medio × (1 − Recuperación) + Coste de respuesta] Incidentes exitosos = Intentos × (Tasa de éxito / 100)

Variables:

  • Intentos = eventos BEC relevantes considerados durante un año.
  • Tasa de éxito = porcentaje que termina en fraude materializado.
  • Importe medio = valor medio transferido o desviado en un fraude exitoso.
  • Recuperación = porcentaje medio de fondos recuperados posteriormente.
  • Coste de respuesta = investigación, coordinación y remediación por incidente.

Supuestos: El modelo aplica promedios a todos los incidentes y supone que la tasa de recuperación se refiere al importe transferido, no al coste de respuesta. No incluye automáticamente multas, litigios o pérdidas reputacionales.

Qué significa el resultado

Interpreta el valor como una estimación basada en las entradas y supuestos del escenario, no como una predicción garantizada.

Compara escenarios con criterios y periodos consistentes y evita contabilizar dos veces el mismo coste o reducción de riesgo.

Datos: Una empresa registra 300 intentos relevantes al año, con un 2 % de éxito. El fraude medio es de 60.000 €, se recupera el 40 % y la respuesta cuesta 4.000 € por incidente.

Cálculo: Incidentes = 300 × 0,02 = 6. Pérdida neta por fondos = 6 × 60.000 € × 0,60 = 216.000 €. Respuesta = 6 × 4.000 € = 24.000 €. Total = 240.000 €.

Resultado: 240.000 € de pérdida anual esperada.

Interpretación: La recuperación de fondos reduce el componente financiero, pero no elimina el coste de gestionar los incidentes que sí se materializan.

¿Qué intentos debo contar como BEC relevantes?

Usa intentos que encajen con el alcance del modelo, por ejemplo solicitudes fraudulentas de pago o cambio de cuenta. Mantén la definición estable entre periodos.

¿Cómo introduzco una recuperación del 100 %?

Escribe 100 en el campo de fondos recuperados. El componente de transferencia neta será cero, aunque seguirá existiendo el coste de respuesta si lo has incluido.

¿Puedo usar la mediana en lugar de la media para el importe?

Puedes hacerlo, pero el resultado ya no será un valor esperado clásico si la distribución es muy asimétrica. Para riesgo financiero suele ser útil comparar varios escenarios.

¿El coste de respuesta debe incluir el tiempo del personal?

Sí, si puedes valorarlo y no lo contabilizas en otro lugar. Incluye solo costes atribuibles al incidente para evitar duplicidades.

¿Por qué conviene analizar también el tiempo de recuperación?

Dos escenarios con la misma pérdida de fondos pueden exigir esfuerzos operativos muy distintos. El tiempo de recuperación ayuda a dimensionar esa carga y la continuidad del proceso afectado.