Facturas falsas y correos de cambio de pago: cómo detectar el compromiso del correo empresarial

Llega un correo de un proveedor con el que usted trabaja desde hace años. Dice que cambiaron de banco y le pide enviar el pago de este mes a la nueva cuenta. El logotipo es el correcto, la firma también, y el número de factura coincide con una que usted esperaba. Si la paga, es posible que ese dinero no vuelva nunca.

Esto se llama compromiso del correo empresarial, o BEC por sus siglas en inglés. No hace falta hackear sus computadoras ni instalar nada. Basta un correo convincente y una persona ocupada que quiere dejar las cuentas pagadas. En este artículo explicamos cómo funcionan estas estafas, las señales de alerta que su personal debe conocer y el proceso sencillo que detiene la mayoría de ellas.

¿Qué tan grande es el problema?

El BEC es uno de los delitos cibernéticos más costosos que se denuncian al FBI. En su Informe de Delitos en Internet de 2025, el Centro de Denuncias de Delitos en Internet del FBI (IC3) registró 24,768 denuncias de compromiso del correo empresarial, con pérdidas ajustadas de más de 3,000 millones de dólares (Informe del IC3 del FBI de 2025, en inglés). Y esos son solo los casos que se denunciaron.

Las pequeñas empresas son blancos atractivos porque los pagos suelen estar a cargo de una o dos personas, las aprobaciones son informales y rara vez existe un proceso escrito para verificar un cambio de datos bancarios.

Cómo funciona la estafa

La mayoría de los intentos de BEC siguen uno de estos patrones:

• El proveedor falso. Alguien se hace pasar por un proveedor y dice que su cuenta bancaria cambió. Los pagos siguientes van a la cuenta del delincuente.
• El jefe falso. Un correo que parece venir del dueño o de un gerente le pide a un empleado pagar una factura urgente, hacer una transferencia o comprar tarjetas de regalo, muchas veces "porque estoy en una reunión, no me llame".
• El cliente o la compañía de títulos falsos. Un mensaje cambia a última hora las instrucciones de cierre o de pago. Las inmobiliarias y los bufetes de abogados lo ven con frecuencia.
• El cambio de nómina falso. Un empleado aparentemente le pide a Recursos Humanos que deposite su sueldo en una cuenta nueva.

El correo puede venir de dos lugares. A veces es una dirección parecida: una letra cambiada, una palabra de más o una cuenta de correo gratuita con el nombre correcto. Otras veces viene de la cuenta real, porque el delincuente robó la contraseña del proveedor o del empleado y lleva tiempo leyendo su correo en silencio. El FBI señala que los delincuentes pueden vigilar las conversaciones de facturación para que su solicitud llegue justo cuando se espera un pago real (FBI: Business Email Compromise, en inglés).

Ese segundo caso es la razón por la que el consejo habitual de "revisar la dirección del remitente" no basta por sí solo.

Señales de alerta que su personal debe conocer

Cualquiera de estas señales debería hacer que alguien se detenga y verifique antes de pagar:

• Un cambio en los datos bancarios, en la forma de pago o en el destino del dinero. Es la señal de alerta más importante de todas.
• Urgencia o presión. "Esto tiene que salir hoy", "Vamos a perder el negocio", "La cuenta se va a cerrar".
• Una petición de saltarse el proceso normal, mantenerlo en secreto o no llamar.
• Una dirección de correo ligeramente distinta, o respuestas que van a una dirección diferente de la que envió el mensaje.
• Un cambio de tono o de forma de escribir en alguien con quien usted se escribe a menudo, o una hora poco habitual.
• Tarjetas de regalo como forma de pago para cualquier asunto de la empresa.
• Archivos adjuntos o enlaces nuevos que le piden "ver la factura actualizada" o iniciar sesión para ver un documento.

La regla que detiene la mayoría del BEC: llamar para confirmar

La protección más eficaz no es técnica. Es una regla escrita que todas las personas que manejan dinero siguen siempre:

1. Todo cambio en los datos de pago se verifica por teléfono antes de hacer el pago.
2. Use un número de teléfono que usted ya tenía: de sus registros de proveedores, de un contrato anterior o del sitio web de la empresa. Nunca use un número que venga en el correo que pide el cambio.
3. Los pagos por encima de cierto monto requieren la aprobación de una segunda persona, y quien aprueba confirma que se hizo la llamada de verificación.
4. Sin excepciones por urgencia ni por jerarquía. Si el dueño de verdad necesita que algo se pague hoy, una llamada rápida no lo va a impedir.
5. Póngalo por escrito y avíseles a sus proveedores, para que esperen la llamada y sepan que usted nunca cambiará sus datos solo por correo.

El propio FBI aconseja lo mismo: verifique en persona o por teléfono las solicitudes de pago y los cambios de cuenta, y desconfíe especialmente cuando alguien lo presione para actuar rápido.

Las capas técnicas que ayudan

Un buen proceso es la última línea de defensa. Estas protecciones hacen mucho menos probable que un correo falso llegue a la bandeja de entrada, o que un delincuente entre en su buzón:

• Autenticación multifactor (MFA) en todas las cuentas de correo, para que una contraseña robada no baste para entrar.
• Seguridad del correo y filtrado contra phishing que detecte dominios parecidos, suplantaciones de su propio personal y enlaces sospechosos.
• SPF, DKIM y DMARC en su dominio, para que los delincuentes no puedan enviar correos que parezcan venir de su dirección exacta. Lo explicamos en SPF, DKIM y DMARC explicados.
• Un aviso de "remitente externo" en los mensajes que vienen de fuera de la empresa, para que un correo falso del "jefe" llame la atención.
• Alertas cuando se crean reglas de reenvío en un buzón, un truco común de los delincuentes para ocultar respuestas o quedarse con una copia de su correo después de entrar.
• Capacitación en seguridad con ejemplos breves y realistas, para que las señales de alerta anteriores se vuelvan algo natural.

Para una lista más amplia de protecciones, vea nuestra lista de ciberseguridad para pequeñas empresas.

Si cree que ya pagó una factura falsa

La rapidez es clave. El FBI dice que, cuando se descubre una transferencia fraudulenta, el tiempo es fundamental.

1. Llame a su banco de inmediato y pida que recuperen el pago. Pregunte qué necesitan de usted.
2. Presente una denuncia en ic3.gov con todos los detalles de la transacción, sea cual sea el monto.
3. Asegure el buzón. Cambie la contraseña, cierre todas las sesiones, confirme que la MFA está activada y revise si hay reglas de reenvío o reglas que borren u oculten mensajes.
4. Avise al proveedor o cliente real llamando a un número de confianza, por si su cuenta fue la comprometida.
5. Hable con su aseguradora si tiene una póliza cibernética o contra delitos, y guarde los correos como evidencia.

Cómo puede ayudar CyberArm

La seguridad del correo y el filtrado contra phishing, la MFA y la protección de los equipos forman parte de todos nuestros paquetes de ciberseguridad, y el paquete Advanced añade capacitación en seguridad para su personal. También configuramos SPF, DKIM y DMARC, activamos alertas ante actividad sospechosa en los buzones y podemos ayudarle a redactar una política sencilla de verificación de pagos que su equipo realmente siga.

En resumen

El compromiso del correo empresarial funciona porque parece un trámite normal. Una llamada a un número de confianza, antes de cambiar cualquier dato de pago, detiene la mayoría de estos intentos. Si quiere saber qué tan protegido está su correo contra la suplantación y el robo de cuentas, nuestra evaluación gratuita de TI y seguridad revisa la seguridad de su correo y de los inicios de sesión, y le entrega un Resumen Ejecutivo por escrito con las correcciones más importantes.