Jueves 28, 5:50 de la tarde. Lorena, auxiliar administrativa de una empresa de empaques, recibe un correo de su contacto habitual en el proveedor de resina. Mismo nombre, misma firma, mismo tono: "Por una reestructura bancaria, a partir de hoy favor de realizar los pagos a la siguiente cuenta CLABE. Adjunto carta membretada." El pago de este mes ya está programado para el viernes. Lorena actualiza la cuenta en el portal del banco, el director autoriza desde el celular y la transferencia sale puntual.
Diez días después el proveedor real llama a cobrar. El dinero se fue a una cuenta que nadie conoce y, para cuando el banco responde, ya salió del país. Nadie "hackeó el sistema". Alguien leyó el buzón de correo de la empresa (o el del proveedor) durante semanas, aprendió cómo se hablaban y esperó el momento correcto.
Este fraude tiene nombre técnico (Business Email Compromise, BEC) y varias versiones: el correo "del director" que pide una transferencia urgente, la factura real con la cuenta cambiada, el "empleado" que solicita que su nómina se deposite en otra cuenta. Todas funcionan igual: no atacan tu tecnología, atacan tu proceso de pago.
¿Te suena?
- Un solo correo basta para cambiar los datos bancarios de un proveedor en tu empresa.
- La misma persona que da de alta proveedores también programa o autoriza pagos.
- Los accesos al correo, al banco o al sistema se comparten "para no complicarse".
- Tus respaldos existen, pero nadie ha probado restaurarlos.
- Los pagos urgentes de fin de mes se aprueban por WhatsApp, desde el celular, sin ver nada más.
Cuánto cuesta
Las cifras más recientes muestran que este fraude no es una rareza:
- El Centro de Denuncias de Delitos en Internet del FBI (IC3) registró en 2025 pérdidas por unos 3,040 millones de dólares por fraude de correo empresarial, a partir de 24,768 denuncias, frente a 2,770 millones en 2024, según reporta ITSitio. Las pérdidas totales por ciberdelitos reportadas al FBI ese año llegaron a 20,800 millones de dólares, 26% más que el año anterior, de acuerdo con Excélsior.
- México recibió 40,600 millones de intentos de ciberataque sólo en el primer semestre de 2025 y es el segundo país más atacado de América Latina; la manufactura fue la industria más golpeada, según el reporte de FortiGuard Labs.
- En el primer semestre de 2025 los usuarios de la banca mexicana presentaron 2.48 millones de reclamaciones por posible fraude, por 10,714 millones de pesos; las reclamaciones por robo de identidad crecieron 24.6% y, de los 634 millones de pesos reclamados por ese concepto, las instituciones devolvieron alrededor de 65 millones, según datos de la Condusef.
- La suplantación de empresas es cotidiana: la Condusef lleva 77 instituciones financieras suplantadas en lo que va de 2026, de acuerdo con un análisis de Facephi basado en sus alertas.
Hay un detalle que hace este fraude especialmente doloroso para una empresa: la transferencia la autorizaste tú. No es un cargo no reconocido que el banco pueda revertir con facilidad; es una operación válida hecha a la cuenta equivocada. Recuperar el dinero depende de la velocidad con la que reacciones y, muchas veces, no se recupera.
Por qué funciona
Después de 25 años administrando servidores, correo e infraestructura para empresas, vemos que el fraude por cambio de cuenta casi siempre entra por cinco puertas:
- El proceso de pago confía en el correo. Un mensaje que "se ve bien" es suficiente para cambiar un dato que mueve dinero.
- Una sola persona puede hacer todo. Dar de alta al proveedor, cambiar su cuenta y programar el pago. Sin segregación, no hay nadie que detenga el error.
- Urgencia a fin de mes. Los delincuentes saben cuándo pagas y escriben justo entonces, con prisa y con un pretexto creíble.
- Accesos compartidos y sin segundo factor. Una contraseña de correo reutilizada o filtrada es todo lo que necesitan para leer tu buzón durante meses.
- Nadie vigila el buzón. Una regla de reenvío oculta (todo lo que diga "factura" se copia a una cuenta externa) puede vivir meses sin que nadie la vea.
Ninguna de estas puertas se cierra comprando un antivirus. Se cierran con controles en el proceso y con tecnología que los haga automáticos.
Cómo se resuelve, por niveles
En el Método Quantum tratamos la seguridad como lo que es: un problema de negocio llamado "proteger la operación". Se clasifica en tres niveles.
Nivel 1 — Automatización: alertas y doble validación
- Regla sin excepciones: ningún cambio de datos bancarios de un proveedor se aplica sin confirmarlo por teléfono al número que ya tenías registrado, nunca al que viene en el correo.
- Alerta automática a dirección cada vez que se registra un cambio de cuenta o se programa un pago a una cuenta nueva.
- Segundo factor de autenticación en el correo y en la banca, y respaldos automáticos que se prueban periódicamente, no sólo se guardan.
Este nivel se implementa rápido y detiene la mayoría de los intentos.
Nivel 2 — Integración: control de accesos y monitoreo entre sistemas
- Segregación de funciones: quien da de alta o modifica proveedores no es quien autoriza pagos, y el sistema lo impone.
- Un solo catálogo de proveedores compartido entre contabilidad, ERP y banca, para que un cambio no pueda hacerse "por fuera".
- Monitoreo de los buzones de correo: reglas de reenvío nuevas, inicios de sesión desde lugares inusuales, cambios de contraseña.
Nivel 3 — A la medida: auditoría y controles propios
- Auditoría de seguridad de la operación completa: correo, accesos, respaldos, proveedores, flujo de pagos.
- Flujo de aprobación de pagos a la medida, con límites por monto, doble firma y bitácora de quién cambió qué y cuándo.
Si ya pasó: los primeros 60 minutos
- Llama de inmediato a tu banco para intentar detener o rastrear la transferencia; cada minuto cuenta.
- Avisa al proveedor real: su buzón puede estar comprometido también.
- Cambia las contraseñas del correo involucrado, activa el segundo factor y revisa las reglas de reenvío.
- Presenta la denuncia ante la Policía Cibernética y, si hubo datos personales involucrados, revisa tus obligaciones conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
- Guarda el correo fraudulento completo: es evidencia.
Tres cosas que puedes revisar hoy
- ¿Cuántas personas en tu empresa pueden cambiar la cuenta bancaria de un proveedor y, además, pagarle? Si la respuesta es "una", ya tienes el primer cuello de botella.
- ¿Tu correo corporativo tiene segundo factor activado para todos? Si no, un solo clic en un enlace malicioso abre la puerta.
- ¿Cuándo fue la última vez que restauraste un respaldo para comprobar que funciona?
Por dónde empezar
Un fraude así rara vez viene solo: suele venir acompañado de accesos compartidos, procesos que dependen de una persona y sistemas que no se hablan. El Diagnóstico Quantum revisa tu operación en minutos y te entrega un reporte ejecutivo sin costo con los principales riesgos y el nivel de solución que les corresponde. Conoce también cómo abordamos la seguridad y prevención de fraude como problema de negocio.
Fuentes
- ITSitio, ¿Por qué el correo electrónico sigue siendo el principal foco de ciberataques en 2026?, con datos del reporte 2025 del FBI IC3.
- Excélsior, México, segundo destino mundial para lavado de dinero cibernético, con datos del reporte 2025 del FBI IC3.
- Fortinet / FortiGuard Labs, Reporte Global de Amenazas 2025, vía ITSitio.
- Condusef, reclamaciones por posible fraude, primer semestre de 2025, vía Vanguardia.
- Facephi Observatory, Condusef reporta 77 instituciones suplantadas en México en lo que va de 2026, septiembre de 2026.
