El correo de phishing más caro que recibirá tu empresa no lleva virus ni enlaces extraños. Parece un mensaje normal de un proveedor conocido que dice que su cuenta bancaria ha cambiado y pide pagar la próxima factura en el nuevo IBAN. En el informe de delitos en internet 2025 del FBI, este tipo de fraude, llamado compromiso del correo empresarial (BEC), generó 24,768 denuncias y $3,046,598,558 en pérdidas, unos $123,000 por denuncia, o aproximadamente SAR 461,000. La solución casi no cuesta nada: nunca cambies los datos bancarios de un beneficiario por un correo. Confírmalo por teléfono, con un número de tus propios registros, y exige que una segunda persona apruebe el cambio. (Tratamos el lado de la aprobación de pagos en nuestro artículo sobre el hackeo de Binance y los controles de aprobación de pagos.)
Cómo es un correo de phishing en 2026
El consejo antiguo era buscar faltas de ortografía. Eso ya no funciona. El informe del FBI dice que los generadores de chat pueden producir rápidamente correos de tono oficial que imitan al director general u otros directivos de una empresa, y que la clonación de voz puede usarse para pedir una transferencia. En 2025 el FBI recibió más de 22,000 denuncias que mencionaban la inteligencia artificial, con pérdidas superiores a $893 millones, y las empresas declararon más de $30 millones perdidos por compromiso del correo empresarial con uso de IA.
Así que juzga la petición, no la redacción. Las señales de alerta que siguen valiendo:
- Un cambio de datos bancarios, sobre todo justo antes de un pago importante.
- Urgencia y secreto: "paga hoy", "estoy en una reunión, no llames", "que quede entre nosotros".
- Una dirección de remitente casi correcta: una letra cambiada en el dominio, o una cuenta de correo gratuita en lugar del dominio de la empresa.
- Una petición que se salta tu proceso habitual: un directivo que pide directamente a un contable transferir dinero fuera del sistema.
Las cifras detrás del problema
El Centro de Denuncias de Delitos en Internet del FBI (IC3) recibió 1,008,597 denuncias en 2025, con pérdidas declaradas de $20.877 mil millones, un 26% más que en 2024. El phishing y la suplantación generaron por sí solos 191,561 denuncias. Las denuncias por compromiso del correo empresarial pasaron de 21,442 en 2024 a 24,768 en 2025. Son denuncias presentadas en Estados Unidos, no cifras saudíes, pero el método es el mismo en todas partes: el delincuente no entra en tu banco, convence a tu propio empleado de enviar el dinero.
El mismo informe contiene la lección más útil para cualquier equipo financiero: la rapidez. Cuando las víctimas denunciaron pronto, el Equipo de Recuperación de Activos del FBI trabajó con los bancos para congelar fondos. En 3,900 incidentes durante 2025 congeló $679,013,183, una tasa de éxito del 58%. El propio consejo del FBI es que el tiempo es esencial: contacta de inmediato con tu banco y pide que revoque la transferencia.
6 pasos que protegen tu empresa
- Una regla de devolución de llamada para cada cambio de datos bancarios. Toda petición para cambiar la cuenta de un proveedor, empleado o socio se confirma por teléfono, con el número que ya está en tus registros, nunca con el del correo. Ponlo por escrito como política para que nadie se sienta incómodo al preguntar.
- Dos personas para cada nuevo beneficiario. Una persona introduce el nuevo IBAN y otra distinta lo aprueba, desde otro dispositivo. Pide a tu banco que active esta función en su portal para empresas.
- Autenticación multifactor en el correo. La plantilla del Estándar de Protección del Correo Electrónico de la Autoridad Nacional de Ciberseguridad (NCA) exige MFA para el acceso al correo web y a las aplicaciones móviles de correo, y para los administradores del correo. La mayoría de los compromisos del correo empresarial empiezan con una contraseña de correo robada.
- SPF, DKIM y DMARC en tu dominio. La misma plantilla de la NCA exige estos tres registros, para que otros servidores puedan rechazar los correos que fingen venir de tu dominio. Protegen a tus clientes y proveedores de correos falsos en tu nombre.
- Filtrado y aviso de remitente externo. La plantilla de la NCA exige bloquear los mensajes entrantes con enlaces maliciosos o intentos de phishing y poner en cuarentena los mensajes de riesgo medio. Añade un aviso visible en cada correo procedente de fuera de la empresa.
- Un plan de respuesta de una página. Si el dinero ya salió: llama al banco al instante y pide la revocación, cambia la contraseña del correo, revisa el buzón en busca de reglas de reenvío que no creaste y avisa al proveedor cuyo nombre se usó.
Qué enseñar a tu personal en 15 minutos
No necesitas un curso largo. Enseña tres hábitos: revisar la dirección completa del remitente, no ejecutar nunca una petición de pago que llegue solo por correo y reportar un mensaje sospechoso en lugar de borrarlo. Después envía un correo de prueba inofensivo una vez por trimestre y comenta los resultados sin culpar a nadie. Un equipo que reporta rápido vale más que un equipo que nunca hace clic.
La visión de Origami
Vemos el phishing más como un problema de procesos que de tecnología. Los filtros de correo siempre dejarán pasar algunos mensajes, y la IA hace que los correos falsos sean más convincentes cada mes. Lo que no cambia es la regla dentro de tus sistemas: un cambio de datos bancarios debe ser imposible sin verificación y sin una segunda aprobación. Cuando desarrollamos sistemas a medida de contabilidad, compras o pagos, ponemos esa regla en el propio sistema, con un registro de cada cambio en los datos de los beneficiarios, para que no dependa de que alguien se acuerde. Si quieres una revisión de la configuración de tu correo y de tus aprobaciones de pagos, contáctanos o consulta nuestros servicios.
Fuentes
- FBI Internet Crime Complaint Center — 2025 IC3 Annual Report: total de denuncias y pérdidas, cifras de compromiso del correo empresarial y de phishing, denuncias relacionadas con la IA y resultados de congelación de fondos del Equipo de Recuperación de Activos.
- Autoridad Nacional de Ciberseguridad (NCA) — Email Protection Standard template: requisitos sobre MFA, SPF, DKIM, DMARC y el bloqueo de mensajes de phishing.
Preguntas frecuentes
¿Cómo sé si un correo que pide cambiar la cuenta bancaria de un proveedor es fraudulento?
A menudo no se puede saber por el correo en sí, porque la IA ya redacta mensajes convincentes. Trata todo cambio de datos bancarios como sospechoso hasta confirmarlo por teléfono con el número del proveedor que ya tienes en tus registros, no con el que aparece en el correo.
Transferimos dinero a un estafador. ¿Qué hacemos primero?
Llama de inmediato a tu banco y pide que revoque la transferencia; la rapidez es lo que más importa. Después cambia la contraseña del correo, revisa el buzón en busca de reglas de reenvío que no creaste y avisa al proveedor cuyo nombre se usó.
¿Bastan SPF, DKIM y DMARC para frenar el phishing?
No. Impiden que otros envíen correos que se hacen pasar por tu propio dominio, lo que protege a tus clientes y proveedores. No frenan un dominio parecido ni el buzón hackeado de un proveedor, así que sigues necesitando la regla de devolución de llamada y la aprobación de dos personas.
¿Sigue siendo útil formar al personal si la IA escribe correos perfectos?
Sí, pero cambia lo que enseñas. En lugar de buscar faltas de ortografía, enseña al personal a juzgar la petición: cualquier cambio de datos bancarios, urgencia, secreto o pago fuera del proceso normal debe verificarse y reportarse.
