Facturas falsas enviadas en nombre de su empresa: cómo funciona el compromiso del correo empresarial

El fraude de facturas falsas es una forma de compromiso del correo empresarial (BEC, business email compromise): un delincuente envía a su cliente una factura, o un aviso de "cambio de datos bancarios", que parece proceder de su empresa. El cliente paga, el dinero va a una cuenta que controla el delincuente, y ambas partes se enteran semanas después, cuando su factura real sigue sin cobrarse.

El Internet Crime Complaint Center del FBI define el BEC como una estafa dirigida a empresas que trabajan con proveedores o hacen transferencias con regularidad, llevada a cabo comprometiendo cuentas de correo u otros canales de comunicación mediante ingeniería social o intrusión informática (IC3 2025 Internet Crime Report). El mismo informe recoge 24 768 denuncias por BEC en 2025, con pérdidas declaradas de 3 046 598 558 $.

La mayoría de estos esquemas no necesitan ninguna intrusión técnica. Se apoyan en una dirección de remitente convincente, una historia creíble y un proceso de pago que confía en el correo.

Cómo se monta la estafa

Un ataque típico con facturas falsas sigue unos pocos pasos:

1. Investigación. El delincuente averigua quiénes son sus clientes, quién envía sus facturas y qué aspecto tienen. Los sitios web, las notas de prensa, las ofertas de empleo y las facturas antiguas reenviadas de un lado a otro le ayudan.
2. Una identidad remitente. O bien una dirección From falsificada en su dominio real, o bien un dominio parecido como examp1e.com o example-billing.com, o bien un buzón real tomado con una contraseña robada.
3. El mensaje. Una nota breve y rutinaria: "Tenga en cuenta nuestros nuevos datos bancarios para este y futuros pagos." A menudo responde a un hilo real para resultar familiar.
4. El pago. El cliente actualiza la ficha del proveedor y paga. La urgencia ("la cuenta se cierra el viernes") reduce la probabilidad de que alguien llame para comprobarlo.

Sobre el papel, la víctima es su cliente, pero el daño también recae en usted: una factura sin cobrar, una conversación difícil y un cliente que ahora se pregunta hasta qué punto es seguro su correo.

3 formas de usar su nombre

Dirección From falsificada en su propio dominio. Es posible cuando sus registros SPF, DKIM y DMARC faltan o son permisivos. Una política DMARC p=none pide a los receptores que entreguen igualmente el correo que no supera la verificación. Nuestra guía sobre SPF, DKIM y DMARC explica cómo cerrar esta vía.

Dominios parecidos. Un dominio a una letra del suyo, o con una palabra añadida, supera todas las comprobaciones de autenticación porque el delincuente es su propietario y configura bien los registros. Más información en dominios parecidos y typosquatting.

Un buzón real comprometido. Si se filtró la contraseña de un empleado y la cuenta no tiene autenticación multifactor, el delincuente puede leer hilos reales, crear reglas de reenvío y enviar desde la dirección auténtica. Es la versión más difícil de detectar.

Señales de alerta que conviene compartir con sus clientes

• Una petición de cambio de datos bancarios enviada solo por correo.
• Una cuenta nueva en otro país o a nombre distinto del de su empresa.
• Presión para pagar rápido o para mantener el cambio en secreto.
• Una dirección de remitente que es casi, pero no exactamente, su dominio.
• Una dirección de respuesta (reply-to) distinta de la dirección From.

El consejo del FBI es directo: verifique las peticiones de cambio de datos de cuenta por un canal secundario y compruebe que los enlaces y las direcciones de remitente pertenecen de verdad a la empresa que dicen representar (aviso de servicio público del IC3, septiembre de 2024).

Cómo revisar su propia exposición

Puede revisar la parte del correo en pocos minutos:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Busque una política DMARC p=quarantine o p=reject y un registro SPF que termine en ~all o -all. Después busque dominios registrados que se parezcan al suyo: letras intercambiadas, guiones añadidos, otras terminaciones como .co o .net. Compruebe si esos dominios tienen registros MX, lo que significa que pueden recibir (y normalmente enviar) correo:

dig +short MX examp1e.com

Por último, revise sus buzones en busca de reglas de reenvío a direcciones externas y asegúrese de que todas las cuentas usan autenticación multifactor.

Controles que lo frenan

En el correo:

• Aplique DMARC (p=quarantine o p=reject) para que se rechace el correo falsificado desde su dominio.
• Blinde los dominios que nunca envían correo con v=spf1 -all y p=reject.
• Exija autenticación multifactor en todos los buzones.
• Active alertas ante nuevas reglas de reenvío e inicios de sesión desde ubicaciones inusuales.

En los pagos:

• Comunique por escrito a sus clientes que sus datos bancarios nunca cambiarán solo por correo.
• Publique sus datos bancarios en su web o portal de clientes, para que los clientes puedan verificarlos.
• Internamente, confirme cualquier cambio bancario de un proveedor por teléfono, con un número que ya tenga registrado, nunca con el que aparece en el correo.

Si ya ha ocurrido

El FBI insiste en que el tiempo importa. Contacte de inmediato con el banco que hizo el pago y solicite la retrocesión; después presente una denuncia en ic3.gov sea cual sea el importe (IC3 PSA I-091124-PSA). Informe por escrito al cliente afectado, restablezca las contraseñas de cualquier buzón que pueda estar implicado y compruebe las reglas de reenvío.

Dónde encaja Datahorses

Datahorses vigila lo que un atacante puede usar para suplantarle: dominios parecidos recién registrados y si pueden enviar correo, sus registros SPF, DKIM y DMARC, e indicios de páginas de inicio de sesión falsas. Cuando aparece algo, una persona lo revisa y usted recibe pasos concretos, como se describe en qué ocurre cuando encontramos algo. Lo hacemos desde fuera y sin necesitar accesos. El riesgo relacionado de los mensajes que suplantan a sus directivos se trata en fraude del CEO y suplantación de directivos.