Según el informe anual de delitos en internet del FBI, el IC3, el fraude por correo corporativo — el engaño en el que el criminal no entra a ningún sistema, solo escribe el correo correcto en el momento correcto — causó más de US$ 3.000 millones en pérdidas verificadas en Estados Unidos en 2025. La cifra exacta, US$ 3.046.598.558, coloca a esta categoría en segundo lugar entre todos los tipos de delito cibernético que rastrea el FBI, detrás solo del fraude de inversión.
El patrón se repite del otro lado del problema. El informe de investigaciones de brechas de datos de Verizon, el DBIR 2025, midió una pérdida mediana de US$ 50.000 por caso, con el 88% del dinero saliendo por transferencia bancaria — el mismo camino que usaría cualquier pago corporativo legítimo si nada se hubiera alterado en el trayecto.
Para quien decide en una empresa latinoamericana, el dato que importa no es la cifra en dólares: es el mecanismo. No hay virus que detectar, ni contraseña filtrada que cambiar. El criminal lee la conversación entre la empresa y el proveedor, espera a que la factura esté por vencer, y cambia la cuenta en el momento exacto — con la misma firma, el mismo tono y el mismo archivo PDF de siempre.
El fraude que no necesita entrar a ningún sistema
El fraude funciona de dos formas. En la primera, el criminal sí entra a la bandeja de entrada del proveedor o de la empresa — casi siempre por una contraseña reutilizada o un clic en un enlace falso — y pasa días o semanas solo leyendo. En la segunda, más común, no necesita entrar a ningún sistema: registra un dominio casi idéntico al del proveedor, cambiando una letra o un punto, y se suma a la conversación como si fuera el proveedor.
En cualquiera de los dos casos, el momento elegido es siempre el mismo: la víspera del vencimiento. Según un reportaje de Correio Braziliense sobre este tipo de fraude, los criminales logran interceptar facturas en PDF directamente en la bandeja de entrada de la víctima y alterar el código de barras y los datos bancarios del documento, sin cambiar una sola palabra del texto del correo.
La sofisticación crece al mismo ritmo. El mismo reportaje cita a la consultora de seguridad Redbelt Security, que mapea más de dos decenas de variantes de este fraude, concentradas en cinco vectores principales — y ya registra casos en los que un audio con voz clonada por IA, imitando a un ejecutivo, se usa para presionar al equipo financiero a aprobar el pago sin verificar nada más.
En Brasil, el telón de fondo es de crecimiento. Según Febraban, el fraude financiero en el sistema bancario sumó R$10.100 millones en 2024, un alza de 17% sobre los R$8.600 millones de 2023 — la mayor parte concentrada en tarjetas de crédito y en el sistema de pagos Pix, pero por la misma puerta de entrada: la ingeniería social, es decir, manipular a alguien para que actúe contra su propio interés sin darse cuenta. La policía federal brasileña creó la plataforma Tentáculos justamente para rastrear este tipo de fraude entre bancos y víctimas.
Un caso real muestra el efecto. En octubre de 2025, un incidente de fraude por correo corporativo llevó a Rede Amazônica, la mayor afiliada de la cadena brasileña TV Globo, a rehacer toda su seguridad digital desde cero — unificando proveedores de correo, exigiendo un segundo paso de confirmación además de la contraseña en cada cuenta y centralizando quién tiene acceso a qué.
Por qué el filtro de correo por sí solo no resuelve
La forma común de manejar esto es confiar en lo que ya existe: el filtro de spam del proveedor de correo, el antivirus en los equipos, y el buen juicio de quien está en finanzas. El problema es que ninguno de los tres detecta este fraude. El correo no trae adjunto malicioso, no trae enlace extraño, no activa ninguna alarma técnica — es texto simple, de un contacto conocido, dentro de una conversación que ya venía ocurriendo.
Un filtro de correo común verifica si el mensaje parece malicioso, no si el dominio de quien lo envía es realmente el del proveedor. Una dirección con una letra cambiada pasa sin problema — y también pasa sin que lo note quien tiene prisa por cerrar el pago antes del vencimiento.
La segunda falla es de proceso, no de tecnología. En la mayoría de las empresas pequeñas y medianas, quien recibe la factura también aprueba el pago, solo, sin verificar por ningún otro canal — y el cambio de cuenta bancaria de un proveedor, algo que debería encender una alerta, llega integrado a la rutina, en el mismo correo de siempre, y nadie levanta el teléfono para confirmarlo.
Lo que tiene que existir en la práctica
Un control real contra este fraude combina tecnología y proceso — ninguno de los dos por sí solo lo resuelve.
Verificación del dominio de quien envía. Una regla configurada en el proveedor de correo marca cuando el dominio del remitente se parece, pero no es idéntico, al de un contacto ya conocido — el tipo de cambio de una letra que el ojo humano deja pasar.
Segundo paso de confirmación además de la contraseña en las cuentas de finanzas y de la dirección. Son las cuentas que vale la pena vulnerar, y las primeras que el criminal intenta.
Confirmar el cambio de cuenta bancaria por teléfono, a un número ya conocido — nunca el que vino en el correo. Es la única barrera que un dominio falso o una cuenta comprometida no pueden simular: la voz de alguien con quien ya se habló antes, a un número que no vino de ese mensaje.
Doble aprobación por encima de un monto definido, con una segunda persona revisando antes de que salga cualquier transferencia — sin depender de que quien recibió el correo sea también quien libera el pago.
Un plazo mínimo entre la solicitud y el pago para cualquier cambio fuera de lo habitual, aunque la factura esté por vencer. La urgencia es la herramienta favorita de este fraude, y un plazo mínimo la saca de la ecuación.
Así es como trabaja Skills IT: ajusta las reglas del filtro de correo para marcar dominios sospechosos, revisa quién tiene acceso a las bandejas de entrada más sensibles y acompaña a la empresa a diseñar el proceso de doble verificación antes de que salga cualquier pago.
Lo que cambia para la empresa cuando esto funciona
Cuando estos controles existen, la ganancia aparece en dos lugares. La primera es el dinero que no sale por la puerta equivocada — sin depender de la suerte o de que alguien desconfíe justo en el momento correcto. La segunda es lo que pasa después: sin un proceso de verificación, cada pago a un proveedor carga una duda silenciosa, y esa duda le roba tiempo a quien está en finanzas, verificando dos veces lo que ya debería estar verificado por rutina.
Dentro de un contrato de servicios gestionados como el de Skills IT, esta verificación entra junto con el resto del soporte de seguridad — no es un proveedor aparte para administrar.
Hay además una ganancia menos obvia: con el historial de intentos registrado, la empresa aprende con el tiempo — sabe si el volumen de fraudes está subiendo, de dónde suelen venir, y ajusta el proceso antes del próximo caso, en vez de descubrir la falla solo después de que el dinero ya salió.
Cuatro preguntas para llevar a la próxima reunión
Antes de escribir una norma interna más, vale la pena responder estas cuatro preguntas junto con finanzas y con quien se encarga de TI:
- ¿Quién confirma un cambio de cuenta bancaria de un proveedor, y por qué canal? Si la respuesta es "quien recibió el correo, respondiendo el mismo correo", la defensa no existe — la confirmación necesita pasar por un canal que el criminal no controla.
- ¿Existe un monto a partir del cual un pago necesita una segunda aprobación? Si no existe, cada transferencia depende del criterio de una sola persona, en un día en que puede estar apurada.
- ¿El proveedor de correo marca dominios parecidos, o solo bloquea adjuntos maliciosos? Son dos problemas distintos, y este fraude no usa ningún adjunto.
- ¿Cuándo fue la última vez que alguien probó el proceso, haciéndose pasar por un proveedor que pide urgencia? Un proceso que nunca se probó bajo presión es una suposición, no un control.
