Fraude BEC: El Ataque de Correo Corporativo que Ya Está Vaciando las Cuentas de las PyMEs Mexicanas

Un correo llega a la bandeja de entrada de la contadora de una PyME en Monterrey: el "director general" solicita con urgencia una transferencia de $350,000 MXN a una cuenta nueva de un proveedor. El mensaje parece legítimo, el tono es familiar y la presión es alta. Horas después, el dinero desaparece. Esto no es ficción: es el Business Email Compromise (BEC), el fraude corporativo que en 2026 ya representa una de las mayores amenazas financieras para las empresas mexicanas.

El Business Email Compromise es un ataque de ingeniería social altamente dirigido en el que los ciberdelincuentes suplantan la identidad de directivos, proveedores o socios comerciales para engañar a los empleados y lograr transferencias de dinero no autorizadas o el robo de información confidencial. A diferencia del phishing masivo, el BEC es quirúrgico: los atacantes investigan a fondo a la empresa antes de actuar.

Los ciberdelincuentes siguen un proceso metódico:

1. 1Reconocimiento: Analizan LinkedIn, el sitio web de la empresa y redes sociales para identificar al director general, al responsable de finanzas y a los proveedores habituales.
2. 2Suplantación: Crean una dirección de correo casi idéntica a la legítima (por ejemplo, `[email protected]` en lugar de `[email protected]`) o comprometen directamente la cuenta real mediante credenciales robadas.
3. 3El engaño: Envían un correo urgente y confidencial solicitando una transferencia inmediata, un cambio en los datos bancarios de un proveedor o el envío de información fiscal sensible.
4. 4La extracción: Una vez realizada la transferencia, el dinero se mueve rápidamente a través de múltiples cuentas, haciendo casi imposible su recuperación.

Las cifras son alarmantes para el contexto nacional:

• Las pérdidas por incidente en empresas mexicanas oscilan entre $100,000 y $500,000 MXN, un golpe potencialmente fatal para una PyME.
• México concentra aproximadamente el 55% de las amenazas cibernéticas en América Latina, y el BEC es uno de los vectores de mayor crecimiento en 2026.
• El uso de Inteligencia Artificial por parte de los atacantes ha elevado la sofisticación: los correos fraudulentos ya no tienen errores gramaticales y utilizan contexto específico sobre proyectos y contactos reales de la empresa.
• La variante de vishing con deepfakes de voz permite a los delincuentes suplantar la voz del director por teléfono para confirmar la transferencia, eliminando la última barrera de verificación.

• Empresas de manufactura y logística con múltiples proveedores
• Despachos contables y firmas de servicios profesionales
• Empresas de comercio exterior con pagos internacionales frecuentes
• PyMEs en proceso de nearshoring con nuevas relaciones comerciales

• Solicitudes de transferencia urgente y confidencial por correo electrónico
• Cambios repentinos en los datos bancarios de un proveedor conocido
• Correos del "director" enviados desde una dirección ligeramente diferente
• Presión para actuar antes de que "el jefe regrese de viaje" o "cierre el banco"
• Solicitudes de información fiscal (RFC, CURP, estados de cuenta) por correo