El correo fraudulento ya no se ve igual
El artículo original de Pitirre tenía lógica para su momento. En 2018, muchas de las banderas rojas más útiles eran bastante visibles: dirección rara, ortografía mala, gramática floja, saludo genérico, enlaces sospechosos y adjuntos inesperados. Esa lista sigue teniendo valor. De hecho, todavía ayuda a detectar ataques torpes.
El problema es que en 2026 muchos ataques ya no son torpes.
Ahora una PYME puede recibir un correo con buen español, diseño limpio, urgencia creíble, contexto medio correcto y hasta tono profesional. Puede parecer un banco, una plataforma, un suplidor, un cliente o hasta alguien dentro de tu propio negocio. O sea, lo que antes se veía como fraude “cheap” ahora muchas veces llega bastante pulido.
Ese es el ajuste importante. Hoy identificar un correo fraudulento ya no depende tanto de ver faltas de ortografía. Depende más de desconfiar de la intención, verificar la solicitud y entender que el fraude moderno se ve mucho más normal de lo que a la gente le gustaría admitir.
El artículo original no estaba mal
La pieza de Pitirre acertó en varias banderas que siguen vivas.
Lo que ese enfoque acertó
- La dirección del remitente todavía importa.
- Enlaces y adjuntos inesperados siguen siendo peligrosos.
- Los saludos genéricos y la urgencia siguen siendo sospechosos.
- Los errores visibles todavía delatan muchos fraudes.
Lo que hoy hace falta añadir
- La mala ortografía ya no es requisito del fraude.
- El spoofing puede hacer que el remitente se vea casi legítimo.
- El correo puede venir como parte de un fraude más largo, no solo como un “click here”.
- QR codes, reply-based scams y business email compromise cambiaron el terreno.
- Un correo puede ser peligroso aunque no traiga link ni attachment.
Ahí está el giro. Antes mirábamos más la forma. Ahora toca mirar también la jugada.
Lo que cambió de verdad desde 2018
Aquí es donde el follow-up se gana el espacio.
1. Los atacantes se profesionalizaron bastante
Microsoft describió en su Digital Defense Report 2025 que el business email compromise, o BEC, ya opera como una economía profesionalizada, donde hay brokers vendiendo credenciales robadas e inboxes completos a operadores que automatizan selección de víctimas y fraude de pagos a escala. Eso significa que el fraude por correo ya no siempre viene de un improvisado escribiendo desde una cuenta random. Viene de cadenas más serias, más organizadas y más rentables. :contentReference[oaicite:0]{index=0}
2. El spoofing sigue siendo una amenaza real para negocios pequeños
La FTC lo explica bastante directo: un impostor puede crear una dirección que se vea como la de tu empresa, y usarla para pedir contraseñas, cuentas bancarias o dinero. También advierte que esto puede tumbar confianza con clientes y socios, no solo provocar una pérdida puntual. :contentReference[oaicite:1]{index=1}
3. El phishing moderno ya no siempre depende de enlaces obvios
CISA sigue diciendo que el phishing busca que abras enlaces, correos o adjuntos dañinos, pero el terreno reciente se ha ensuciado con tácticas menos obvias: correos que solo quieren que contestes, QR codes para brincar filtros, y solicitudes que parecen trabajo normal. Microsoft también documentó campañas de 2025 y 2026 donde se explotaban configuraciones complejas para mandar mensajes falsificados que parecían venir del propio dominio de la organización. :contentReference[oaicite:2]{index=2}
4. La AI le quitó una pista cómoda al usuario promedio
Uno de los atajos mentales viejos era este: “si está mal escrito, es fraude”. Esa regla ya no aguanta igual. Reportes recientes del sector de seguridad apuntan a que el uso de AI para generar correos de phishing con buena gramática, mejor tono y personalización más convincente se volvió mucho más común en 2025. Como inferencia práctica, eso significa que una PYME ya no debería usar la redacción bonita como prueba de legitimidad. :contentReference[oaicite:3]{index=3}
Las señales nuevas que una PYME debe mirar
Aquí es donde conviene actualizar la lista del artículo original.
1. La solicitud es rara aunque el correo se vea bien
Esta es probablemente la señal más útil hoy. No preguntes solo “¿se ve legítimo?”. Pregunta:
- ¿esta persona normalmente me pediría esto por email?
- ¿este timing tiene sentido?
- ¿me están pidiendo saltarme un proceso?
- ¿me están metiendo prisa con pagos, credenciales o archivos?
Muchos fraudes modernos no se delatan por apariencia. Se delatan por una petición fuera de patrón.
2. El remitente parece correcto, pero algo no cuadra
El post original ya hablaba de mirar la dirección. Eso sigue vivo, pero ahora toca mirar más fino:
- variaciones mínimas en el dominio,
- reply-to distinto,
- remitente que parece interno pero viene por otra ruta,
- nombre mostrado correcto con dirección que no amarra.
La FTC y su guía para pequeños negocios insisten en que la autenticación de email existe precisamente para dificultar este tipo de suplantación. :contentReference[oaicite:4]{index=4}
3. El correo quiere mover dinero o credenciales, no informar
Cuando un mensaje empuja a cambiar cuentas bancarias, pagar una factura distinta, compartir login, aprobar una transferencia, restablecer contraseña o enviar documentos sensibles, el estándar debe subir.
En 2026, una PYME sana no verifica eso dentro del mismo hilo. Lo verifica por otro canal confiable.
4. El correo empuja urgencia, secreto o aislamiento
Esto sigue siendo clásico, pero ahora más fino. Ya no siempre dice “URGENTE FINAL WARNING”. A veces suena más profesional:
- “necesito esto antes de la 1”
- “no llames, estoy en reunión”
- “resuélvelo tú y luego te explico”
- “usa esta nueva cuenta para el pago”
- “solo contéstame a este email”
Ese tipo de urgencia más realista es muy típica de BEC.
5. Hay QR code donde antes habría un enlace
Esto ya amerita atención aparte. Los QR codes en correos o PDFs pueden dirigir a páginas maliciosas sin que la gente vea la URL a simple vista. En una PYME, eso es peligroso porque mucha gente escanea rápido desde el celular por reflejo. La regla sana es sencilla: QR inesperado equivale a sospecha, no a comodidad.
6. El mensaje parece conversación normal, pero busca engancharte
Hay fraudes modernos que no traen link ni attachment al principio. Solo quieren que respondas. Ejemplos:
- “¿sigues disponible?”
- “confírmame este dato”
- “te envié la factura”
- “mira este tema de nómina”
La intención es abrir una conversación creíble y después moverte a pago, archivo, credencial o instrucción falsa.
7. La cuenta legítima puede estar comprometida
Este punto asusta más porque es real. A veces el correo fraudulento sale desde una cuenta verdadera comprometida. Por eso “viene del email correcto” ya no basta como defensa completa. Si la solicitud es rara, se verifica. Punto.
Microsoft ha documentado campañas donde, tras comprometer cuentas, los atacantes monitorean respuestas y hasta borran mensajes que podrían delatarlos. :contentReference[oaicite:5]{index=5}
Lo que conviene hacer en la práctica
Aquí es donde una PYME evita bregar este tema como teoría.
Primero: cambia la regla de detección
No enseñes solo “mira errores ortográficos”. Enseña esto:
- desconfía de solicitudes inusuales,
- verifica fuera del hilo,
- no confíes en urgencia sola,
- y no asumas legitimidad porque el diseño se ve bonito.
Segundo: protege tu propio dominio
La FTC recomienda que negocios con dominio propio usen SPF, DKIM y DMARC para autenticación de email. Eso ayuda a que otros servidores verifiquen si un correo de tu empresa salió de verdad de tu organización y reduce spoofing. :contentReference[oaicite:6]{index=6}
Tercero: separa pagos y cambios sensibles del email puro
Una PYME necesita reglas claras para:
- cambios de cuenta bancaria,
- nuevas instrucciones de pago,
- envío de datos sensibles,
- reseteos de acceso,
- y aprobaciones de dinero.
Esas cosas no deberían depender de un solo email sin verificación secundaria.
Cuarto: entrena con ejemplos reales
La FTC y CISA siguen empujando entrenamiento al personal como defensa básica. En una PYME, eso no tiene que ser un programa corporativo gigante. Puede ser revisar ejemplos reales, definir a quién reportar y repetir una regla simple: si el correo te mete presión y toca dinero, acceso o data, se verifica por otro canal. :contentReference[oaicite:7]{index=7}
Quinto: ten un plan si spoofean tu negocio
La FTC dice que si alguien suplanta tu email conviene reportarlo a law enforcement, al FTC y al FBI, además de avisar a clientes y personal. También recomienda que, si notificas a clientes, lo hagas sin hipervínculos para no parecer otro phishing. :contentReference[oaicite:8]{index=8}
Una mini escena bastante real
Una PYME recibe un correo que parece venir del dueño o de un suplidor conocido. No tiene errores, no tiene logo sospechoso y hasta usa el tono normal de siempre. Pide cambiar la cuenta para el pago de una factura o completar algo “hoy mismo”.
En 2018 mucha gente buscaba errores visibles.
En 2026, la señal más importante no es si escribió bien.
Es si la solicitud rompe el patrón normal del negocio.
Ese es el cambio.
El cierre incómodo pero útil
El artículo original no estaba mal. Solo se quedó en la capa más visible del problema. Y esa capa ya no basta sola.
Hoy una PYME necesita asumir que el correo fraudulento puede venir bien escrito, bien diseñado, con contexto creíble y hasta desde una cuenta comprometida o una dirección que se parece demasiado a la real. El fraude moderno no siempre te grita que es fraude. A veces te habla bajito, con prisa y con apariencia de rutina.
Por eso la defensa nueva no es solo “spot the typo”.
La defensa nueva es esta: verificar, desconfiar de solicitudes raras, proteger el dominio, y entrenar a la gente para mirar intención, no solo apariencia.
Eso suena menos cómodo.
También se parece mucho más a la realidad.
Preguntas comunes
Q1. ¿Todavía sirve mirar ortografía y gramática para detectar fraude?
A1. Sí, pero ya no basta. Algunos fraudes siguen siendo torpes, pero muchos ahora llegan bien redactados y con mejor contexto.
Q2. ¿Qué es lo más peligroso para una PYME hoy?
A2. Las solicitudes creíbles sobre pagos, accesos o datos sensibles que parecen normales y llegan con urgencia. Ahí es donde el BEC hace más daño.
Q3. ¿Un correo sin enlace ni adjunto puede ser fraude?
A3. Sí. Hay ataques que solo buscan que respondas o confirmes algo para abrir una conversación falsa y luego moverte a una instrucción peligrosa.
Q4. ¿Qué hago si un correo parece venir de mi empresa?
A4. Verifica si tu dominio tiene SPF, DKIM y DMARC, reporta la suplantación y avisa a clientes y personal si hace falta.
Q5. ¿Cuál es la regla más útil para el equipo?
A5. Si el correo toca dinero, credenciales, cambio de cuenta, datos sensibles o una urgencia rara, se verifica por otro canal confiable.
Enlaces externos recomendados
- CISA, Recognize and Report Phishing | https://www.cisa.gov/secure-our-world/recognize-and-report-phishing
- FTC, Cybersecurity for Small Business | https://www.ftc.gov/business-guidance/small-businesses/cybersecurity
- FTC, Cybersecurity for Small Business: Business Email Imposters | https://www.ftc.gov/system/files/ftc_gov/pdf/Cybersecurity_SB_BusinessEmailImposters-508-v2.pdf
- Microsoft Security Blog, Phishing actors exploit complex routing and misconfigurations to spoof domains | https://www.microsoft.com/en-us/security/blog/2026/01/06/phishing-actors-exploit-complex-routing-and-misconfigurations-to-spoof-domains/
- Microsoft, 2025 Digital Defense Report | https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2025
Referencias
- Pitirre, 6 Formas de identificar un Correo Electrónico Fraudulento, 8 de junio de 2018 | https://www.pitirre.org/6-formas-de-identificar-un-correo-electronico-fraudulento/
- CISA, Recognize and Report Phishing | https://www.cisa.gov/secure-our-world/recognize-and-report-phishing
- FTC, Cybersecurity for Small Business | https://www.ftc.gov/business-guidance/small-businesses/cybersecurity
- FTC, Cybersecurity for Small Business: Business Email Imposters | https://www.ftc.gov/system/files/ftc_gov/pdf/Cybersecurity_SB_BusinessEmailImposters-508-v2.pdf
- FTC, Small business? Know how to stop a would-be business impersonator, 29 de septiembre de 2025 | https://www.ftc.gov/business-guidance/blog/2025/09/small-business-know-how-stop-would-be-business-impersonator
- Microsoft Security Blog, Phishing actors exploit complex routing and misconfigurations to spoof domains, 6 de enero de 2026 | https://www.microsoft.com/en-us/security/blog/2026/01/06/phishing-actors-exploit-complex-routing-and-misconfigurations-to-spoof-domains/
- Microsoft, 2025 Microsoft Digital Defense Report | https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2025
- Microsoft Security Blog, Business email compromise | https://www.microsoft.com/en-us/security/blog/threat-intelligence/business-email-compromise/
