El fraude por correo le costó US$3,000 millones a empresas en 2025
El FBI documentó más de 24,000 casos de fraude por correo corporativo en 2025, sin un solo virus de por medio. Así opera el ataque y qué lo detiene de verdad.
Por Equipo Nova Labs
El FBI lleva un registro de los delitos que se denuncian por internet en Estados Unidos: el Internet Crime Complaint Center, o IC3. En su reporte de 2025, una categoría destaca por lo cara que sale sin necesitar ni un virus: el Business Email Compromise, o fraude por correo corporativo.
Las cifras: 24,768 denuncias, US$3,046 millones en pérdidas verificadas (FBI, Internet Crime Report 2025). Eso es un promedio de más de US$122,000 por caso.
Es un reporte de denuncias hechas en Estados Unidos, así que la cifra no describe al Perú. Pero el mecanismo del fraude no tiene fronteras: funciona igual en cualquier empresa que use correo para coordinar pagos, y ese mecanismo es la parte que sí conviene entender.
¿Cómo funciona un fraude que no usa ningún virus?
No hace falta hackear nada. Hace falta que alguien confíe en un correo que parece legítimo.
El patrón más común: alguien se hace pasar por un proveedor, un jefe o un socio, y pide un pago con una urgencia razonable — “cambiamos de cuenta bancaria, por favor actualiza el dato antes de la transferencia de hoy”. El correo puede venir de un dominio parecido al real, con una letra cambiada, o de la cuenta real de esa persona, si antes lograron entrar a ella con una contraseña filtrada o una sesión robada por phishing.
No hay archivo adjunto sospechoso que un antivirus pueda detectar. Es un correo con buena redacción, en el momento correcto, pidiendo algo que suena razonable. Por eso ningún filtro técnico lo detiene solo: hace falta que la persona que aprueba el pago sepa que ese patrón existe.
¿Qué lo frena, si el filtro no alcanza?
Tres cosas, ninguna cara:
- Verificar un cambio de cuenta bancaria por un canal distinto al correo. Una llamada al número de siempre, no al que viene en la firma del mensaje nuevo.
- Tener el dominio propio bien configurado, para que sea más difícil suplantar tu propio correo.
- Activar la verificación en dos pasos en las cuentas de correo del equipo, para que una contraseña filtrada no alcance para entrar.
Ninguna de las tres depende de comprar un sistema caro. Depende de que alguien mantenga esas configuraciones al día — que es justamente lo que sale mal cuando una cuenta de correo corporativo se configuró una vez, hace años, y nadie la volvió a revisar.
En resumen
El fraude por correo más caro no rompe ninguna puerta: entra por la confianza. La defensa tampoco es un software — es un proceso simple, repetido siempre igual, para cualquier pago que dependa de un correo.
¿Tu equipo sabría reconocer un correo así si llegara mañana? Escríbenos. Revisamos cómo está configurado tu correo corporativo antes de proponerte nada.