El correo electrónico lleva décadas formando parte de la vida empresarial, pero lejos de perder relevancia frente a herramientas como Microsoft Teams, WhatsApp o las plataformas de colaboración en la nube, continúa siendo una de las puertas de entrada favoritas de los ciberdelincuentes.
El correo no solo transporta información, también conecta a las personas con dinero, proveedores, clientes, documentos, contraseñas y sistemas corporativos. Si un atacante consigue que un empleado confíe en un mensaje aparentemente legítimo, puede saltarse buena parte de las barreras tecnológicas que una empresa ha construido alrededor de su infraestructura.
Un nuevo whitepaper de Delta Protect y Abnormal AI, titulado Email Security: Cómo proteger el principal vector de ataque, advierte que la inteligencia artificial está haciendo que estas amenazas sean más difíciles de distinguir. De acuerdo con el documento, un correo malicioso consigue evadir filtros de seguridad cada 19 segundos, una velocidad que duplica la registrada en 2024.
Los datos disponibles en 2026 muestran, además, que el problema no se limita al phishing tradicional. El fraude de correo empresarial, la suplantación de directivos y el compromiso de cuentas legítimas están convirtiendo al email en una herramienta para manipular procesos financieros y operativos.
El correo sigue funcionando porque las personas confían en él
Un correo que aparenta venir del director financiero solicitando una transferencia, de un proveedor pidiendo modificar una cuenta bancaria o del departamento de TI solicitando verificar una contraseña puede parecer una comunicación rutinaria. En muchos casos, el atacante ni siquiera necesita instalar malware: basta con conseguir que una persona realice una acción.
Esta modalidad se conoce como Business Email Compromise (BEC) y representa uno de los ejemplos más claros de cómo el correo electrónico puede convertirse en una herramienta de fraude.
El FBI reportó que durante 2025 las pérdidas relacionadas con BEC alcanzaron aproximadamente 3,040 millones de dólares, frente a 2,770 millones registrados en 2024. El organismo recibió 24,768 denuncias relacionadas con este tipo de fraude.
El problema es que estos ataques pueden ocurrir desde cuentas reales que fueron previamente comprometidas. Por eso, un mensaje enviado desde una dirección conocida puede ser mucho más peligroso que un correo con un dominio extraño.
La inteligencia artificial está haciendo más creíbles los correos falsos
Durante años, una de las recomendaciones más conocidas para detectar phishing era buscar errores ortográficos, traducciones extrañas o mensajes poco naturales. Esa estrategia pierde efectividad con la inteligencia artificial generativa.
Los atacantes pueden utilizar IA para investigar a sus objetivos, analizar información disponible públicamente y crear mensajes personalizados que imitan el tono de una persona o una empresa.
Microsoft documentó en su Digital Defense Report 2025 que los correos de phishing automatizados con IA alcanzaron una tasa de clics de 54%, frente a 12% para intentos convencionales en el conjunto analizado. La compañía también señala que la automatización puede multiplicar la capacidad de los atacantes para producir campañas personalizadas.
La misma tendencia puede observarse en campañas que combinan varias técnicas. Un correo puede ser solamente el primer paso: después puede llegar una llamada falsa, una solicitud de autenticación, una conversación en Teams o incluso una instrucción para instalar una herramienta de acceso remoto.
Microsoft también ha advertido sobre el uso del llamado email bombing, una técnica que inunda la bandeja de entrada de una víctima con cientos o miles de mensajes para ocultar alertas importantes, como solicitudes de cambio de contraseña, notificaciones bancarias o avisos de seguridad.
México también está en la mira de los atacantes
El análisis presentado por Delta Protect señala que México concentró 31 millones de intentos de ciberataques durante 2024, equivalentes a 55% de los ataques contabilizados en América Latina. Esta cifra también ha sido citada por distintos análisis del mercado mexicano de ciberseguridad.
El whitepaper agrega que 65% de las empresas mexicanas consultadas reportó un incremento en brechas de seguridad, por encima del promedio regional de 59%.
El phishing y la ingeniería social tienen un papel importante en esta situación porque atacan precisamente el punto donde la tecnología se encuentra con las decisiones humanas. Una empresa puede tener sistemas de seguridad sofisticados y, aun así, un empleado puede aprobar una transferencia porque recibió un correo aparentemente enviado por un proveedor conocido.
Ahí aparece otra modalidad particularmente peligrosa: el Vendor Email Compromise (VEC) o fraude de proveedor comprometido. En lugar de inventar una identidad, el atacante busca apoderarse de una cuenta legítima de un proveedor o ejecutivo.
Eso cambia por completo el escenario para los filtros tradicionales. Si el correo proviene de una cuenta real, tiene historial de comunicación y utiliza un lenguaje coherente, identificarlo como malicioso puede resultar mucho más complicado.
Las organizaciones necesitan comprobar que quien envía un correo realmente está autorizado para utilizar determinado dominio. Para ello existen mecanismos como SPF, DKIM y DMARC.
DMARC, por ejemplo, permite establecer qué debe hacer el servidor receptor cuando un mensaje no supera las comprobaciones de autenticación. Una política de rechazo puede ordenar que los mensajes fraudulentos sean bloqueados.
Sin embargo, todavía existen importantes brechas de adopción. Estudios publicados en 2026 muestran que una parte significativa de organizaciones todavía no utiliza DMARC con políticas de aplicación estrictas. Una medición de 2026 sobre miles de organizaciones encontró que 32% no tenía registro DMARC y otro 27.1% lo mantenía en p=none, una configuración que sirve para monitorear pero no bloquea por sí misma los mensajes fraudulentos.
El propio whitepaper de Delta Protect y Abnormal AI sitúa en 19.5% la proporción de dominios que cuentan con protección efectiva contra la suplantación bajo sus criterios de análisis.
¿Qué deberían hacer las empresas en 2026?
La respuesta no consiste en pedir a los empleados que desconfíen de todos los correos.
El correo seguirá siendo necesario para operar. Lo importante es reducir la posibilidad de que una persona tenga que decidir por sí sola si una solicitud aparentemente legítima es auténtica.
La estrategia debe combinar autenticación de dominios, multifactor de autenticación, monitoreo de comportamiento, protección contra suplantación, capacitación constante y procesos para validar solicitudes financieras.
También es necesario establecer mecanismos fuera del correo para verificar operaciones sensibles. Si un proveedor solicita cambiar una cuenta bancaria, por ejemplo, la modificación no debería aprobarse únicamente porque llegó desde una dirección conocida.
La inteligencia artificial puede ayudar en este punto. Microsoft señala que los defensores también están utilizando IA para detectar anomalías, analizar amenazas y acelerar las respuestas.
El objetivo es que los sistemas puedan detectar comportamientos que una regla estática no necesariamente identifica: un horario inusual, una transferencia fuera de patrón, un cambio repentino en la forma de comunicarse o una solicitud que no coincide con el comportamiento habitual de una cuenta.
Preguntas frecuentes:
Por qué el correo electrónico es un riesgo de ciberseguridad para las empresas en México?
Porque concentra comunicaciones, información sensible y procesos financieros en un mismo canal. En México, además, el phishing y la ingeniería social forman parte de un escenario de amenazas creciente. Los ataques pueden utilizar correos falsos, cuentas legítimas comprometidas o suplantación de proveedores para conseguir credenciales, información o transferencias de dinero.
¿Cuánto dinero pierden las empresas por fraude de correo electrónico?
El FBI reportó 3,040 millones de dólares en pérdidas por Business Email Compromise durante 2025, a partir de 24,768 denuncias. Este tipo de fraude puede involucrar transferencias bancarias, pagos a proveedores y otras operaciones financieras.
¿Cómo pueden protegerse las empresas mexicanas contra el phishing y el BEC?
La protección debe combinar autenticación de correo mediante SPF, DKIM y DMARC, multifactor de autenticación, monitoreo de comportamiento, capacitación de empleados y procesos para verificar solicitudes sensibles por un canal distinto al correo. También es importante considerar las obligaciones de la legislación mexicana de protección de datos, que contempla multas de hasta 320,000 UMA para determinadas infracciones.
Compartir nota:
