Un correo puede copiar a un proveedor, directivo o empresa conocida para cambiar la cuenta bancaria, cobrar un servicio inexistente o robar credenciales. Puede ser un dominio parecido, una dirección falsificada o una cuenta auténtica comprometida.
Lo esencial para tomar una decisión
Un correo puede copiar a un proveedor, directivo o empresa conocida para cambiar la cuenta bancaria, cobrar un servicio inexistente o robar credenciales. P
No pagues hasta verificar por otro canal
Una factura inesperada, un cambio de cuenta bancaria o una petición urgente de un directivo debe detener el proceso normal. No respondas al mismo hilo, no llames al número de la firma y no abras enlaces o adjuntos para comprobarlo. Busca el teléfono del proveedor en el contrato, una factura anterior verificada o su web oficial y habla con un contacto conocido. El FBI recomienda confirmar los cambios de cuenta o procedimiento de pago directamente con la persona que los solicita.
Comprueba pedido, contrato, entrega, importe, moneda, entidad beneficiaria y autorización interna. Una factura falsa puede cobrar algo nunca pedido; un fraude de correo empresarial puede insertarse en una conversación real después de que una cuenta haya sido comprometida. Que el mensaje conozca nombres, proyectos o importes no demuestra autenticidad. Los atacantes pueden estudiar redes sociales, buzones y conversaciones anteriores.
Enseña al equipo a detectar cambios mínimos en dominios y direcciones, respuestas que van a otro buzón, presión por secreto, plazos artificiales y métodos de pago inusuales. Aun así, no conviertas a una persona en el único control. Los pagos sensibles necesitan un procedimiento verificable, separación de funciones y confirmación de cambios mediante un canal que no dependa del correo recibido.
- Mensaje original y cabeceras
- Factura y cuenta beneficiaria
- Contrato y pedido relacionados
- Canal independiente de verificación
- Hora exacta de cualquier pago
Conserva pruebas y separa los posibles escenarios
Guarda el mensaje original en su formato completo, no solo una captura. Conserva cabeceras, remitente visible, dirección de respuesta, enlaces sin visitarlos, adjuntos sin abrir, factura, conversación, fecha, zona horaria y datos de pago. Las cabeceras pueden ayudar a seguridad o al proveedor a distinguir una falsificación del dominio, un buzón comprometido o un servicio externo usado para enviar el fraude.
Revisa si el mensaje salió realmente de tu infraestructura. Busca accesos desconocidos, reglas de reenvío, delegados, aplicaciones conectadas, cambios de recuperación, sesiones, envíos y borrados. Comprueba también las cuentas del proveedor cuando este pueda colaborar. Un dominio parecido exige denuncia al registrador, host o proveedor de correo; una cuenta legítima hackeada exige recuperación y contención. Ambos incidentes pueden ocurrir juntos.
No borres la cuenta ni restaures todo antes de conservar los registros pertinentes. Limita accesos, cambia credenciales desde equipos limpios, activa autenticación resistente y revisa si el mismo secreto se reutilizó. Involucra a tecnología, finanzas, privacidad y dirección según el alcance. No publiques cabeceras completas, números de cuenta, firmas, documentos o datos personales al advertir a clientes.
Si el dinero salió, actúa inmediatamente
Contacta de inmediato a tu banco o proveedor de pagos por un número verificado y pide que contacte a la entidad receptora. Entrega importe, hora, referencia, beneficiario y cuenta sin modificar. El FBI indica que las víctimas de fraude de correo empresarial deben llamar rápidamente a su institución financiera. No prometas recuperación: una solicitud rápida puede ayudar, pero el resultado depende de las entidades, el método, el país y el tiempo transcurrido.
En Estados Unidos, el FBI dirige las denuncias de BEC a IC3.gov y la FTC recibe reportes en ReportFraud.ftc.gov. La FTC también menciona el reenvío de correos de phishing al Anti-Phishing Working Group. España, México y otros países tienen bancos, policía y organismos de ciberseguridad propios. Utiliza los canales oficiales aplicables y conserva el número de referencia; esta guía no determina obligaciones legales de notificación.
Si se entregaron contraseñas, documentos o datos bancarios, el incidente no termina con intentar recuperar el pago. Asegura las cuentas afectadas, revisa actividad posterior y orienta a cada persona sin pedirle que envíe más información sensible por correo. No pagues a un supuesto recuperador que garantiza devolver el dinero: esa oferta puede ser una segunda estafa.
Protege la reputación sin amplificar el fraude
Si alguien suplanta a tu empresa, avisa pronto a clientes o proveedores expuestos mediante la web, teléfono conocido, redes oficiales o correo autenticado. La FTC aconseja que un aviso por email no incluya enlaces para que no parezca otra campaña de phishing. Indica la dirección falsa, qué solicitud no pertenece a la empresa, cómo verificar facturas y a quién contactar. Fecha y actualiza el aviso.
Configura autenticación de correo con el proveedor y revisa SPF, DKIM y DMARC con especialistas; estas medidas ayudan a los receptores a evaluar mensajes, pero no impiden que alguien registre un dominio parecido o comprometa una cuenta. Registra variantes críticas cuando sea razonable, monitoriza dominios y entrena a proveedores. Mantén una lista aprobada de cuentas bancarias y exige doble confirmación para cambiarlas.
ReputationGeo.ai puede organizar la evidencia, mapear dominios y perfiles, preparar denuncias bilingües, redactar avisos y monitorizar reapariciones. Bancos, proveedores, registradores, plataformas y autoridades toman sus propias decisiones. No garantizamos retirada, bloqueo, identificación del actor, recuperación del dinero ni plazo. Esta información es general y no sustituye asesoramiento técnico, financiero o jurídico adaptado al incidente.
Cómo convertir esta guía en un plan responsable
Empieza por las pruebas, no por las suposiciones. Guarda los enlaces exactos, capturas, fechas de publicación, búsquedas, perfiles de reseñas y respuestas de inteligencia artificial que generan preocupación. Anota dónde aparece cada elemento, quién controla la fuente y si la información es inexacta, antigua, privada, engañosa o simplemente desfavorable. Estas diferencias importan porque retirar, corregir, responder, desplazar y monitorizar son soluciones distintas. Un asesor responsable debe explicarlas antes de recomendar acciones o hablar de plazos.
Después, define la audiencia y la decisión que está en riesgo. Un resultado visto por clientes potenciales en España puede exigir un idioma, unas fuentes y unas señales locales diferentes de un resultado que afecte a inversores en Estados Unidos. Decide qué nombres, marcas, ubicaciones y preguntas de búsqueda son prioritarios. Esta selección evita que la campaña se convierta en un intento impreciso de controlar internet y la transforma en un programa medible centrado en exactitud, confianza y visibilidad.
Pruebas, personas y métricas que conviene preparar
Crea una referencia antes de empezar. Puede incluir las dos primeras páginas de Google para las búsquedas acordadas, la puntuación y el volumen de reseñas, la visibilidad de páginas propias, los temas repetidos en respuestas de IA y el estado de solicitudes enviadas a plataformas o editores. Limita los datos personales a lo necesario y comparte documentos sensibles únicamente mediante un proceso seguro. Si puede existir un derecho legal, consulta con un abogado cualificado; la estrategia reputacional no sustituye el asesoramiento jurídico.
Asigna responsables para aprobar contenidos, verificar hechos y responder a clientes. Revisa el progreso con constancia, pero no juzgues el programa por una sola posición diaria. Las métricas útiles incluyen elementos corregidos o eliminados, respuestas completadas, presencia de fuentes propias e independientes creíbles, composición de resultados, tendencias de búsquedas de marca y capacidad de la información pública para responder preguntas reales. El objetivo es un historial digital más exacto y resistente, no una promesa artificial de que desaparecerá toda crítica.
Mantén un registro de decisiones, no solo una lista de enlaces
Para cada elemento relevante, registra la fuente exacta, el problema factual, la persona responsable de verificarlo, la vía propuesta y el motivo por el que resulta proporcionada. Incluye la fecha de cada solicitud, el plazo de respuesta, el número de referencia de la plataforma y la próxima fecha de revisión. Este registro evita denuncias duplicadas o contradictorias y permite que una nueva persona responsable entienda por qué un elemento se corrigió, impugnó, respondió, monitorizó o se dejó sin intervención.
Un buen registro también separa los hechos confirmados de las interpretaciones. Reserva las cuestiones jurídicas para abogados cualificados, los fallos de servicio para responsables operativos y las explicaciones públicas para revisión de comunicación. Si un elemento cambia, conserva las pruebas del antes y el después sin recopilar más datos personales de los necesarios. Esta disciplina es especialmente importante cuando buscadores y sistemas de IA se actualizan de forma imprevisible: permite saber qué cambió realmente y evita atribuirse movimientos que pueden tener varias causas.
- Fuente, enlace, fecha y búsqueda o consulta afectada
- Hechos verificados, afirmaciones discutidas y pruebas de apoyo
- Vía elegida, responsable, estado y próxima revisión
- Riesgos de privacidad, amplificación y escalado
Servicios relacionados de ReputationGeo.ai
Utiliza estas páginas para distinguir eliminación de imágenes, retirada de contenido y desindexación antes de elegir una vía.
Preguntas frecuentes
Fuentes oficiales y lectura adicional
Las normas y los procedimientos cambian. Consulta siempre la versión vigente de la fuente oficial antes de presentar una solicitud.
El siguiente paso práctico
Documenta los enlaces, búsquedas y hechos relevantes antes de actuar. Un plan responsable debe separar lo que puede corregirse o retirarse de lo que necesita respuesta, supresión o seguimiento. La estrategia correcta depende de la fuente, el mercado y las pruebas.