Ejemplo de phishing con factura falsa: cómo reconocerlo
Llega como un aviso de un proveedor: una factura vencida, un monto concreto y la amenaza de suspender el servicio. El adjunto no es un PDF. Es una página que imita el inicio de sesión del correo y se queda con la contraseña de quien la abre.
Estimados:
La factura A-0004-00018342 por $ 486.320,00 registra un atraso de 15 días. Si no se regulariza hoy antes de las 17 h, el servicio quedará suspendido (Señal 3) y se aplicarán recargos.
El comprobante va adjunto. Para visualizarlo, inicien sesión con su cuenta de correo corporativo (Señal 4).
Saludos cordiales,
Departamento de Cobranzas
Cinco señales que delatan la factura falsa
El dominio no es el de tu proveedor
El nombre visible dice «Servicios Integrales», pero la dirección termina en un dominio parecido y desconocido. Compará con facturas anteriores del mismo proveedor: el dominio real no cambia de un mes a otro.
Urgencia en el asunto
Mayúsculas, «vencida» y «suspensión» en la misma línea buscan que actúes antes de pensar. Un proveedor con un atraso real reclama, pero no te da horas para resolverlo.
Una amenaza con hora límite
El plazo de hoy a las 17 h existe para que no verifiques. Si el servicio es crítico, llamá al proveedor al número que ya tenés, no al que figura en el correo.
Una factura que pide iniciar sesión
Un PDF se abre sin contraseña. Si ver un comprobante te lleva a una pantalla de inicio de sesión del correo, el objetivo es tu cuenta, no el pago.
La doble extensión del adjunto
«.pdf.html» es una página web disfrazada de PDF, y pesa apenas 3 KB. Al abrirla muestra un formulario de inicio de sesión falso que envía lo que escribas a otro servidor.
Qué hacer si te llega
- No abras el adjunto ni respondas el correo.
- Buscá al proveedor en tu sistema de compras o en facturas anteriores y llamalo a un número que ya tengas.
- Reportalo a seguridad con el botón de reporte o reenviándolo como adjunto, para que bloqueen el remitente en todas las casillas.
- Si la factura parece real, pedí que la cargue cuentas a pagar por el circuito de siempre.
Si ya abriste el adjunto
- Si escribiste tu contraseña, cambiala desde el portal de siempre (no desde el correo) y avisá a TI para que cierre las sesiones abiertas.
- Avisá a seguridad aunque no hayas escrito nada: saber quién abrió el archivo ayuda a revisar el equipo a tiempo.
- Si pagaste, llamá a tu banco por su número oficial y pedí frenar o revertir la operación cuanto antes.
La misma trampa por otros canales
Por WhatsApp
El mismo aviso de deuda llega a un número personal con un enlace para «descargar la factura». Para verla, el enlace pide el usuario y la contraseña del correo corporativo.
Desde la cuenta real del proveedor
Si alguien entró en el correo del proveedor, el remitente y la factura son auténticos y lo que cambia son los datos de pago. El pedido de pagar a una cuenta nueva se confirma por teléfono, nunca respondiendo el correo.
Con un QR en el PDF
Otras versiones traen un PDF real con un código QR «para pagar» o «para ver el detalle». El destino se abre en el teléfono, fuera de los controles del correo corporativo.
Preguntas sobre facturas falsas por correo
Otros engaños para reconocer
¿Tu equipo de cuentas a pagar abriría el adjunto?
Whalemate simula phishing por correo de forma nativa, con señuelos de facturación como este en español, portugués e inglés. Quien abre el adjunto o escribe la contraseña recibe un entrenamiento corto sobre la señal que no vio, y la analítica muestra qué áreas concentran el riesgo.