La Factura Falsa Que Superó Todas Las Pruebas De Spam

Un proveedor al que le has pagado una docena de veces te envía una factura nueva. Mismo logo, mismo gerente de cuenta, mismo cierre educado. La única diferencia es una línea enterrada en el encabezado del correo — y esa línea acaba de redirigir tu pago de $48,000 a un extraño en otro país.

Esta es la parte del fraude de bandejas de entrada de la que nadie te advierte: las facturas peligrosas no son las descuidadas. Son las limpias. Un estafador que se cuela en la cuenta de correo de una empresa real no tiene que falsificar nada. El correo sale del dominio genuino, firmado con claves genuinas. SPF pasa. DKIM pasa. DMARC pasa. Tu filtro de spam se encoge de hombros y lo deja pasar, porque según las matemáticas, este es correo legítimo. Lo es. Solo que lo está enviando el humano equivocado.

Por eso el compromiso de correo empresarial es la estafa más cara que existe, y no hay ni cerca segunda. El Centro de Quejas de Delitos de Internet del FBI registró aproximadamente $2.9 mil millones en pérdidas por BEC solo en 2023 — transferencias bancarias que salieron con la fuerza de un correo que se veía, por toda medida automatizada, completamente legítimo. Sin malware. Sin enlace dudoso. Solo una solicitud creíble para actualizar detalles de pago, enviada desde una bandeja de entrada que había sido silenciosamente secuestrada.

Entonces, si la puntuación de spam no te salvará, ¿qué lo hará?

Dos líneas de encabezado que puedes leer en menos de un minuto: Reply-To y Return-Path.

Aquí está la diferencia, en términos simples. La dirección From es lo que ves en el frente del sobre. El Return-Path es adónde van los mensajes de rebote si la entrega falla — el "remitente" técnico del que el servidor receptor realmente se preocupa. Y Reply-To es la dirección a la que tu respuesta se envía silenciosamente cuando presionas el botón. Como DMARC.org explica, estos pueden diferir legítimamente, lo que es exactamente lo que los hace útiles como indicio. En correo honesto de un proveedor, los tres generalmente se alinean bajo el mismo dominio. En un fraude de cuenta secuestrada, el atacante a menudo deja el From intacto — tiene que verse real — pero cuela un Reply-To apuntando a otro lugar. accounts@yourvendor.com en el frente, accounts.yourvendor@gmail.com en la respuesta. Dominio diferente. A veces diferente por un solo carácter.

El atacante hace esto por una razón simple. Puede controlar el buzón comprometido en este momento, pero no quiere que tu respuesta aterrice nuevamente en la bandeja de entrada del dueño real, donde el empleado real podría notar una factura que nunca envió. Así que redirige la conversación a una dirección que controla completamente. Ese redireccionamiento es la huella digital.

Encontrarlo toma alrededor de 20 segundos. En Outlook, abre el mensaje y usa Archivo → Propiedades para ver los encabezados de internet; Microsoft documenta el formato completo de encabezado si quieres leer cada línea. En Gmail, presiona el menú de tres puntos y elige Mostrar original. Busca Reply-To: y Return-Path:. Si alguno apunta a un dominio que no es el del remitente — o a una cuenta de webmail gratuito cuando esperarías una corporativa — detente. No respondas al correo. Llama al proveedor en un número que ya tenías, no uno impreso en el mensaje.

Nada de esto requiere que seas técnico. Requiere que desconfíes exactamente de los correos que no disparan ninguna alarma. Una marca de verificación verde de tu filtro significa que el mensaje no fue falsificado. No dice nada sobre quién está sosteniendo las claves de la cuenta que lo envió.

Las estafas que drenan cuentas en 2024 no se ven como estafas. Se ven como un martes cualquiera. El encabezado es donde la mentira todavía tiene que vivir.