Comprobante SPEI falso: cómo verificar un CEP en Banxico
Llegan a contabilidad correos con un «comprobante SPEI» en .zip a nombre de Banxico. Así se ven dos casos reales y así verificas el pago en el CEP.
Llega un correo al área de contabilidad: "Se adjunta el comprobante de pago". Trae un archivo que dice CEP, SPEI o Banxico, y el mensaje da a entender que alguien ya te pagó. Lo único que falta es abrirlo. Un comprobante SPEI falso es una de las trampas más viejas y más efectivas contra las empresas en México, porque llega justo a la persona que todos los días abre comprobantes. Aquí te mostramos dos correos reales que empresas mexicanas le reenviaron a Dory, cómo reconocerlos y cómo verificar un pago de verdad en el portal del CEP de Banxico.
¿Qué es un CEP y por qué lo usan como carnada?
El CEP es el Comprobante Electrónico de Pago de las transferencias SPEI. Lo emite el Banco de México y cualquiera puede consultarlo en su portal, banxico.org.mx/cep, con los datos de la operación. Por eso tiene tanto peso en contabilidad: si hay CEP, el pago existe.
Los delincuentes se aprovechan de esa confianza. Saben que un correo con "SPEI Liquidado" o "Transferencia interbancaria" en el asunto se abre sin pensarlo, sobre todo en cierre de mes. El supuesto comprobante casi nunca es un PDF: es un .zip, una página .html o un enlace acortado que lleva a robar tu contraseña o a instalar un programa en tu equipo.
¿Cómo se ve un comprobante SPEI falso? Dos correos reales
Estos dos correos llegaron a empresas mexicanas en octubre de 2022. Los mostramos tal como los habría visto la persona en su bandeja, con los datos de la empresa ocultos.
Caso 1: "Comprobante de pago electrónico (CEP) - SPEI Liquidado"
¡Hola! Se adjunta la corrección de la factura cerrada como liquidada.
COMPROBANTE ELECTRÓNICO DE PAGO (CEP) - Estado Liquidado. Aquí puede obtener el Comprobante de pago realizado através de SPEI®.
Para consultar el comprobante electrónico de pago descargar el archivo zip adjunto a este correo electrónico.
Certificado de Seguridad de la institución receptora del pago. ¡Estamos para servirte!
- Archivo comprimido disfrazado de documento financiero. El "comprobante" viene en un
.zipcon nombre de CEP de SPEI. Un comprimido así puede esconder cualquier cosa, y un CEP real no se manda de esta forma.
Y lo que puedes ver tú: "Comprobantede", "através", un saludo genérico y una "corrección de factura" que nadie pidió. El correo no dice quién pagó, cuánto, ni a qué cuenta. Solo quiere que abras el archivo.
Caso 2: el "SPEI" con una dirección de Banxico escrita con comas
Banca en LíneaTransferencia interbancaria SPEIArchivo adjunto (547 KB) · Descargar todo como .zip
[Una empresa real] envía a usted el archivo PDF y XML correspondiente a Transferencia interbancaria a cuenta de cheques / ahorro.
COMPROBANTE DE PAGO ELECTRÓNICO.
Aquí puede obtener el Comprobante de pago realizado a través de SPEI®:
rebrand.ly/[enlace-acortado]
https://emision.banxico,org,mx/descargascfd.jsp?idLiga=[FOLIO_PROTEGIDO]-cep
Le informamos que le fue enviada una Transferencia interbancaria a cuenta de cheques/ahorro.
- Archivo disfrazado. Es un
.zipcon un archivo.pdf.html: parece PDF, pero es una página web. - Enlace escondido. Usa el acortador
rebrand.lypara que no veas a dónde te lleva. - Alerta bancaria con enlace sin verificar. Habla de una transferencia y te manda a descargar algo desde un enlace que no es del banco.
- Patrón de phishing de alta confianza. Las señales juntas coinciden con campañas conocidas.
Y lo que puedes ver tú: la dirección de Banxico está escrita con comas, banxico,org,mx, para que parezca oficial sin ser un enlace real. El sitio verdadero es banxico.org.mx.
Este segundo caso lo analizamos a fondo, con la reconstrucción del correo original, en fraude del CEO: llamada falsa de tu jefe pidiendo pagar.
¿Esto todavía pasa o ya es cosa del pasado?
Sigue pasando. Estas muestras son de 2022, pero el esquema no ha cambiado: un supuesto comprobante de pago o fiscal que llega a quien administra el dinero de la empresa. Cambia el envoltorio. Hoy el archivo puede ser un PDF que descarga un troyano bancario, un Excel o una página que imita a tu banco. En octubre de 2026 se alertó en México por correos con falsos comprobantes fiscales en PDF que instalan troyanos para desviar dinero de la banca en línea; lo explicamos en facturas falsas en PDF que instalan troyanos bancarios.
Las áreas de contabilidad, cobranza y tesorería son el blanco natural: reciben comprobantes todo el día, trabajan con prisa y abrir adjuntos es parte de su trabajo.
- El "comprobante" viene en
.zip,.html,.xlsxo con doble extensión, como.pdf.html. - No dice quién pagó, cuánto, ni la clave de rastreo de la transferencia.
- Habla de una factura o un pago que no esperabas.
- El enlace va a un acortador o a una dirección que no es la del banco ni la de Banxico.
- Errores de redacción, saludo genérico y prisa por que lo abras.
¿Cómo verifico un pago SPEI en el CEP de Banxico?
No uses nada que venga en el correo. Pide los datos de la operación al cliente o proveedor y consulta tú mismo:
- Entra al portal escribiendo la dirección. Abre banxico.org.mx/cep desde tu navegador, no desde un enlace del correo.
- Captura los datos de la transferencia. La fecha, la clave de rastreo o el número de referencia, el banco que envía, el banco que recibe, la cuenta que recibe y el monto.
- Descarga el CEP desde ahí. Si el pago existe y ya se liquidó, el portal te deja descargar el comprobante. Si no aparece, no lo des por pagado.
- Confirma en tu banca en línea. El dinero tiene que estar en tu cuenta. Un archivo, por bonito que se vea, no es un depósito.
¿Qué hago si ya abrí el archivo?
- Desconecta el equipo de la red. Así evitas que un programa malicioso siga trabajando o se mueva a otras computadoras.
- Cambia tus contraseñas desde otro equipo. Empieza por el correo y la banca en línea de la empresa.
- Avisa a tu banco. Por su línea oficial, si crees que alguien pudo ver tus accesos o hacer movimientos.
- Guarda el correo. No lo borres: sirve para que TI revise qué pasó y para reportarlo.
El paso a paso completo está en qué hacer si ya diste tus datos en un link falso.
¿Cómo reviso un comprobante sospechoso antes de abrirlo?
Si dudas, no lo abras. Reenvía el correo completo a [email protected] o pega el texto en dory.mx, y te respondemos con un dictamen y las señales que encontramos. Y si quieres ver más casos como estos, revisa los 10 correos reales de phishing que llegaron a empresas en México.
Fuentes: Banco de México, Comprobante Electrónico de Pago (CEP) (consultado en octubre 2026), El Imparcial, correos con falsos comprobantes fiscales en PDF (octubre 2026), muestras reales 0004 y 0005 del archivo de correos reenviados a Dory (octubre 2022).
