Facturas falsas en PDF que instalan troyanos bancarios
Circulan correos con facturas y comprobantes fiscales falsos en PDF que roban tu banca en línea. Así los reconoces y verificas una factura en el SAT.
"Le enviamos su factura en PDF." Si en tu empresa reciben facturas todo el día, ese correo no levanta ninguna sospecha, y por eso funciona. A finales de octubre de 2026 se alertó en México sobre facturas falsas en PDF y comprobantes fiscales que, al abrirse, instalan un troyano que roba las contraseñas de tu banca en línea. Aquí te contamos cómo se ven, cómo revisar si una factura es real y qué hacer si ya abriste el archivo.
¿Qué se sabe de esta campaña?
El 26 de octubre de 2026, El Imparcial publicó que WeLiveSecurity, el portal de la empresa de ciberseguridad ESET, había documentado tres días antes una modalidad de fraude en México con correos que simulan comprobantes fiscales.
Según esa nota, los correos se presentan de tres formas:
- Una factura electrónica que "te mandan" sin que la hayas pedido.
- Un aviso de cobro por un servicio que nunca recibiste.
- Un supuesto cobro duplicado que hay que "aclarar".
Para que parezcan legítimos, algunos incluyen datos personales reales de quien los recibe. Al abrir o descargar el adjunto se ejecuta un programa tipo downloader: un troyano que se instala en la computadora y descarga lo demás. Su objetivo es sacar contraseñas y credenciales bancarias para alterar pagos o mover dinero sin autorización.
No es un caso aislado. En su balance del primer semestre de 2026, ESET señala que los PDF maliciosos fueron una de las principales vías de ataque a empresas en América Latina, ligados a fraudes de facturación electrónica y notificaciones de pago.
¿Cómo se ve una factura falsa por correo?
Casi nunca tiene un diseño elaborado. Es un correo corto y genérico, y todo el peso está en el archivo adjunto o en el botón:
Estimado cliente: detectamos un cargo duplicado en su factura del mes. Para evitar la suspensión del servicio, revise el comprobante adjunto hoy mismo. El documento está en formato PDF y puede abrirlo con cualquier lector.
Descargar facturaUn caso real: la "factura adjunta" que no era PDF
Este correo llegó a una empresa mexicana, que se lo reenvió a Dory. Promete una factura en PDF, pero el archivo es otra cosa. Lo mostramos con los datos de la empresa ocultos:
Estimado/a, area@[empresa].com.mx en adjunto factura. El documento esta en formato PDF, y puede abrirlo facilmente con cualquier lector de PDF. 07/07/2025 11:18:44 a. m.
- Archivo disfrazado. Se llama
.PDF.zip: parece PDF, pero es un archivo comprimido. Un PDF de verdad no necesita venir dentro de un .zip.
Y lo que puedes ver tú: te saluda con tu dirección de correo en lugar de tu nombre, no dice qué empresa factura ni por qué concepto, y no trae folio fiscal ni monto. El texto viene repetido dos veces, como plantilla pegada, y antes del asunto lleva un "FWD", como si alguien te lo reenviara.
¿Cómo saber si una factura que te llegó es falsa?
Antes de abrir el adjunto, revisa esto con calma:
- No esperabas esa factura. No reconoces al proveedor, el servicio o el monto.
- El archivo no termina en .pdf ni en .xml. Desconfía de
.zip,.rar,.html,.exeo de nombres con doble extensión, comofactura.pdf.zip. - Te piden descargar la factura desde un enlace en lugar de traerla adjunta, sobre todo si el enlace va a un servicio de almacenamiento en la nube o a un dominio que no es del proveedor.
- Hay prisa o amenaza. "Cobro duplicado", "evite la suspensión", "último aviso".
- El saludo es genérico o usa tu correo como si fuera tu nombre.
- El remitente no coincide con el dominio del proveedor que conoces, aunque el nombre visible sí.
¿Cómo verifico una factura en el SAT?
Una factura electrónica válida (CFDI) queda registrada en el SAT. Si alguien de verdad te facturó, la puedes encontrar tú mismo sin abrir nada del correo:
- Entra tú a sat.gob.mx. Escribe la dirección en el navegador; no uses enlaces del correo.
- Ve a Factura electrónica. Después a Servicios de factura y a "Consulta, cancela y recupera tus facturas". Entras con tu RFC y tu Contraseña o e.firma.
- Elige "Consultar Facturas Recibidas". Busca por fecha o por folio fiscal.
- Si no aparece, desconfía. Las recomendaciones citadas en la nota de El Imparcial lo dicen claro: si la factura no está ahí, es un intento de fraude.
Recuerda también lo que el propio SAT aclara en su página de correos falsos: no distribuye software, no te pide ejecutar, guardar ni descargar archivos, y no manda enlaces por correo. Si el correo dice venir del SAT, revisa nuestra guía de cómo saber si un correo del SAT es falso.
¿Sigues con dudas? Pega el correo en dory.mx o reenvíalo a [email protected] antes de abrir el archivo y te respondemos con un dictamen.
¿Cómo protejo al área de contabilidad?
El blanco de esta campaña son las personas que manejan pagos. Unas cuantas reglas sencillas ayudan mucho:
- Las facturas se validan en el SAT antes de pagarlas, no en el PDF que llegó por correo.
- Nadie abre comprimidos "de factura" de remitentes que no conoce. Si un proveedor de siempre manda algo raro, se le llama a su número de siempre.
- Antivirus activo y actualizado en computadoras y celulares, como recomiendan las autoridades citadas en la nota.
- Notificaciones bancarias en tiempo real para ver de inmediato cualquier movimiento que no reconozcas.
- Cambios de cuenta, solo con doble confirmación. Es la misma regla que frena el fraude del CEO.
¿Qué hago si ya abrí la factura falsa?
- Avisa a sistemas o a quien te ayude con tu equipo. Pasa un antivirus actualizado y, si hay dudas, que revisen la computadora antes de volver a usarla.
- Cambia tus contraseñas desde otro dispositivo limpio. Empieza por la banca en línea, el correo y el SAT.
- Llama a tu banco por su línea oficial. Pide que revisen movimientos recientes y bloqueen lo necesario. Nunca compartas tu NIP ni tus contraseñas, ni siquiera con quien dice ser del banco.
- Reporta el correo. Si usa el nombre del SAT, envíalo a
[email protected], la dirección que indica el buscador de correos falsos del SAT.
Si además escribiste datos en alguna página, sigue el paso a paso de qué hacer si ya diste tus datos en un link falso.
Fuentes: El Imparcial, correos con falsos comprobantes fiscales en PDF (octubre 2026), SAT, Correos falsos identificados (junio 2026), SAT, Buscador de correos falsos (octubre 2026), WeLiveSecurity, Panorama de ciberamenazas en América Latina (octubre 2026).
