Hace unos meses escribí sobre la psicología del phishing: urgencia, confianza y ese segundo en el que actuamos sin pensar. Lo que cambia ahora no es la trampa emocional; es el disfraz. En México, según hallazgos de Proofpoint difundidos hacia principios de septiembre de 2026 sobre campañas de julio y agosto, el correo ya no necesita verse “raro” para funcionar. Se parece a una factura fiscal, a un DocuSign pendiente, a un aviso de impuestos, a un citatorio o hasta a una queja. En esta entrada retomo esa conversación desde el asiento de quien dirige sistemas: qué implica cuando el cebo habla el idioma de finanzas y compras, y qué conviene mover esta semana sin convertir el tema en una alerta de portada.

El phishing clásico jugaba a asustarnos con la cuenta del banco o el premio inesperado. El de negocio cotidiano juega a otra cosa: a insertarse en el flujo donde tu gente ya está apurada. Cerrar el mes. Contestar al proveedor. No dejar colgado un CFDI. Firmar “ese” documento porque legal lo pidió.

Cuando el mensaje se siente administrativo, la defensa deja de ser solo tecnológica. Se vuelve un acuerdo operativo entre sistemas y quienes mueven dinero, contratos y papeles.

El mismo reflejo, otro escenario

En La Psicología del Phishing hablaba de Ana y del correo que amenaza con suspender la cuenta si no actualiza el pago. Sustituye la nube genérica por un PDF de factura, un enlace de firma electrónica o un “comparten contigo un expediente fiscal”, y el reflejo es el mismo: prisa, miedo a quedar mal, deseo de resolver. No fallamos porque seamos ingenuos. Fallamos porque el proceso premia la velocidad y el control pide desconfianza… y nadie aclaró cuál gana a las 6:40 pm de un viernes de cierre.

Proofpoint identificó en ese periodo a dos actores que rastrea como TA2725 y TA4922 con señuelos anclados en ese día a día. De TA2725 reportó una campaña del orden de 275 mil correos hacia México, según la cobertura del hallazgo Proofpoint, en una ventana corta (19 al 24 de julio de 2026), con cebos de DocuSign, facturas fiscales, CVs, citatorios judiciales y quejas, además de phishing de credenciales. De TA4922 señaló una ampliación de operaciones a México “por primera vez”, en su lectura, con señuelos fiscales y archivos alojados en servicios de nube legítima. Eso último importa más de lo que parece: si el filtro solo castiga “dominios feos”, el atacante ya aprendió a verse presentable.

Luis Isselin, de Proofpoint México, lo resume sin dramatismo: cautela ante correos inesperados de facturas, impuestos, temas legales o documentos compartidos, sobre todo si piden descargar algo o meter usuario y contraseña. No es un consejo superficial: es el patrón del cebo.

Lo que este contexto no prueba (y conviene no inventar)

Aquí freno a propósito. Un volumen alto de correos no demuestra, por sí solo, que tu empresa ya esté en una lista de víctimas, ni un porcentaje mágico de “penetración nacional”, ni un “mega breach” mexicano con nombres propios que el comunicado no citó. Tampoco alcanza para clavar a esta oleada local, sin más fuente, la misma cadena de malware documentada en otros países o asociar de golpe banking malware histórico de Latam como payload cerrado de esta campaña. Si en la junta alguien convierte el reporte en novela nacional, pedirle la fuente no es pedantería: es higiene.

Para quien dirige sistemas, la pregunta útil no es “¿cómo se llama el binario?”. Es: ¿nuestro proceso de factura, firma y cambio de datos de pago está diseñado para sobrevivir a un correo que se siente legítimo?

Cuando finanzas es el canal de ataque

En compras y finanzas el correo es el canal. “Te mando la factura.” “Firma aquí.” “Actualizamos la CLABE.” “Hay un pendiente con el SAT.” Si el awareness sigue entrenando con el príncipe y el USB del estacionamiento, estamos preparando a la gente para la guerra anterior.

El phishing vestido de trámite no se combate solo con otro curso genérico. Se combate alineando tres capas que suelen vivir en silos: la cabeza del usuario, los controles del correo y el ritual de verificación fuera de banda.

La nube legítima complica el relato fácil de “bloquea lo sospechoso”. Un archivo puede vivir en un servicio conocido y, aun así, ser el anzuelo. Por eso la conversación con el dueño de email security no puede quedarse en listas negras. Tiene que mirar excepciones del tipo “finanzas puede recibir de todo porque si no se para la operación”, el tratamiento de enlaces con lenguaje fiscal o de firma, y qué tan normalizado está pedir credenciales “para ver el documento”.

MFA donde aún hay huecos, least privilege en quien altera datos de pago, y dejar de reutilizar contraseñas entre correo, ERP y banca no son slogans nuevos. Con este contexto encima de la mesa dejan de ser decoración del comité y vuelven a ser trabajo de la semana.

Una sola lista: prácticas que sí movería

Para aterrizar sin convertir esto en manual de 40 páginas, me quedo con una lista corta:

• Acordar por escrito con finanzas, compras y legal que toda factura urgente, cambio de cuenta/CLABE o “firma este documento” se confirma por un canal que ya conocen (teléfono al proveedor del ERP, portal oficial, chat con quien sí pidió el trámite), no por el enlace del mail.
• Mandar un mensaje breve a esas áreas con ejemplos del cebo real —factura, DocuSign, impuestos, citatorio— y la cautela de no descargar ni meter credenciales ante lo inesperado.
• Revisar con email security las excepciones de adjuntos/links “porque es finanzas” y el manejo de archivos que llegan vía nube legítima; anotar qué se cambia ya y qué queda fechado en backlog.
• Cerrar huecos obvios de MFA y de accesos de quien aprueba excepciones o cambia datos de pago; documentar lo que no se pueda cerrar en 48 horas.
• Llevar un párrafo al sponsor de negocio: el riesgo de esta oleada no es el nombre del threat actor; es que el phishing se parece a su proceso.

Nada de eso exige IoCs operativos, hashes ni tutoriales de evadir filtros. Exige que sistemas y finanzas dejen de hablarse solo cuando ya hubo incidente.

El post-mortem que no quiero escribir

Si mañana un DocuSign falso llega a compras y alguien hace clic, ¿el relato será “falló el usuario” o “falló el diseño del proceso”? Con campañas del tamaño reportado para TA2725 hacia México, la narrativa de “unos cuantos despistados” se queda corta. Encaja mejor otra: el canal de correo sigue siendo la puerta de la operación financiera, y el atacante no necesita verse hacker. Necesita verse administrativo.

Eso debería mover el comité. Menos “¿ya compramos la herramienta X?” y más “¿quién confirma una factura sospechosa cuando el cierre aprieta?”. La psicología del phishing no cambió: sigue explotando urgencia y confianza. Cambió el escenario donde esa psicología se activa. Si la mesa entre sistemas y finanzas no existe, el awareness solo es teatro.

Lo que me queda de esta semana no es una alerta con mayúsculas, sino un ritual concreto: una página de acuerdo fuera de banda, un mensaje claro a quienes viven del correo de factura, una pasada honesta a las excepciones del filtro y un párrafo al negocio que nombre el riesgo sin inventar víctimas. Convertir eso en hábito —no en reacción de un día— es, para mí, la continuación natural de entender por qué caemos: porque el engaño aprendió a parecerse al trabajo.