Más de un millón de correos con la factura falsa de «tu CEO»: qué documentó Microsoft
El 10 de septiembre de 2026, Microsoft publicó en su Security Blog el desarme de una campaña de fraude de facturas que no trae virus, no trae archivo adjunto ejecutable y no te pide la contraseña. Trae algo más barato y más efectivo: un correo que parece escrito por el dueño de la empresa aprobando una factura, con la factura ya adentro y los datos bancarios listos. El pedido concreto era una transferencia de casi USD 50.000.
Microsoft contó más de un millón de correos de esa campaña entre el 3 y el 5 de agosto. El 87,7 % fue a destinatarios de Estados Unidos, así que esto no es un aviso de que te esté pasando hoy en Córdoba o en Guadalajara: es la radiografía de un molde. Y el molde viaja: la parte cara del ataque —redactar, maquetar, fabricar el hilo— es la que ahora sale casi gratis.
Si administrás una PyME donde alguien paga facturas, lo útil de esta nota son los diez minutos que siguen. Después viene el detalle de lo que Microsoft probó, que también importa, pero primero lo que se puede hacer hoy y sin gastar un peso.
Qué hacer hoy, y no cuesta nada
La regla de los dos canales
Ninguna orden de pago, ni ningún cambio de datos bancarios de un proveedor, se ejecuta con lo que dice un correo. Se confirma por un canal distinto —una llamada, un mensaje— y a un número que ya tenías guardado, nunca al que figura en el correo. Es la única medida de esta lista que hubiera frenado la campaña entera, y es también la única que no está en el documento de Microsoft: sus mitigaciones son de producto. La ponemos primero igual, porque el ataque termina en una persona apretando «transferir».
Revisá el filtro de correo
Si tus buzones están en la nube de Microsoft 365, una de las mitigaciones que recomienda el informe ya viene incluida: Zero-hour auto purge (ZAP), que saca de la bandeja un mensaje descubierto malicioso después de haber sido entregado. La documentación de Microsoft lo lista entre las «funciones de seguridad integradas para todos los buzones en la nube» y aclara que viene activado por defecto tanto para malware como para phishing de alta confianza —y también, en las políticas antispam, para phishing común y para spam—.
Dos límites que conviene saber antes de confiarse, y los pone la misma documentación: ZAP solo revisa las últimas 48 horas de correo entregado, y no funciona en buzones locales, aunque estén protegidos por Microsoft 365. Lo que sí se revisa a mano es la acción que cada política aplica —mandar a Correo no deseado o a cuarentena—, porque de eso depende que el mensaje desaparezca de la vista o siga ahí.
Cargá SPF, DKIM y DMARC
Los tres son configuración en el DNS de tu dominio, no un producto que se compre: SPF va como registro de texto y DKIM se da de alta con los registros que indica la guía de Microsoft, que en Microsoft 365 son dos CNAME. No te protegen de recibir esta estafa: protegen lo otro —que alguien mande correos que parezcan salir de tu empresa a tus propios clientes—. Microsoft enlaza desde el mismo informe la guía general de autenticación y las de SPF y DKIM, que son las tres que dejamos abajo en Fuentes; guía de DMARC no enlaza ninguna.
Fraude de facturas: qué documentó Microsoft, y cuándo
Las dos fechas del esquema marcan cuándo se registraron los dominios y la ventana en la que se enviaron los correos. El informe no publica cuántas transferencias llegaron a concretarse.
| Dato | Lo que dice el informe |
|---|---|
| Ventana detectada | Entre el 3 y el 5 de agosto de 2026 |
| Volumen | Más de un millón de correos, dirigidos a usuarios de empresas |
| Distribución | 87,7 % a destinatarios de Estados Unidos |
| Envío | Varias cuentas de servicios de correo de terceros, usadas para distribuir la campaña |
| Suplantados | Ejecutivos de las propias empresas atacadas: CEO, CFO, presidente |
| Destinatario elegido | El área de cuentas a pagar de esas mismas empresas |
| Pedido | Un pago ACH de casi USD 50.000 |
| Rubros más golpeados | Servicios de IT y consultoría de negocios, y bienes de consumo, entre otros |
Una aclaración para leer bien la cifra: ACH es el sistema de transferencias interbancarias de Estados Unidos, que es donde cayó la enorme mayoría de estos correos. Acá el equivalente de la maniobra sería el pedido de transferir a un CBU o alias «nuevo» del proveedor de siempre. El informe no documenta casos en América Latina, y esta nota tampoco los inventa: lo que se traslada es el método, no las víctimas.
Aclarado eso, la región no es ajena al negocio. En agosto contamos que la Operación Jackal IV de INTERPOL identificó a 196 sospechosos en la Argentina, y lo que se les atribuye no es estafar: es proveerles a los estafadores los dominios y el soporte para mover la plata. El fraude de facturas por correo está entre los delitos que ese operativo persigue.
Tres capas de mentira en un solo correo
Lo que distingue a esta campaña de la estafa de factura clásica es que no apoya todo en un solo engaño. Microsoft enumera cuatro ingredientes apilados «en un relato unificado destinado a reducir el escepticismo del destinatario» —suplantación de ejecutivo, marca de un proveedor, factura fabricada y una conversación de apoyo—, y en el correo se ven en tres bloques:
- El correo del ejecutivo. Corto y directo: aprueba «la factura de abajo» e invita a pedir la versión en PDF si hace falta. Al pie, la firma con el nombre y la dirección del ejecutivo suplantado.
- La factura. Una supuesta «ServiceNow Platform — Annual Subscription», con logos y marca de esa empresa, número de factura, fechas de emisión y vencimiento, moneda, importe, ítems detallados y método de pago: transferencia bancaria a cuentas del atacante. Microsoft vio varias entidades financieras distintas entre las muestras, así que —dice— el destino del dinero puede cambiar de un objetivo a otro. El bloque «BILLED TO» venía personalizado con el nombre de la empresa y el del ejecutivo.
- La conversación. Debajo de la factura, dos correos más, presentados como reenviados, en los que los dos ejecutivos suplantados —el de la empresa atacada y el «presidente» de ServiceNow— charlan sobre la compra, la implementación y el trámite de la factura.
ServiceNow no fue hackeada, y el informe lo dice con todas las letras
Es la parte que más fácil se cuenta mal, así que va tal cual. Microsoft aclara que no encontró evidencia de que las organizaciones legítimas mencionadas en los señuelos, ServiceNow incluida, hayan sido comprometidas ni hayan participado de la actividad. La campaña se apoyó en dominios fraudulentos y en contenido fabricado para imitar marcas y personas de confianza. Dicho de otro modo: la marca que aparece en la factura es una víctima más, no la fuente de la filtración.
Los dominios, comprados tres días antes
El 31 de julio —tres días antes del primer envío— el atacante registró un dominio calcado, service-nowinc[.]com, que usó para la dirección del falso presidente de ServiceNow y también como contacto «por consultas» dentro de la factura. El mismo día registró un segundo dominio, domainlify[.]net, que puso en el reply-to. Los escribimos con corchetes, como hace Microsoft, para que no queden convertidos en enlaces clicables.
Que el dominio sea nuevo es, en sí, una señal: la infraestructura de una campaña de este tipo se arma con días de anticipación y se quema enseguida. Si tu filtro de correo permite marcar dominios registrados hace poco, ese es el tipo de regla que rinde acá.
Y hay un detalle que el informe suelta recién en sus mitigaciones y que cambia el mapa: además de los correos, hubo sitios maliciosos asociados a esta campaña. Microsoft lo dice al recomendar navegadores que los bloquean —cita a Edge como ejemplo— «incluidos los usados en esta campaña de phishing». O sea que sí hubo, en algún punto, algo para hacerle clic.
Dónde entra la IA, y hasta dónde llega lo que Microsoft afirma
El título del informe habla de suplantación «asistida por IA», y conviene precisar qué se probó y qué no. Microsoft dice haber observado indicadores compatibles con el desarrollo de plantillas asistido por IA: comentarios extensos dentro del HTML, secciones etiquetadas de forma estructurada y una construcción de plantilla muy uniforme. Suma dos marcas más que ya asocia con el uso de IA: el uso de la raya («—») y de banderas de guiones («===========») dentro del código.
Si bien estos indicadores sugieren la intervención de IA generativa, no establecen por sí solos en qué medida la IA generó el contenido de la campaña. Microsoft Security Blog, 10 de septiembre de 2026 (traducción propia del original en inglés)
O sea: hay indicios, no hay medición. La nota respeta ese límite y no escribe «la campaña fue hecha con IA» como si fuera un hecho establecido. Lo que sí describe el informe como pista de generación por plantilla es que los identificadores de factura y la estructura del relato se mantenían casi iguales entre muestras, mientras cambiaban los datos específicos de cada empresa apuntada.
Las señales que lo delatan
Antes de la lista, la comprobación que más rinde por segundo invertido: mirá la dirección, no el nombre. Microsoft encontró al ejecutivo suplantado en varios lugares del mismo correo, y nombra tres: el nombre visible del remitente, el nombre visible del reply-to y la firma al pie. Los tres son texto libre que cualquiera escribe. La dirección real de envío, no. En el celular suele estar plegada detrás del nombre: tocá el remitente y leela entera antes de contestar.
Esta es la parte de más rendimiento del documento, porque son cosas que se detectan a ojo. Microsoft enumera, del lado del que recibe:
| Señal | Por qué delata al correo |
|---|---|
| El hilo «reenviado» no tiene encabezados | Un reenvío real arrastra sus datos de origen. Acá los bloques «From» del hilo simulado no traían ninguno |
| El hilo previo aparece sin sangría | En una conversación auténtica los mensajes anteriores quedan tabulados o agrupados visualmente; en las muestras estaban alineados a la izquierda |
| El nombre visible no coincide con la dirección | Es la misma inconsistencia de siempre, y sigue siendo la más rápida de comprobar |
| El asunto usa vocabulario de pago | Microsoft cita como ejemplos «due bill» y «ACH Parment». Lo transcribimos tal cual figura en el informe, falta incluida: no aclara si el error es del atacante o suyo |
| Frases que un jefe no escribiría | El informe señala «no need to copy me» («no hace falta que me copies») como lenguaje sospechoso dentro del hilo simulado |
| El relato se contradice solo | El «CEO» pedía que no lo copiaran en el intercambio, pero en el mensaje más reciente aparece él mismo aprobando y enviando la factura desde su dirección |
Qué no dice el informe
Para que nadie lea de más:
- No dice cuánta plata se llevaron. Publica el importe pedido por correo, no cuántas transferencias se concretaron.
- No nombra al grupo atacante. Habla de «el actor de amenazas», sin alias ni atribución a un país.
- No documenta víctimas en América Latina. El único corte por país que publica es el de Estados Unidos.
- No mide cuánto de la campaña generó una IA. Lo aclara el propio texto, citado más arriba.
- Y se contradice en un punto. Su prosa describe la factura como contenido «reenviado» dentro del cuerpo del mensaje, y hasta dice que el correo invitaba a pedir el PDF aparte; pero su tabla de técnicas la clasifica como «archivo adjunto». Nosotros nos quedamos con la prosa, que es la parte que describe las muestras.
Si además querés cubrir el clic
Antivirus con anti-phishing: qué tapa y qué no
La aclaración honesta primero: ningún antivirus frena una transferencia que autoriza una persona. Este correo no lleva malware, así que el control que lo detiene es el procedimiento de pago, no el escáner. Donde sí sirve una suite es en la capa que Microsoft también recomienda —soluciones anti-phishing que revisen el correo entrante y los sitios visitados—, para el caso de que alguien termine haciendo clic en el dominio calcado. Si ya tenés eso cubierto, no compres nada.
Preguntas que quedan dando vueltas
Si el correo llegó a mi bandeja, ¿ya estoy comprometido?
No. Este ataque no instala nada: su único efecto se produce si alguien hace la transferencia. Recibirlo significa que tu dirección estaba en una lista, nada más. Borralo, avisá al área de pagos y, si tenés Microsoft 365, revisá si el mensaje quedó en cuarentena o si conviene reportarlo.
¿Sirve de algo bloquear el dominio que publicó Microsoft?
Sirve poco y por poco tiempo. Los dominios de la campaña se registraron el 31 de julio y se usaron tres días después, y recién hoy, más de cinco semanas más tarde, se publican como indicadores: para cuando un dato así se hace público, el atacante ya suele estar en el siguiente. Rinde más una regla contra dominios recién registrados que una lista de nombres concretos.
Mi empresa usa Gmail, no Microsoft 365. ¿Esto me deja afuera?
No. El informe describe lo que Microsoft ve desde su propia telemetría y ofrece sus productos como mitigación, pero la campaña se envió desde servicios de correo de terceros y apunta a un área de la empresa, no a una plataforma. Las señales de la tabla y la regla de los dos canales funcionan igual en cualquier casilla; lo que cambia es dónde se configuran los filtros.
¿Es lo mismo que la estafa del falso soporte técnico?
No, y vale distinguirlas porque el mismo equipo de Microsoft documentó las dos con un día de diferencia: la de la passkey el 9 de septiembre y esta el 10. La de la passkey entra por teléfono y busca tu identidad: que le des acceso a tu cuenta. Esta entra por correo y busca tu plata directamente, sin pasar por ninguna credencial.
Fuentes
- Microsoft, «Protecting organizations from AI-assisted executive impersonation and invoice fraud», Microsoft Security Blog, 10 de septiembre de 2026 (en inglés). Fuente primaria de todos los datos de la campaña.
- Microsoft Learn, «Zero-hour auto purge (ZAP) in Microsoft Defender for Office 365» (en inglés). De ahí salen el alcance por plan y el dato de qué viene activado por defecto.
- Microsoft Learn, «Email authentication in cloud organizations», configuración de SPF y configuración de DKIM (en inglés). Son las guías que el propio informe enlaza.
Las páginas citadas están en inglés; las traducciones de este artículo son propias y el enlace lleva siempre al original. Las capturas de las fuentes se conservan junto al artículo.
