Alguien en el área de contabilidad recibe un correo de rutina: una notificación de DocuSign para firmar, o una factura fiscal pendiente de revisión. Nada fuera de lo normal — de hecho, se ve exactamente igual a los que llegan todas las semanas. Lo abre, da clic, y sigue con su día. Lo que no sabe es que acaba de entregar sus credenciales a un grupo que lleva meses enviando ese mismo señuelo, con ese mismo formato, a cientos de empresas mexicanas.
En pocas palabras: los ciberataques están aumentando en México porque los atacantes cambiaron de táctica. Ya no tocan la puerta a la fuerza —eso se detecta fácil—; ahora se disfrazan de factura, notificación legal o currículum, para que alguien adentro les abra la puerta sin darse cuenta.
¿Por qué aumentan los ciberataques en México?
Según el reporte "Ransomware en LATAM – Primer Semestre de 2026" de SCILabs, 52 empresas y entidades mexicanas fueron atacadas con ransomware solo en la primera mitad de 2026, y los incidentes de secuestro y extorsión de datos crecieron 25.5% frente al semestre anterior. México ya ocupa el segundo lugar en América Latina como blanco de este tipo de ataques, representando cerca del 18% de los ataques ofensivos de toda la región. Los sectores más golpeados son servicios (19.66%) y gobierno (11.72%), aunque también hay afectación fuerte en finanzas y manufactura.
¿Cómo son las facturas falsas que están usando para atacar empresas mexicanas?
De acuerdo con Proofpoint, dos grupos identificados como TA2725 y TA4922 han estado atacando específicamente a organizaciones mexicanas. Solo TA2725 envió cerca de 275,000 correos maliciosos en cinco días durante julio de 2026. TA4922 realizó su primer ataque documentado contra México este año. Ambos grupos usan el mismo truco: disfrazar el correo de algo que cualquier empleado de administración o finanzas esperaría recibir —una notificación de firma electrónica (DocuSign), una factura fiscal, un citatorio judicial, un currículum, o una queja de un cliente— para robar credenciales corporativas e instalar acceso remoto no autorizado.
¿Por qué estos ataques son más difíciles de detectar que antes?
El mismo reporte de SCILabs, junto con el Compromise Report 2026 de Lumu Technologies, describe un cambio de estrategia: los atacantes están dejando atrás los ataques "ruidosos" de fuerza bruta —fáciles de notar— y adoptando intrusiones lentas y silenciosas ("low-and-slow"), usando herramientas legítimas, VPNs y programas para robar contraseñas como Lumma Stealer. Para un antivirus tradicional, esto se parece demasiado a actividad normal como para levantar una alerta.
¿Qué puede hacer una pyme para protegerse?
Antes de dar clic en cualquier correo con una factura, una notificación de firma o un citatorio, vale la pena confirmar al remitente por otro canal —una llamada, un mensaje directo— en vez de responder o hacer clic desde el mismo correo. Pero como estos ataques están diseñados justamente para parecer normales, la defensa más efectiva ya no es solo "desconfiar": es tener a alguien —o algo— que note el comportamiento raro después de que alguien hizo clic, no solo antes. Eso es exactamente lo que hace un SOC, algo que ya explicamos a fondo en el artículo "Qué es un SOC/NOC" del sitio.
En KONFIDO Tech monitoreamos ese tipo de comportamiento inusual para pymes en México que no tienen forma de vigilar esto por su cuenta las 24 horas.
Preguntas frecuentes sobre el aumento de ciberataques en México
¿Qué son TA2725 y TA4922?
Son dos grupos de ciberdelincuentes identificados por la firma Proofpoint, que en 2026 atacaron específicamente a empresas y consumidores mexicanos usando correos de phishing disfrazados de documentos empresariales.
¿Cómo reconozco una factura falsa por correo?
Revisa el dominio real del remitente (no solo el nombre que aparece), desconfía de cualquier urgencia inusual, y confirma la factura por un canal distinto al correo antes de abrir un archivo adjunto o dar clic en un enlace.
¿Por qué mi antivirus no detecta este tipo de ataque?
Porque los atacantes ahora usan herramientas legítimas, VPNs y técnicas lentas y silenciosas que se parecen a actividad normal, en vez de los ataques ruidosos que un antivirus tradicional está diseñado para detectar.
¿Qué hago si ya hice clic en un correo sospechoso?
Cambia de inmediato las contraseñas de las cuentas que pudieron verse afectadas desde otro dispositivo, avisa a tu equipo de TI o proveedor de monitoreo, y revisa si hubo accesos o cambios inusuales en tus sistemas en las horas siguientes.