¿Recibiste una factura en PDF por correo? Alertan por nueva estafa que puede robar tu dinero

Recibir una factura electrónica por correo se ha convertido en una actividad cotidiana para millones de personas en México, pero esa confianza está siendo aprovechada por ciberdelincuentes. Especialistas en ciberseguridad han advertido sobre campañas que utilizan supuestos comprobantes fiscales, facturas o avisos de cobro para provocar que las víctimas abran documentos, ingresen a enlaces fraudulentos o descarguen programas maliciosos capaces de comprometer información almacenada en sus dispositivos.

El riesgo adquiere mayor relevancia debido a que los mensajes pueden aparentar provenir de una empresa conocida e incluso presentar información que genere confianza en la víctima. El objetivo es utilizar una acción habitual —revisar una factura— como puerta de entrada hacia sitios falsos, robo de credenciales o instalación de malware. ESET ha documentado que los PDF son uno de los formatos utilizados en campañas de phishing y distribución de software malicioso en América Latina.

¿Cómo funciona la estafa de las falsas facturas?

El engaño generalmente comienza con la llegada de un correo electrónico inesperado que presenta una supuesta factura, comprobante fiscal, cobro duplicado o aviso de un servicio que la persona no recuerda haber contratado. Precisamente esa sorpresa puede llevar al destinatario a querer comprobar rápidamente de qué se trata y abrir el documento o utilizar alguno de los enlaces incluidos.

Los ciberdelincuentes pueden emplear documentos PDF como una etapa intermedia del ataque. ESET ha identificado campañas en las que el archivo conduce mediante un enlace hacia otro sitio, desde donde se intenta convencer al usuario de realizar una descarga que finalmente ejecuta software malicioso. Por ello, no todos los ataques funcionan de la misma manera ni abrir cualquier PDF significa automáticamente que un dispositivo quedará infectado, pero un archivo inesperado debe tratarse con precaución.

Dependiendo de la campaña, el objetivo final puede ser obtener usuarios, contraseñas, datos personales o credenciales financieras, además de instalar programas capaces de facilitar ataques posteriores. Por esta razón, CONDUSEF recomienda no abrir enlaces ni descargar archivos adjuntos cuando el correo resulte sospechoso, así como evitar proporcionar información personal o bancaria.

Phishing y malware, entre las amenazas detectadas en México

La magnitud del problema puede observarse en los datos de ciberseguridad correspondientes al primer semestre de 2026. De acuerdo con información basada en la telemetría de ESET, el phishing y la ingeniería social representaron 20.53% de los eventos detectados en México, mientras que los downloaders maliciosos alcanzaron 19.99%. En conjunto, ambas categorías concentraron aproximadamente cuatro de cada 10 alertas procesadas por la compañía.

Estas cifras corresponden a las detecciones analizadas por ESET y no representan la totalidad de los delitos cibernéticos cometidos en México ni significan que ese porcentaje de usuarios haya sido víctima de fraude. Sin embargo, sirven para dimensionar la frecuencia con la que siguen apareciendo técnicas basadas en engañar al usuario para que realice voluntariamente una acción peligrosa.

Una factura falsa resulta especialmente efectiva como señuelo porque genera urgencia. Si una persona observa un cargo que no reconoce, es probable que quiera saber inmediatamente quién lo realizó, cuánto deberá pagar o por qué recibió el comprobante, y esa reacción es precisamente la que los responsables intentan aprovechar.

¿Cómo saber si una factura que recibiste es verdadera?

Si llega a tu correo electrónico una factura que no recuerdas haber solicitado, la opción más segura no es comenzar por abrir el archivo adjunto. El SAT cuenta con herramientas oficiales que permiten verificar los comprobantes fiscales y comprobar si fueron certificados.

El servicio de Verificación de Comprobantes Fiscales Digitales por Internet permite realizar la consulta utilizando datos como el folio fiscal, RFC del emisor y RFC del receptor. De esta forma, el contribuyente puede verificar directamente ante la autoridad tributaria si el CFDI fue certificado.

También existe el servicio de Consulta y recuperación de comprobantes, mediante el cual personas físicas y morales pueden consultar y descargar las facturas que han emitido o recibido. Para ingresar se requiere autenticación con contraseña o e.firma.

¿Cómo consultar las facturas recibidas en el SAT?

En lugar de confiar en el vínculo incluido dentro de un correo sospechoso, lo recomendable es entrar directamente al portal oficial del SAT, buscar el apartado correspondiente a factura electrónica y utilizar las herramientas de consulta disponibles.

Una vez autenticado con los mecanismos oficiales, el contribuyente puede revisar los comprobantes recibidos y buscar la operación correspondiente. El SAT señala que su servicio permite recuperar facturas y consultar información como folio fiscal, RFC y nombre del emisor y receptor, fecha de emisión, total y estado del comprobante, entre otros datos.

El SAT también ofrece una herramienta específica para verificar individualmente los CFDI. Esta alternativa permite comprobar si un supuesto comprobante realmente fue certificado, sin depender del documento o enlace que llegó mediante un correo electrónico.

¿Qué hacer si aparece una factura que no reconoces?

Aquí existe otra diferencia importante: que una factura aparezca en los sistemas del SAT no significa necesariamente que reconozcas la operación que contiene. El propio organismo dispone de un servicio de conciliación para casos relacionados con facturas no reconocidas, omisiones, cancelaciones u otros problemas de facturación.

Por ello, si encuentras un CFDI registrado a tu nombre que no corresponde a una operación que hayas realizado, conviene utilizar los mecanismos oficiales disponibles para revisar y, en su caso, reportar la situación.

El SAT también mantiene canales para denunciar irregularidades relacionadas con la facturación, incluido el correo denuncias@sat.gob.mx.

¿Cómo detectar un correo sospechoso?

Existen diferentes señales que pueden encender las alertas. Entre ellas están recibir una factura que nunca solicitaste, encontrar un remitente desconocido, enlaces con direcciones extrañas, archivos adjuntos inesperados o solicitudes para proporcionar información personal o financiera.

CONDUSEF ha recomendado expresamente desconfiar de correos que soliciten datos mediante sitios externos y evitar abrir ligas o archivos adjuntos cuando existan dudas sobre su procedencia. La recomendación es comprobar la información directamente mediante los canales oficiales de la institución involucrada.

Otro punto importante es no dejarse llevar únicamente por la apariencia. Que un correo incluya logotipos, nombres institucionales o elementos visuales conocidos no garantiza que haya sido enviado realmente por esa empresa o dependencia.