Correos de fraude de pago: cómo reconocerlos y qué hacer

Un correo de fraude de pago es un mensaje que intenta que envíes dinero o entregues datos de pago bajo una excusa creíble: una factura que no reconoces, un cargo “sospechoso”, un proveedor que cambió de cuenta bancaria. La defensa más fiable no depende de la ortografía ni del logotipo. Depende de un hábito: ante cualquier petición de dinero o de credenciales, verificas por un canal que tú controlas, nunca por el que trae el propio mensaje.

Esta guía reúne las señales que sí funcionan hoy, los tipos de estafa más frecuentes en Estados Unidos, lo que debes hacer si ya pagaste y cómo reducir el riesgo de que un aviso falso se mezcle con los correos que de verdad importan.

Theneedle

Que los avisos importantes no se pierdan

theNeedle identifica correos con consecuencias importantes, como alertas financieras y plazos, para destacarlos entre el ruido de la bandeja.

Conoce theNeedle

TL;DR

Los bancos y las agencias del gobierno no te piden por correo o mensaje que “verifiques” tus datos o inicies sesión. Llama al número que aparece en tu tarjeta o en su sitio oficial.
Los errores gramaticales ya no son una pista fiable: la inteligencia artificial permite escribir mensajes impecables. Fíjate en la urgencia y en el contexto.
Si alguien te pide cambiar los datos de pago de un proveedor, confirma por teléfono con un contacto que ya conocías.
Si ya pagaste, avisa de inmediato a tu banco o a la empresa de pagos y después denuncia. La rapidez cambia el resultado.
Separar los avisos reales de los falsos es más fácil cuando tu bandeja no está saturada.

Tabla de contenidos

Por qué estos correos funcionan
Los tipos de fraude de pago más comunes por correo
Señales que sí sirven (y una que ya no)
Cómo verificar sin caer en la trampa
Qué hacer si ya hiciste clic o pagaste
Nuestra perspectiva: el fraude se esconde en el ruido
Cómo ordenar tu bandeja para detectar lo que importa
Una ayuda para que lo importante no se pierda
Preguntas frecuentes
Fuentes

Por qué estos correos funcionan

La mayoría de nosotros abrimos el correo con prisa, entre reuniones y notificaciones. Los estafadores lo saben y construyen una historia que obliga a decidir rápido: tu cuenta está bloqueada, hay un cargo pendiente, una factura vence hoy. La FTC describe esos patrones: mensajes que hablan de actividad sospechosa, de un problema con tu información de pago o de una factura que no reconoces, y que te piden hacer clic en un enlace para pagar o confirmar datos.

Las cifras muestran la escala. Según el informe anual 2025 del IC3 del FBI, el phishing y la suplantación generaron 191,561 denuncias, con pérdidas superiores a 215 millones de dólares. El compromiso del correo empresarial (BEC) tuvo menos casos, 24,768, pero pérdidas de más de 3,040 millones de dólares, según el mismo informe.

Esa diferencia importa. El phishing masivo busca volumen. El BEC busca un solo pago grande, y por eso prepara el terreno.

Los tipos de fraude de pago más comunes por correo

Alerta falsa de tu banco o de una tarjeta

El mensaje dice que detectó actividad inusual y te pide “verificar” tu cuenta. La CFPB aclara que las instituciones financieras legítimas no inician contacto por correo o texto para pedirte que confirmes datos de la cuenta o inicies sesión. Si recibes uno, contacta a la entidad con el teléfono del reverso de tu tarjeta o con su sitio oficial, no con los datos del mensaje.

Tenemos una guía aparte sobre qué hacer cuando recibes alertas de seguridad de cuenta, útil para distinguir un aviso legítimo de una imitación.

Factura o solicitud de pago que no esperabas

Un PDF o un enlace con una factura de un servicio que nunca contrataste. La FTC incluye entre las señales de phishing precisamente la factura desconocida y el enlace para pagar. Si tienes dudas, no abras el adjunto: entra por tu cuenta en el sitio del proveedor, o llama, y comprueba si existe esa deuda.

Si trabajas con muchas facturas legítimas, ayuda tener un criterio claro para ordenarlas. Lo explicamos en cómo se gestionan facturas en el correo priorizando por consecuencia.

Cambio de datos bancarios de un proveedor (BEC)

Es la estafa más cara. Alguien se hace pasar por un proveedor, un socio o tu jefe y pide que el próximo pago vaya a otra cuenta. La CISA describe que los atacantes pueden vigilar correos legítimos y calendarios de viaje para elegir el mejor momento, y que a veces crean reglas de reenvío automático en la cuenta de la víctima para interceptar respuestas sin que lo note.

Por eso conviene revisar de vez en cuando las reglas de reenvío de tu correo. Si hay una que no creaste, es una señal seria.

Reembolsos, premios y créditos inesperados

Otra variante promete dinero: un reembolso del gobierno, un premio o un crédito. La FTC advierte que el mensaje sobre un reembolso oficial al que “calificas” es una estafa típica. No todo aviso de dinero a tu favor es falso, pero la regla es la misma: no uses el enlace del correo. Aquí explicamos qué hacer con un correo que anuncia un crédito no reclamado.

Señales que sí sirven (y una que ya no)

Durante años se repitió que los errores de redacción delataban una estafa. La CISA señala que la inteligencia artificial permite hoy crear mensajes con gramática y ortografía perfectas, así que la observación del contexto y de la urgencia pesa más que nunca.

Estas preguntas son más útiles que buscar faltas de ortografía:

¿Esperabas este mensaje? Una factura, un cobro o un cambio de cuenta que nadie te anunció merece una pausa.
¿Te mete prisa? Plazos de horas, amenazas de cierre de cuenta o secreto (“no se lo digas a nadie”) son parte del guion.
¿Te pide credenciales, códigos o datos completos de tarjeta? Un servicio legítimo no los pide por correo.
¿El remitente real coincide? Mira la dirección completa, no solo el nombre que se muestra. Un dominio casi igual al verdadero es una táctica clásica.
¿El saludo es genérico? La FTC lo cuenta entre las señales, aunque ya no basta por sí sola.
¿Te llevan a pagar por un canal inusual? Tarjetas regalo, criptomonedas o transferencias a una cuenta nueva son banderas rojas.

Cómo verificar sin caer en la trampa

La regla general es la verificación por otro canal. La CISA y el FBI recomiendan a las organizaciones usar autenticación “fuera de banda” para peticiones de alto riesgo, como cambiar instrucciones de pago a un proveedor: confirmar por un segundo canal de confianza, por ejemplo una llamada a un representante conocido, y no basarse solo en el mensaje electrónico. Está recogido en la alerta de la CISA sobre BEC.

En la práctica:

Llama a un número que ya tenías guardado o que sacas del sitio oficial. Nunca al que aparece en el correo.
Escribe tú la dirección web en el navegador en lugar de hacer clic en el enlace.
Si es un pago de empresa, exige que otra persona apruebe cualquier cambio de cuenta.
Si el mensaje viene de un jefe o cliente que “no puede hablar”, razón de más para llamar.

Qué hacer si ya hiciste clic o pagaste

El orden importa. La FTC indica que, si le pagaste a un estafador, es posible que el dinero ya no esté, pero siempre vale la pena preguntar a la empresa por la que enviaste el dinero si hay forma de recuperarlo. Esa es la primera llamada.

En la primera hora

Llama a tu banco, a la emisora de la tarjeta o a la empresa de pagos. Explica que fue un fraude y pide que intenten frenar o revertir la operación.
Si diste una contraseña, cámbiala en ese servicio y en cualquier otro donde la repitas. Activa la verificación en dos pasos.
Revisa tu correo en busca de reglas de reenvío o de mensajes enviados que no reconozcas.
Guarda la evidencia: el correo original, los encabezados, los comprobantes de pago.

La rapidez tiene efecto medible. Según el informe del FBI recogido en nuestra investigación, el proceso del IC3 para congelar fondos (el Recovery Asset Team) funciona mejor cuando la denuncia se presenta de inmediato, y en 2025 logró congelar 679 millones de dólares en intentos de robo, con una tasa de éxito del 58%. Puedes consultar el informe anual 2025 del IC3 para ver el contexto completo. Si el fraude fue una transferencia empresarial, pide además a tu banco que contacte al banco receptor.

Plazos que protegen tu dinero

Si los datos de tu tarjeta se vieron comprometidos, los plazos pesan. La CFPB explica que, con una tarjeta de débito perdida o robada, avisar dentro de dos días hábiles tras darte cuenta limita tu responsabilidad; pasado ese plazo, puede superar el tope habitual de 50 dólares. En transferencias electrónicas no autorizadas sin tarjeta perdida, lo esencial es reportar dentro de los 60 días posteriores a la fecha del estado de cuenta. Si tu caso es dudoso, habla con tu banco o con un asesor de consumo sobre tu situación concreta.

Denuncia, aunque la pérdida sea pequeña

Denunciar no devuelve el dinero por sí solo, pero ayuda a otros. ReportFraud.ftc.gov permite informar de una estafa y recibir los siguientes pasos, y la FTC comparte los reportes con sus socios de aplicación de la ley. Si fue un delito en línea, presenta también la denuncia ante el IC3 en ic3.gov. Una guía de dónde denunciar una estafa resume qué agencia corresponde a cada tipo de caso.

Nuestra perspectiva: el fraude se esconde en el ruido

En theNeedle pensamos que el fraude de pago no triunfa solo por ser ingenioso. Triunfa porque llega a una bandeja donde todo parece urgente. Según la investigación que citamos en nuestro trabajo, una persona recibe en promedio 117 correos al día. Con ese volumen, un aviso falso y uno real compiten por la misma atención cansada.

Por eso diseñamos la herramienta alrededor de las consecuencias y no del volumen: plazos, alertas financieras y comunicaciones esenciales. Eso no sustituye tu criterio. Ningún programa debería pedirte que confíes a ciegas, y tampoco nosotros: la verificación por otro canal sigue siendo tuya. Lo que sí puede hacer una bandeja bien ordenada es darte tiempo para pensar antes de actuar, y que lo realmente importante no quede enterrado.

También nos tomamos en serio el acceso: trabajamos con permisos de solo lectura y con revisiones periódicas de esos permisos, y usamos personas en el bucle para reducir errores de clasificación. Si quieres profundizar, tenemos una guía sobre cómo separar spam de correos importantes sin perder un aviso clave.

— Glen

Cómo ordenar tu bandeja para detectar lo que importa

No hace falta una gran reforma. Con tres hábitos reduces el riesgo.

Separa lo que mueve dinero. Facturas, cobros, impuestos y avisos del banco merecen un lugar visible. Nuestra guía sobre plazos fiscales por correo y la de correos que afectan ingresos explican cómo hacerlo.
Convierte la verificación en rutina. Una nota con los teléfonos oficiales de tu banco, tu casero, tus proveedores y tu empleador te ahorra buscar en medio del pánico.
Cuida los avisos con fecha límite. Un correo de cumplimiento o de pago real también tiene consecuencias si lo ignoras. Aquí tienes cómo detectar correos de cumplimiento normativo a tiempo.

Si convives con ADD/ADHD, la carga es mayor: decidir bajo presión con una bandeja caótica es justo el escenario que explotan estas estafas. Reducir las decisiones pequeñas libera atención para las importantes. Más sobre ello en cómo priorizar correos con IA.

Una ayuda para que lo importante no se pierda

theNeedle conecta tus cuentas de Gmail, Outlook, Hotmail, Yahoo e iCloud, entre otras, y destaca los mensajes con consecuencias reales: plazos, alertas financieras y comunicaciones esenciales. Así es más fácil ver primero lo que exige tu atención y detenerte a verificarlo. Puedes probar theNeedle o conocer más en nuestra página principal.

Preguntas frecuentes

¿Qué es un correo de phishing?

Es un mensaje que se hace pasar por una empresa o persona de confianza para que hagas clic en un enlace, abras un adjunto o entregues datos personales o de pago. Según la CISA, el objetivo es conseguir tu información o infectar tu dispositivo. Puede llegar por correo, mensaje de texto o redes sociales.

¿Cómo sé si un correo de mi banco es real?

No te fíes del correo mismo. Si te pide verificar datos o iniciar sesión, contacta al banco con el teléfono del reverso de tu tarjeta o con su sitio oficial. La CFPB indica que las entidades legítimas no inician contacto así para pedir esa información.

¿Puedo recuperar el dinero si pagué?

A veces, pero depende de la rapidez. Llama de inmediato a tu banco o a la empresa de pagos y pregunta si pueden revertir o frenar la operación. Después denuncia en ReportFraud.ftc.gov y, si fue un delito en línea, en ic3.gov. Nadie puede garantizar la recuperación.

¿Dónde denuncio un correo fraudulento?

La mayoría de las estafas se denuncian en ReportFraud.ftc.gov. Para delitos en línea, presenta también la denuncia ante el IC3 del FBI. Aunque la pérdida sea pequeña, el reporte ayuda a detectar patrones.

¿Sigue siendo útil buscar faltas de ortografía?

Ya no es una señal fiable. La CISA advierte que la inteligencia artificial permite redactar mensajes impecables. Concéntrate en si esperabas el mensaje, en la presión de tiempo y en si te piden dinero o credenciales.