Fraude por SMS y correo en México: BBVA, SAT, paquetería y facturas falsas
Si un SMS o correo dice que tu cuenta será bloqueada, que tienes un adeudo urgente, que debes descargar una factura, que ganaste una rifa o que falta pagar una entrega por link, trátalo como sospechoso.
No abras el link. No descargues archivos. No respondas.
Entra directo a la app del banco, al portal del SAT o al sitio de la paquetería escribiendo tú la dirección.
¿Una factura falsa puede traer mis datos reales?
Sí.
Que un correo tenga tu nombre, RFC, razón social, dirección, monto aproximado o datos de una compra no lo vuelve seguro.
Esa información puede venir de filtraciones, correos comprometidos, proveedores vulnerados, bases comerciales, facturas anteriores o información pública. En México, los CFDI incluyen datos del emisor y receptor. Por eso una factura falsa con datos reales se siente creíble. No porque sea real, sino porque usa datos que sí podrían existir en una factura real.
La regla práctica:
Si el correo te presiona a abrir un ZIP, descargar un XML desde un dominio raro, pagar una diferencia o entrar por un link, revisa desde el portal oficial o con el proveedor por otro canal.
El truco no es solo "la factura". El truco es que la factura trae suficiente verdad para que bajes la guardia.
Tabla rápida de señales
| Mensaje | Lo que no cuadra | Qué hacer |
|---|---|---|
| "BBVA: cargo no reconocido de $9,800" | Te manda a un link o número del propio SMS | Abre la app del banco directamente |
| "SAT: irregularidades en su situación fiscal" | Mete prisa y pide entrar por un enlace | Entra al Buzón Tributario o consulta al contador |
| "Factura pendiente de pago, descargar XML" | El dominio o adjunto no coincide con el proveedor | Verifica con el proveedor por otro canal |
| "Tu paquete está retenido" | Pide un pago pequeño para liberar entrega | Revisa con número de guía en el sitio oficial |
| "Ganaste una rifa, paga liberación" | Te pide tarjeta para recibir un premio | No compartas tarjeta ni código |
Mensaje falso de banco
Ejemplos hipotéticos:
"Cargo no reconocido"
"BBVA: Se realizó un cargo no reconocido de $9,800. Si no lo reconoce, verifique aquí."
Abre la app del banco. Si el cargo existe, aparecerá ahí. Si no aparece, el SMS no manda.
"Token suspendido"
"Santander: su token será suspendido. Actualice sus datos."
Un banco no necesita que entregues NIP, contraseña, CVV o código por un link de SMS.
Mensaje o correo falso del SAT
Ejemplos hipotéticos:
"Estimado contribuyente, hemos detectado irregularidades en su situación fiscal."
"Tiene una devolución disponible. Confirme sus datos bancarios."
"Su RFC será suspendido por falta de actualización."
Señales:
- Amenaza con consecuencias inmediatas.
- Pide pago por link.
- Pide datos bancarios.
- Incluye adjuntos inesperados.
- Usa dominios parecidos a
sat.gob.mx, pero no iguales.
Entra al SAT escribiendo la dirección oficial tú mismo. Si tienes contador, verifica por el canal que ya usas con esa persona.
Facturas falsas por correo
Este es el punto que suele confundir a la gente.
Una factura falsa puede parecer real porque:
- El asunto dice "Factura", "CFDI", "XML" o "Complemento de pago".
- El correo trae el nombre de una empresa conocida.
- El archivo se llama como si fuera contabilidad real.
- El monto se parece a algo que sí pagaste.
- El remitente parece un proveedor.
Pero puede ser un intento de robar contraseña, instalar malware, cambiar la cuenta de pago, hacer que pagues una factura alterada o confirmar que tu correo está activo.
Qué hacer:
No abras ZIP ni ejecutables. Si es XML o PDF inesperado, verifica con el proveedor por otro canal. Para temas fiscales, entra al SAT directamente.
Paquetería falsa
Ejemplos:
"Su paquete está en espera por datos incompletos."
"Falta pago de aduana. Liquide hoy."
"No pudimos entregar. Confirme dirección."
Estos mensajes funcionan porque muchas veces sí estás esperando algo.
Usa el número de guía que tú ya tenías. No el link del SMS.
En Ciudad de México, autoridades y medios han reportado fraudes de "paquetería fantasma": mensajes o llamadas que se hacen pasar por Amazon, DHL u otras empresas y piden pagos, códigos o datos para liberar un supuesto paquete. El detalle importante es el canal. Si el contacto llega por SMS, WhatsApp, Facebook, llamada o correo inesperado, verifica fuera de ese mensaje.
Qué hacer si ya diste datos
- Llama al banco desde el número oficial.
- Bloquea la tarjeta si compartiste datos.
- Cambia contraseñas.
- Revisa movimientos.
- Si descargaste un archivo, desconecta y revisa el dispositivo.
- Guarda evidencia.
- Busca orientación con tu banco, CONDUSEF o la policía cibernética local.
Preguntas frecuentes
¿Todos los correos con factura son peligrosos?
No. Muchas facturas reales llegan por correo. El problema es el correo inesperado, el adjunto raro, el dominio extraño o la presión para pagar o entrar por un link.
¿Si trae mi RFC es real?
No necesariamente. El RFC y otros datos pueden aparecer en documentos legítimos, bases filtradas o correos anteriores.
¿El SAT manda links por SMS?
Un mensaje que amenaza, mete prisa o pide pago inmediato por SMS debe tratarse como sospechoso. Entra al portal oficial escribiendo la dirección tú mismo.
¿Debo responder BAJA o STOP?
No si parece fraude. Responder puede confirmar que tu número está activo.
Fuentes
- SAT, portal oficial: https://www.sat.gob.mx/
- CONDUSEF, portal oficial: https://www.condusef.gob.mx/
- El País México, fraudes financieros y reclamos bancarios: https://elpais.com/mexico/economia/2026-06-24/el-fraude-financiero-en-mexico-evoluciona-crecen-18-los-reclamos-de-usuarios-bancarios.html
- El País México, fraudes cibernéticos y phishing en México: https://elpais.com/mexico/2025-07-23/mas-de-13-millones-de-victimas-por-fraudes-ciberneticos-en-mexico.html
- CFDI reference overview: https://es.wikipedia.org/wiki/CFDI
- Security Engine local research:
scam_research_MX.json