El correo falso ya no tiene faltas de ortografía. Tiene tus instrucciones de cierre
TL;DR
- El 22 de septiembre Microsoft tumbó EvilTokens, un servicio que entraba a buzones de correo reales y usaba IA para buscar dentro las conversaciones de pagos. Bienes raíces está entre los sectores que Microsoft nombra.
- Cuando el correo sale de la cuenta verdadera de la compañía de título o del prestamista, mirar el remitente no sirve de nada: el remitente es el de verdad.
- En un cierre hay muchas partes, una fecha fija y una transferencia grande que sale una sola vez. Es el lugar donde un cambio de cuenta por correo hace más daño.
- Puedes proteger tu buzón. El de las otras partes del cierre no depende de ti.
- La regla: si un correo cambia a dónde va el dinero, se confirma por un camino que ya tenías antes de ese correo. Sin confirmación, no hay transferencia, y tampoco hay excepción para "el de siempre".
- Lo que vas a hacer hoy: nombrar a la persona que hace esa llamada y dejar anotado, en cada cierre abierto, el número al que se llama.
La respuesta corta. El fraude de transferencia en un cierre inmobiliario ocurre cuando alguien le manda al comprador, al agente o a la compañía de título instrucciones de pago cambiadas, para que el dinero llegue a otra cuenta. Lo nuevo es que el correo puede salir de la cuenta real de una de las partes. La defensa no está en leer mejor el mensaje: está en confirmar cualquier cambio de cuenta llamando a un número que ya tenías.
Antes que nada, lo que esta página no dice. No dice que tengas que dejar de usar el correo para cerrar, ni que tu oficina necesite contratar una empresa de seguridad. Nosotros tampoco somos una: lo que viene es un hábito de oficina, y cuesta una llamada.
El lunes contamos cómo entraba EvilTokens: con un código que la víctima escribía en la página legítima de Microsoft. Hoy toca lo que pasa después, cuando la cuenta ya cayó y el que escribe desde dentro ya no es su dueño.
1. El correo sale de la cuenta verdadera, y la IA ya leyó el hilo
Microsoft anunció el 22 de septiembre que, con el permiso de un tribunal federal del Distrito Este de Virginia, desactivó la infraestructura de EvilTokens: 50 sitios incautados y más de 150 dominios dados de baja. Según la empresa, el servicio aparece vinculado a más de 12.000 buzones comprometidos, repartidos entre más de 10.000 organizaciones. Entre los sectores que nombra están la construcción, los servicios financieros y bienes raíces.
Lo que importa para una oficina inmobiliaria es lo que hacía el servicio una vez dentro. Según Microsoft, citada por Axios, un asistente de IA revisaba el buzón para encontrar las conversaciones sobre pagos, averiguar quién mueve el dinero, en quién confía y a quién conviene suplantar. The Hacker News añade que traía instrucciones ya preparadas para buscar conversaciones de transferencias y facturas de proveedores. Después, desde esa misma cuenta, se escribía a los contactos de la víctima, dentro y fuera de su empresa.
Revisar el remitente ya no protege cuando el remitente es el verdadero
Piénsalo con un expediente concreto. El correo llega en el mismo hilo donde la compañía de título mandó la semana pasada el borrador de la hoja de cierre, con la misma firma y el mismo tono. Si quien lo escribe leyó ese hilo, puede nombrar la propiedad y la fecha de cierre sin equivocarse: según Axios, el servicio usaba lo que encontraba en el buzón para que el engaño convenciera más. Por mucho que leas ese correo, no tiene nada raro que encontrar.
2. Un cierre es el lugar donde un cambio de cuenta hace más daño
Piensa en cuánta gente escribe en el hilo de un solo cierre: los dos agentes, la compañía de título, el prestamista, a veces un abogado, el comprador y el vendedor. Todos mandan documentos por correo, todos tienen prisa y todos esperan una transferencia grande en una fecha que no se mueve.
El FBI lo usa como ejemplo en su propia página sobre este tipo de fraude: un comprador recibe un mensaje de su compañía de título con instrucciones para transferir el pago inicial, y el mensaje es falso. Y en un aviso de 2018, su centro de denuncias por internet (IC3) ya decía que las denuncias llegan de todas las partes de una compraventa: compañías de título, despachos, agentes, compradores y vendedores. La mayoría describía lo mismo: un correo que pide cambiar el tipo de pago o la cuenta de destino.
La prisa del cierre la aprovecha quien escribe el correo falso
Nadie quiere ser el que retrasa un cierre. Por eso la frase más peligrosa del oficio es "necesitamos el dinero hoy, la cuenta cambió". El FBI lo dice sin rodeos: hay que desconfiar más cuando quien pide te apura.
3. Puedes proteger tu buzón. El de la compañía de título no depende de ti
En julio publicamos los cinco movimientos para blindar una oficina, y su guía de blindaje sigue valiendo entera: doble factor en el correo y la banca, el dominio bien configurado, quién tiene acceso a qué. Hazla si no la has hecho. Cierra tu puerta.
Pero esa guía protege tu cuenta. En un cierre, la cuenta que cae puede ser la de cualquiera de las otras partes, y esa no la configuras tú. Una oficina puede tener todo en orden y aun así recibir, de la compañía de título de siempre, un correo escrito por otro.
Lo que sí depende de ti es qué haces con un correo que pide mover dinero
Esa decisión cabe en una frase: en tu oficina, ningún correo, por verdadero que parezca, alcanza para cambiar a dónde va el dinero.
4. Es la misma regla del miércoles, ahora con dinero
Ayer, en la pieza sobre el asistente que llama por tu cliente, la cita pedida por una máquina quedaba pendiente hasta que el cliente la confirmara desde su propio teléfono. Hoy la regla es la misma, más estricta porque lo que está en juego es una transferencia: aquí solo vale un número que ya tenías.
Si un correo cambia a dónde va el dinero, se confirma por un camino que ya tenías antes de ese correo. Sin confirmación, no hay transferencia.
La idea no es nuestra, y es mejor así. El IC3 ya la pedía en 2018 para las compraventas: tener "un segundo medio de comunicación" para verificar. Y la página del FBI pide que busques el teléfono por tu cuenta, sin usar el que trae el mensaje. Lo que ponemos nosotros es el orden y la costumbre.
"Un camino que ya tenías" quiere decir el teléfono anotado en el contrato, en el expediente o en tu agenda desde antes. El de la firma del correo no sirve, porque el mismo correo pudo haberlo cambiado, y el de un enlace tampoco. Y la llamada la haces tú: una llamada que te entra diciendo "sí, es correcto" no confirma nada, porque en aquel aviso de 2018 el IC3 ya contaba que quien arma el fraude también llama para "confirmar".
El proveedor de siempre es justo la cuenta que van a usar
La excepción que todos quieren hacer es "pero es la compañía de título con la que trabajamos hace años". Esa es exactamente la cuenta que una máquina elegiría, porque lo que buscaba al leer el buzón era en quién confías. Una regla que exime al de siempre protege contra el desconocido, que es el que casi nunca escribe.
5. El segundo camino: cuatro preguntas antes de mandar un dólar
En la mayoría de los cierres, la transferencia grande no sale de tu oficina: la manda tu comprador, a la cuenta que le indica la compañía de título. Por eso a tu oficina la regla le sirve en tres momentos: cuando le reenvías o le explicas instrucciones de pago a un cliente, cuando tu oficina manda o guarda un depósito, y cuando alguien le pide a la compañía de título que cambie la cuenta donde se paga tu comisión. En todo lo demás le sirve a tu cliente, si la escucha a tiempo: eso es el paso 3 de abajo. Cada pregunta se contesta con sí o no, y cada no tiene su arreglo inmediato.
1. ¿Este correo cambia a dónde va el dinero? Cuenta nueva, "actualizamos nuestros datos de pago", instrucciones de transferencia distintas a las que ya tenías, o un pago que era por cheque y ahora "tiene que ser por transferencia", que el IC3 menciona como señal. Arreglo: si la respuesta es sí, el correo se marca y hoy no se paga nada desde él. Contestar el mismo correo para preguntar no cuenta como confirmar.
2. ¿Tienes el número de esa persona o empresa desde antes de este correo? En el contrato, en el expediente, en tu agenda, en la primera reunión. Arreglo: si no lo tienes, lo sacas tú de un documento anterior o de la página oficial de la empresa escrita a mano en el navegador. Nunca de la firma ni de un enlace del correo.
3. ¿Llamaste tú, a ese número, y alguien que ya conoces confirmó el cambio? Arreglo: si la confirmación llegó en una llamada que te entró, o por respuesta al mismo hilo, cuelga y marca tú.
4. ¿Quedó escrito quién confirmó, a qué número y a qué hora? Arreglo: una línea en el expediente. Si mañana alguien pregunta, la respuesta no depende de la memoria de nadie.
Ninguna de las cuatro se salta porque sea el de siempre, ni porque el cierre sea hoy.
Y vale también para nosotros. Si algún día te llega un correo de Hub365 AI diciendo que cambiamos la cuenta donde se nos paga, aplícanos las cuatro, y preferimos que lo hagas.
La conversación de la llamada incómoda
Naty: Bienes raíces es uno de los negocios que he tenido, y esta es la llamada que todo el mundo deja para después. Llamar a la compañía de título de siempre para preguntar "¿esto lo mandaron ustedes?" da vergüenza. Se siente como decirle que ya no confías en ella.
Todd: Piensa en cómo le llega esa llamada a la compañía de título. Si su cuenta cayó, muchas veces ellos no se han dado cuenta, porque quien entra puede esconder los correos que manda desde ahí. Tu llamada puede ser la forma en que se enteran ese mismo día.
Naty: Entonces lo que haces es avisar. Les dices: "Me llegó esto a nombre de ustedes y quería que lo supieran". Esa llamada no ofende a nadie. Se agradece.
Todd: Y la cuenta sale sola: la llamada es corta, y una transferencia que ya salió muchas veces no se recupera. En treinta años gestionando proyectos aprendí a poner al lado lo que cuesta un control y lo que cuesta saltárselo. Este es de los más baratos que hay.
Lo que vas a hacer hoy
Una sola cosa: dejar escrito quién llama y a qué número, en cada cierre que tienes abierto. Quince minutos.
- Nombra a una persona de la oficina que hace la llamada de confirmación cada vez que un correo toque el pago. Si esa persona no está, el pago espera, y ese mismo día se avisa a las partes del cierre por qué.
- En cada cierre abierto, anota hoy el teléfono de la compañía de título, del prestamista y del cliente, sacado del contrato o del expediente, no de un correo. Una hoja o el campo del CRM, pero en un solo lugar.
- Escribe la regla en una línea y dísela a cada cliente al abrir el expediente: "Si te llega un correo que cambia a dónde mandar el dinero, venga de quien venga, aunque sea de la compañía de título, no mandes nada. Llámanos primero a este número."
Preguntas frecuentes
¿Qué hago si ya mandé una transferencia y creo que la cuenta era falsa? Llama de inmediato a tu banco y pide que intente recuperar la transferencia: en la parte sobre compraventas de su aviso de 2018, el IC3 del FBI insiste en que el tiempo es lo que más pesa. Después, denúncialo al FBI y en ic3.gov. Esto no es asesoría legal; con qué obligaciones queda tu oficina frente a las partes del cierre lo confirma tu abogado.
¿Puedo confirmar por mensaje de texto en vez de llamar? El aparato importa menos que el camino: un número que ya tenías antes del correo, y la conversación la empiezas tú. Aun así, una llamada en la que oyes a alguien que ya conoces confirma más que un texto. Y un mensaje que te llega pidiendo que "confirmes" no vale, venga por donde venga.
¿Y si el número de la firma coincide con el que tengo guardado? Entonces llama al que tienes guardado, que es el mismo, y la regla se cumplió. Lo que no vale es usar el de la firma porque parece correcto: el correo pudo haberlo cambiado.
¿Esto es un servicio que ustedes venden? No. No somos una empresa de ciberseguridad, y esta regla se acuerda en la oficina y se cumple, sin comprar nada. Si tu oficina necesita una revisión técnica del correo o de los sistemas, eso es trabajo de un especialista.
¿Y si mi negocio no es inmobiliario? También te sirve. Aplica a cualquier negocio que pague a proveedores o reciba pagos por transferencia: contadores, constructoras, distribuidores, despachos. Los ejemplos de hoy son de cierres porque ahí una sola transferencia pesa más y porque Microsoft nombra al sector entre los afectados.
Para cerrar
Lo que le deja la semana a una oficina inmobiliaria cabe en una hoja: el nombre de quien llama y, al lado de cada cierre abierto, los números que ya tenías antes de que llegara cualquier correo.
Lo demás es costumbre. Se le dice al cliente el primer día, se llama cada vez que un correo toca el dinero y queda una línea en el expediente.
El correo falso bien escrito puede llegar mañana. En tu oficina, solo, ya no mueve un dólar.
¿Quieres revisar con nosotros cómo se confirman hoy los pagos en tu oficina? Una llamada de 30 minutos, gratis y sin compromiso.
Y si quieres una cosa práctica de IA a la semana, sin humo: suscríbete a The AI Edge.
Y gracias por leer hasta aquí. Si hoy anotas un solo número en un solo expediente, ese cierre ya está más protegido que ayer.
Sigue leyendo
- Tu próximo cliente no va a llamar. Va a mandar a su asistente - la pieza del miércoles, con la misma regla aplicada a las citas
- El correo y la llamada ya no prueban quién es - el resumen del lunes, con cómo entraba EvilTokens
- Hackear tu negocio ya cuesta $50 y lo hace una máquina - los cinco movimientos para blindar tu propia oficina
- Apagar ese botón no borra lo que ya escribiste - qué datos de clientes no se pegan en una IA
- Business Email Compromise, FBI - la página del FBI sobre este fraude, con cómo confirmar un cambio de cuenta, en inglés
Fuentes
- Microsoft disrupts AI-powered cybercrime service, Axios, Sam Sabin, 22 de septiembre de 2026 - https://www.axios.com/2026/09/22/microsoft-eviltokens-court-takedown
- Microsoft Takes Down EvilTokens Device-Code Phishing Service Tied to 12,000 Inbox Compromises, The Hacker News, Ravie Lakshmanan, 22 de septiembre de 2026 - https://thehackernews.com/2026/09/microsoft-takes-down-eviltokens-device.html
- Disrupting EvilTokens: the AI chatbot built for cybercrime, Microsoft, 22 de septiembre de 2026 - https://blogs.microsoft.com/on-the-issues/2026/09/22/disrupting-eviltokens-the-ai-chatbot-built-for-cybercrime/
- Business Email Compromise, FBI, página actualizada el 8 de abril de 2026 - https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/business-email-compromise
- Business E-mail Compromise: The 12 Billion Dollar Scam, FBI IC3, aviso I-071218-PSA, 12 de julio de 2018 - https://www.ic3.gov/PSA/2018/PSA180712
