Entra la temporada más alta de ventas. También la de que alguien venda en tu nombre.

El Buen Fin va del 13 al 17 de noviembre. Doce días después llega el Black Friday, y detrás el Cyber Monday y la temporada navideña. Son las semanas en que más correos comerciales salen, en que más gente compra de prisa, y en que una promoción rara se ve perfectamente normal.

También son las semanas en que resulta más rentable hacerse pasar por un negocio conocido. Y eso, a diferencia de lo que mucha gente imagina, no requiere entrar a los sistemas de nadie.

Suplantar un negocio no es hackearlo

Hay una confusión que vale la pena deshacer, porque cambia qué se debe revisar.

Cuando alguien manda un correo haciéndose pasar por tu empresa, no entró a tu correo, no robó tu contraseña y no tocó tus sistemas. El correo electrónico nunca comprobó quién lo manda: se diseñó en los años setenta entre universidades que se conocían entre sí, y el remitente quedó como lo que sigue siendo hoy, un dato que declara quien envía, no algo que alguien verifique.

Por eso la defensa tampoco está adentro. Está en una configuración pública de tu dominio que le dice al servidor de quien recibe: si este correo no viene de donde debe venir, recházalo.

Lo mismo aplica a una tienda en línea falsa que copia tu nombre y tu logotipo, o a un perfil en redes que se presenta como tu servicio al cliente. Nadie entró a nada. Usaron lo que está a la vista de todos.

Está pasando ahora, y hay registro oficial

Entre el 23 de octubre y el 3 de noviembre de 2026, la Condusef publicó cuatro comunicados de alerta por suplantación de identidad, todos con el mismo patrón: personas usando sin autorización el nombre comercial, la denominación y el logotipo de una institución real para captar clientes.

En uno de los casos, el de un grupo financiero, el método descrito empieza con publicidad en redes sociales que promueve cursos falsos y continúa en grupos de WhatsApp creados a nombre de la institución.

Conviene ser precisos: esas alertas son de instituciones financieras, no de comercios, y no son del Buen Fin. Lo que muestran es que el mecanismo está activo y que las autoridades lo están documentando con nombre y fecha. El nombre y el logotipo de una empresa real son la herramienta, y eso no distingue entre un banco y una tienda.

Qué tan expuestos estamos, medido

En lugar de estimarlo, lo medimos dos veces.

En México, revisamos los registros públicos de 713 hoteles independientes y 35 cadenas. El 88.5% de los independientes está expuesto a que alguien escriba en su nombre; entre las cadenas, el 37.1%.

En El Salvador, repetimos el método con 118 empresas turísticas y 16 cadenas globales. El 90.7% de las empresas salvadoreñas está expuesto; entre las cadenas, el 25%.

Dos países, dos sectores, el mismo resultado: alrededor de nueve de cada diez negocios independientes no pueden impedir que alguien mande correos en su nombre, y las cadenas, medidas con la misma vara, sí pueden.

La diferencia no es presupuesto. Las tres piezas que cierran el problema son texto en el DNS y no cuestan dinero.

Y hay un hallazgo que se repitió en las dos mediciones y que conviene conocer: alrededor de un tercio de los negocios sí publicó la protección, pero en modo observación, donde no bloquea nada. En una revisión rápida aparece como resuelto. En la práctica está tan abierto como quien nunca hizo nada.

El costo que nadie conecta con esto

Hay una segunda consecuencia, y ésta pega en ventas, no en seguridad.

Desde febrero de 2024, Google y Yahoo exigen autenticación a quien les manda correo. Su documentación es explícita: los mensajes que no se autentiquen pueden marcarse como spam o rechazarse.

Piensa en lo que eso significa justo en estas semanas. Un negocio manda confirmaciones de compra, avisos de envío, facturas y promociones de temporada. Si su dominio no está autenticado, una parte de esos correos no llega a la bandeja de entrada, y nadie se entera, porque un correo que cae en spam no rebota ni avisa.

La misma configuración que impide que alguien escriba en tu nombre es la que hace que tus propios correos lleguen. Una sola tarea, dos razones, y la segunda se mide en ventas.

Qué revisar antes del viernes 13

Cuatro cosas, en orden. Ninguna requiere comprar nada.

Por dónde empezar si no sabes nada de esto

Si al leer lo anterior te diste cuenta de que no sabes en qué estado está tu dominio, puedes verlo tú en unos minutos y sin costo.

Haz el vistazo gratuito de Ciber-Scan: revisa registros públicos de tu dominio y te dice si alguien puede mandar correos haciéndose pasar por tu negocio. No pide acceso a tus sistemas, porque no lo necesita: mira lo mismo que vería cualquiera desde afuera.

Y si quieres el detalle técnico de cómo se arregla, paso a paso, está aquí: Cómo impedir que alguien escriba correos en nombre de tu negocio.

Una última cosa sobre las cifras de esta temporada

Vas a ver circular números grandes sobre cuánto crece el fraude en el Buen Fin. Los buscamos en Profeco y en la Condusef y no encontramos una cifra oficial. Las que circulan vienen de consultoras privadas, suelen ser de ediciones anteriores, y rara vez explican qué están contando.

No hace falta una cifra alarmante para justificar una tarea que toma una tarde y no cuesta nada. Y entrar a la temporada alta sabiendo que tus correos llegan y que nadie puede escribir en tu nombre vale por sí solo, con número o sin él.