Un viejo conocido del fraude digital volvió a aparecer en titulares regionales: Mekotio, un troyano bancario que usa correos aparentemente administrativos para robar credenciales y mover dinero. Para las empresas colombianas, la lección es directa: la ciberseguridad no falla solo por malware sofisticado, también falla por una factura falsa que alguien abre en una mañana ocupada.
Resumen rápido
- Mekotio se distribuye con correos que simulan facturas, comprobantes o documentos “importantes”.
- El Tiempo reportó una campaña activa en Latinoamérica que habría engañado a unas 40 empresas y derivado en pérdidas millonarias.
- La defensa pasa por controles técnicos, pero también por hábitos: verificación de remitentes, doble validación de pagos y entrenamiento realista.
Mekotio no es una novedad de laboratorio. Es una familia de troyanos bancarios que lleva años circulando en América Latina y que ha sobrevivido porque entiende muy bien una debilidad cotidiana: los procesos financieros de empresas pequeñas y medianas suelen depender de correos, adjuntos, urgencias y confianza operativa. Según reportó El Tiempo, una campaña reciente usó mensajes que aparentaban contener facturas pendientes, comprobantes de pago o documentos administrativos. El gancho no suena extravagante; por eso funciona.
El punto relevante para Colombia no es solo que exista malware activo en la región. Es que muchas organizaciones están acelerando pagos digitales, banca en línea, software contable en la nube y atención por canales remotos sin fortalecer al mismo ritmo sus rutinas de verificación. Una pyme puede tener buen producto, ventas sanas y equipo comprometido, pero quedar expuesta si el flujo de aprobación de pagos depende de una sola bandeja de entrada y de un clic confiado.
Los troyanos bancarios como Mekotio suelen buscar credenciales, sesiones o información que permita tomar control de operaciones financieras. En la práctica, el ataque empieza antes del software malicioso: comienza con ingeniería social. Un asunto que dice “importante”, una factura que parece normal, un archivo comprimido, una supuesta notificación judicial o un comprobante que coincide con la rutina del área administrativa. Si la víctima ejecuta el archivo o habilita el contenido equivocado, el atacante gana terreno.
ESET, que ha seguido la actividad de Mekotio en la región, lo describe como un troyano bancario conocido que continúa activo en América Latina. Ese detalle importa porque baja la ansiedad del “ataque nuevo e imposible de detectar” y sube la responsabilidad sobre lo básico: parches al día, antivirus o EDR bien configurado, bloqueo de adjuntos peligrosos, autenticación multifactor y políticas claras para validar transacciones. No es glamuroso, pero funciona más que una charla anual de seguridad que nadie recuerda.
Para las empresas colombianas, el riesgo se concentra en tres frentes. El primero es financiero: transferencias no autorizadas, robo de accesos bancarios o cambios fraudulentos de cuentas de proveedores. El segundo es operativo: equipos detenidos, investigación interna y pérdida de confianza entre clientes y aliados. El tercero es reputacional: explicar una filtración o una estafa a socios comerciales puede costar más que recuperar un computador.
La respuesta no debería ser prohibir todo ni convertir cada correo en una novela policial. Lo útil es diseñar fricción inteligente. Por ejemplo: ningún cambio de cuenta bancaria de un proveedor se aprueba solo por correo; todo pago fuera de patrón requiere confirmación por un canal distinto; los equipos administrativos reciben simulaciones de phishing basadas en casos reales; y los archivos comprimidos o ejecutables enviados por correo se bloquean por defecto. También conviene revisar permisos: no todas las personas que reciben facturas necesitan acceso amplio a plataformas bancarias.
Hay una conexión clara con la transformación digital que vive Colombia. A medida que más empresas adoptan IA, automatización y herramientas en la nube, también aumenta la superficie de ataque. Automatizar cuentas por pagar sin controles puede hacer que el fraude viaje más rápido. Usar IA para clasificar correos sin una política de seguridad puede dar falsa tranquilidad. La tecnología ayuda, pero no reemplaza procesos sanos.
¿Qué mirar después? Si aparecen nuevas campañas de Mekotio dirigidas específicamente a Colombia, habrá que observar sectores afectados, tipos de correo usados y si los atacantes empiezan a combinar malware con deepfakes de voz o mensajes por WhatsApp. Por ahora, el mensaje es suficientemente claro: el correo corporativo sigue siendo una puerta principal del fraude. Cerrarla mejor no requiere magia; requiere disciplina.