Suplantar al SAT, al IMSS o a tu municipio en un correo falso ya es delito federal: qué cambia (y qué no) para proteger a tu empresa

Al área de contabilidad de cualquier PyME llega, cada mes, algún correo que dice venir del SAT: "activa tu Buzón Tributario", "tienes una discrepancia", "descarga tu comprobante". Desde hoy, sábado 14 de noviembre de 2026, quien arme ese correo comete un delito federal con nombre propio: el nuevo artículo 403 Bis de la Ley Federal de Protección a la Propiedad Industrial (LFPPI).

Llegó en el mismo decreto que endureció las penas por piratería y que ya alcanza al software sin licencia, publicado en la edición vespertina del DOF del viernes 13 y vigente al día siguiente.

Qué dice el artículo 403 Bis

Castiga con 1 a 5 años de prisión y multa de 1,000 a 10,000 UMA (con la UMA de 2026, de $117,310 a $1,173,100) a quien:

• use, reproduzca, imite o incorpore, a escala comercial,
• la identidad gráfica institucional, dominios electrónicos o cualquier documento oficial
• de cualquier institución pública de los tres órdenes de gobierno (federal, estatal o municipal),
• para inducir al error o engaño, con la intención de cometer un ilícito, sobre el origen oficial de una comunicación, documento, plataforma, servicio o sistema informático, por cualquier medio.

Traducido: el correo con el logo del SAT, el sitio sat-gob-mx con un formulario para "actualizar tu e.firma", el falso portal del IMSS para "descargar tu opinión de cumplimiento" o el WhatsApp con un citatorio apócrifo de la tesorería municipal caben en el supuesto.

Dos detalles más. La definición de escala comercial del mismo capítulo (artículo 406 Ter) incluye expresamente la "obtención, uso o disposición de datos personales", que es justo lo que busca un phishing. Y el artículo 11 Bis del Código Penal Federal ahora incluye el 403 Bis entre los delitos por los que una persona jurídica puede ser suspendida, clausurada o intervenida: aplica a la "gestoría" o al centro de llamadas que viva de esto.

Qué no cambia

Que exista el delito ayuda a perseguir a los defraudadores, pero no evita que el correo llegue ni que alguien de tu equipo le dé clic. Ten presentes los límites:

• Solo cubre instituciones públicas. Si suplantan a tu banco, a tu proveedor o a tu propia empresa, el 403 Bis no aplica; esos casos siguen por otras vías, como el fraude.
• Actúa después del daño. Si alguien entregó la contraseña del portal bancario o la e.firma, la denuncia no te devuelve el dinero ni el control de la cuenta.
• Los atacantes suelen estar fuera de alcance. Muchos operan desde otros países o con infraestructura alquilada; identificar y procesar a alguien toma tiempo.

Por eso la defensa sigue siendo técnica y de hábitos, como en el caso de GhostCode y los permisos OAuth en Microsoft 365 o de los fraudes con voz e imagen falsas.

Cómo reconocer un correo falso del SAT

El propio SAT lo ha repetido en sus alertas (la más reciente recogida por Uno TV en marzo de 2026):

• No envía enlaces por correo para trámites o validaciones.
• No pide descargar, guardar ni ejecutar archivos y no distribuye software.
• No solicita información personal, claves ni contraseñas por correo.
• Sus mensajes no se dirigen a ti con tu dirección de correo en lugar de tu nombre.
• Sus únicos portales son sat.gob.mx y gob.mx/sat; cualquier otro dominio es sospechoso.
• Su único número de contacto es MarcaSAT: 55 6272 2728.

La regla práctica para tu equipo: nunca entres al SAT, al IMSS ni a tu banco desde un enlace. Escribe la dirección o usa un favorito guardado.

Qué hacer en tu empresa esta semana

1. Avisa a contabilidad, nóminas y compras. Son quienes más correos "oficiales" reciben y quienes tienen la e.firma, el portal del IMSS y la banca en línea.
2. Haz un simulacro con un correo falso del SAT o del IMSS; te explicamos cómo en simulacro de phishing para empleados.
3. Revisa tus filtros de correo: bloquea adjuntos ejecutables y comprimidos con contraseña, y marca los mensajes externos que usen nombres de dependencias.
4. Protege la e.firma: guárdala en un equipo controlado, no en el correo ni en carpetas compartidas, y define quién puede usarla.
5. Si alguien cayó, cambia contraseñas de inmediato, revisa el equipo si ejecutó un archivo y avisa a tu banco.
6. Conserva la evidencia para denunciar: el correo original con encabezados, capturas del sitio falso con su dirección completa y fecha, y cualquier número o cuenta usada. Como es un delito federal, la denuncia va ante el Ministerio Público de la Federación.

Con las ventas de temporada y el cierre de año suben los intentos; repasa también las recomendaciones que dimos para fraudes en el Buen Fin.

Fuentes: DOF, edición vespertina del 13 de noviembre de 2026 (decreto por el que se reforman el Código Penal Federal y la Ley Federal de Protección a la Propiedad Industrial, artículos 403 Bis, 406 Ter y 11 Bis); Uno TV (30 de septiembre de 2026), sobre la discusión en el Senado; Uno TV (19 de marzo de 2026), sobre las recomendaciones del SAT contra correos falsos; UMA 2026 publicada por el INEGI en el DOF del 9 de enero de 2026.