Facturas, cambios de proveedor, confirmaciones de pedidos y avisos de entrega se multiplican en las empresas cuando se acercan Black Friday y Navidad. Ese aumento de actividad también amplía las oportunidades para que un correo fraudulento se confunda con una comunicación legítima y termine dando acceso a una cuenta corporativa o desencadenando un pago a un atacante.
Uno de cada cinco siniestros declarados en 2025 entre los registros de Stoïk, compañía europea de ciberseguridad especializada en prevención, respuesta a incidentes y seguros cibernéticos, se produjo durante noviembre y diciembre. La firma identifica además las dos semanas anteriores a Black Friday como uno de los periodos con mayor actividad para su equipo de respuesta a incidentes.
El correo electrónico aparece en seis de cada diez siniestros
El email concentra buena parte de los incidentes observados. El 60% de los siniestros gestionados por Stoïk estuvo relacionado con el correo electrónico y, cuando se analizan específicamente los casos de fraude financiero, el porcentaje vinculado a esta vía alcanza el 98%.
Los ataques pueden adoptar la apariencia de procesos habituales dentro de cualquier empresa: un proveedor que comunica una nueva cuenta bancaria, una factura pendiente, un directivo que solicita un pago urgente o una notificación relacionada con un pedido. Durante las semanas de mayor carga operativa, estos mensajes compiten por la atención de equipos que gestionan un volumen superior de comunicaciones.
“Noviembre es uno de los meses con mayor frecuencia de incidentes del año, y las dos semanas anteriores a Black Friday son de las de más actividad para nuestro equipo de respuesta a incidentes”, señala Diego Montojo, Cyber Underwriter de Stoïk Iberia.
Un cambio de IBAN terminó en un fraude de más de 250.000 euros
Uno de los casos recogidos por la compañía muestra cómo una modificación administrativa aparentemente rutinaria puede terminar en una pérdida económica elevada. En octubre de 2025, un atacante registró un dominio prácticamente idéntico al de una empresa industrial española, cambiando únicamente una letra.
Un mes después, desde esa dirección se envió un mensaje solicitando actualizar los datos bancarios utilizados para los siguientes pagos. El correo incluía un certificado bancario con apariencia auténtica y la empresa terminó transfiriendo más de 250.000 euros a una cuenta controlada por el atacante.
El equipo de respuesta a incidentes reconstruyó posteriormente la secuencia del fraude y la compañía afectada revisó sus procedimientos de pago. Montojo resume una de las medidas adoptadas a partir del caso: “Cualquier cambio de datos bancarios se confirma por teléfono, con un número ya conocido, por urgente que parezca”.
Las tiendas online también afrontan ataques en el momento del pago
Pero el correo corporativo no es la única vía utilizada. Entre los incidentes analizados aparecen también servicios expuestos a internet, como páginas web, tiendas online y accesos remotos insuficientemente protegidos.
Para el ecommerce, uno de los riesgos descritos es el web skimming. Esta técnica introduce código malicioso en una página de pago con el objetivo de copiar los datos de tarjeta que el comprador introduce para completar una operación. El ataque afecta así a un punto especialmente sensible del recorrido de compra, porque puede comprometer información del cliente sin que este perciba necesariamente que la página ha sido manipulada.
Stoïk también identifica intentos de robo de credenciales corporativas y suplantaciones de directivos. En todos estos casos, el objetivo puede cambiar, desde obtener acceso a información interna hasta desviar un pago o capturar datos financieros.
El comercio concentra más siniestros durante Black Friday y Navidad
Entre los sectores observados por la compañía, el comercio mayorista y minorista registra el mayor número de siniestros durante las campañas de Black Friday y Navidad. Después aparecen industria, servicios profesionales y construcción.
La exposición del comercio está relacionada con una actividad que durante estas fechas multiplica pedidos, pagos, devoluciones, comunicaciones con proveedores y operaciones logísticas. El riesgo afecta tanto a negocios digitales como a establecimientos físicos y empresas mayoristas que reciben facturas o tramitan transferencias.
“No podemos pensar que las campañas de Black Friday o Navidad son sólo un asunto de los ecommerce. Cualquier empresa que facture, pague a proveedores o reciba pedidos en estas semanas está expuesta”, advierte Montojo.
Algunos incidentes pueden salir a la luz después de Navidad
Los registros de Stoïk muestran menos siniestros declarados durante diciembre que en noviembre, pero la compañía relaciona parte de esa diferencia con el momento en que se descubren los problemas. Enero de 2026 registró un incremento del 26% en la frecuencia de siniestros respecto a diciembre de 2025.
La interpretación de Stoïk es que las vacaciones pueden retrasar la detección de determinados incidentes iniciados durante la campaña navideña. La reducción de actividad de algunos equipos o la ausencia temporal de empleados puede hacer que ciertas señales se identifiquen cuando la plantilla recupera su funcionamiento habitual en enero.
El sector hotelero aparece como otro ejemplo de cómo los atacantes utilizan procesos comerciales conocidos. La compañía ha detectado incidentes en los que se obtiene acceso a plataformas de reservas y, desde allí, se contacta por WhatsApp con huéspedes para solicitar información bancaria bajo el pretexto de confirmar o gestionar su estancia.
Black Friday aumenta la presión sobre procesos cotidianos
El denominador común de estos incidentes está en operaciones que forman parte de la actividad habitual de las empresas. Pagar a un proveedor, confirmar una entrega, recibir una factura o completar una compra online son procesos normales que durante Black Friday y Navidad se realizan con una frecuencia mucho mayor.
Ese volumen convierte la verificación de identidades, cuentas bancarias y comunicaciones en una parte especialmente sensible de la operativa comercial. Los datos de 2025 no permiten anticipar cuántos incidentes se producirán durante la campaña de 2026, pero muestran dónde se concentraron buena parte de los siniestros gestionados por Stoïk y qué mecanismos utilizaron los atacantes para introducirse en las operaciones de las empresas.
impulsada por las operadoras de telefonía?