Esta guía es para pymes, y en especial para quien abre el correo de contabilidad, de ventas o el de contacto de la web, que en nuestra experiencia es donde más llegan estos mensajes. Vas a encontrar qué dice cada institución sobre sus correos (lo leímos en sus páginas oficiales el 2 de noviembre de 2026), qué hacer en la primera hora si alguien hizo clic, dónde denunciar en Chile y cómo evitar que usen el dominio de tu empresa para engañar a tus clientes.
¿Cómo sé si un correo del SII es falso?
Revisa tres cosas: si tiene un enlace o un archivo, si te pide algo y a qué casilla llegó. Según su página de seguridad, el SII escribe solo a la casilla registrada en sii.cl, sus correos no incluyen enlaces ni piden información confidencial, no te pide que respondas y usa solo dominios que terminan en sii.cl.
Lo de la casilla le sirve mucho a una pyme. Si el SII tiene registrado el correo del contador y el mensaje llegó a ventas@ o al formulario de la web, ya hay motivo para sospechar.
Para leer el remitente, abre la dirección completa. El nombre que muestra tu programa de correo («SII», «Servicio de Impuestos Internos») lo puede escribir cualquiera. Después mira lo que va justo antes del final: avisos@sii.cl.cobros.com termina en cobros.com, y el «sii.cl» del medio no cuenta.
Según el SII, el correo malicioso tiene un tono alarmante (trámites urgentes, claves o cuentas bancarias bloqueadas), trae un enlace o un archivo y suele estar mal redactado. Nuestra opinión es que hoy muchos llegan bien escritos, así que la ortografía sirve de poco como prueba.
Los asuntos de los casos que publicó se parecen a lo que contabilidad recibe de verdad: «Factura No Pagada. Regularizar» (enero de 2023), «Últimos días para descargar tus impuestos» (marzo de 2023) y un supuesto trámite de «Orden de Cierre de Giro» (5 de mayo de 2025), que traía un programa malicioso. Si te cobran una factura «impaga», compruébalo entrando a sii.cl escrito a mano.
¿Hay correos falsos del SII en 2026?
Al 2 de noviembre de 2026, la última alerta de correo falso entre las noticias del SII es la de mayo de 2025. Eso no significa que hoy no circulen. Lo que sirve es la regla: un correo «del SII» con un enlace o un archivo es falso, aunque el remitente parezca legítimo.
Para cualquier trámite, el SII pide entrar escribiendo sii.cl en el navegador.
¿Y si dice venir del Poder Judicial, de la TGR o del banco?
Las reglas se parecen a las del SII. El Poder Judicial dice que nunca pide descargar ni rellenar formularios adjuntos. La TGR, que no envía enlaces ni pide claves por correo, mensaje o llamada. Y los dos bancos que revisamos, Bci y Scotiabank, dicen que no mandan enlaces por correo ni por SMS y que no piden claves.
| Quién | Qué dice | Casos que publicó |
|---|---|---|
| SII | Correos solo a la casilla registrada, sin enlaces, sin pedir respuesta, desde dominios que terminan en sii.cl | «Orden de Cierre de Giro», 5 de mayo de 2025 |
| Poder Judicial | Nunca pide descargar ni rellenar formularios adjuntos | Falsa citación a conciliación con adjuntos protegidos con clave, 19 de marzo de 2025 |
| TGR | «No enviamos enlaces ni tampoco solicitamos tus claves por mail, mensaje o llamada» (11 de diciembre de 2024). Sus cobros traen los datos de cada contribuyente (2022) | Supuesta devolución de impuestos, diciembre de 2024; supuestas deudas y «liquidación tributaria», marzo de 2022 |
Las citaciones falsas juegan con el miedo a una demanda. En agosto de 2024, el Poder Judicial avisó de una supuesta citación a un tribunal de Santiago con un archivo zip que instalaba un troyano bancario, un programa que roba datos del equipo. Si te llega algo así, revisa la causa en la Oficina Judicial Virtual (oficinajudicialvirtual.pjud.cl, con ClaveÚnica) o llama al tribunal.
Con los adjuntos, nuestra recomendación es no habilitar «contenido» ni macros en un Word o un Excel que llegó por correo, y desconfiar de los .zip, los .html y los archivos protegidos con clave.
¿Qué hago si alguien de mi equipo hizo clic?
Primero corta el daño: si se abrió un archivo, desconecta ese equipo; si se entregaron datos de pago, claves o un código, llama al banco. Después cambia las claves desde otro equipo, revisa los reenvíos del correo, cambia la Clave Tributaria si se escribió, avisa al equipo y guarda la evidencia.
En la primera hora, en este orden:
- Si se abrió un archivo, desconecta ese equipo del wifi o del cable, para que el programa no siga enviando datos (es nuestra recomendación). El Poder Judicial pide reportarlo al CSIRT nacional, y nosotros recomendamos avisar también a quien maneje la informática de tu empresa.
- Si se entregaron datos de tarjeta, claves del banco o un código, llama al banco de inmediato. Si no tienes su número a mano, marca el 1212: es la línea gratuita de emergencias bancarias de la Asociación de Bancos, que te deriva al canal de emergencias de tu banco. Complementa los números de cada banco.
- Cambia la clave que se escribió y la del correo. Bci recomienda hacerlo «desde un dispositivo seguro»; nosotros sugerimos otro equipo, por ejemplo tu teléfono. Activa la verificación en dos pasos, cierra las sesiones que no reconozcas y cambia esa clave en los servicios donde se repetía.
- Revisa reenvíos y reglas. En Gmail, la pestaña «Reenvío y correo POP/IMAP» de la configuración y los filtros, que también reenvían. En Outlook en la web, Configuración, Correo, Reglas. Un reenvío escondido le sigue mandando copia de todo al intruso aunque cambies la clave.
- Si fue la Clave Tributaria, cámbiala desde otro equipo, escribiendo sii.cl a mano.
- Avisa al equipo. Estas campañas son masivas: si le llegó a contabilidad, puede estar en otras casillas. Y si desde tu correo salieron mensajes que nadie escribió, avisa a tus clientes por otro canal.
- Guarda la evidencia: no borres el correo y saca capturas del remitente completo, la fecha y lo que se escribió. Es nuestra recomendación, porque las vas a necesitar si denuncias.
El correo es la puerta de entrada a casi todas tus otras cuentas. Si ya tomaron alguna, los pasos están en qué hacer si te hackearon el Instagram o el WhatsApp de la empresa.
Si nadie hizo clic, nadie respondió y no se pagó nada, puedes borrar el correo. La TGR pide borrarlo también de la carpeta de spam y de la papelera.
El correo del proveedor que cambió de cuenta
Este no viene de ninguna institución, y a una pyme le puede costar más caro: un proveedor, o alguien que se hace pasar por él, avisa que cambió su cuenta bancaria y pide pagar la próxima factura ahí. Nuestra recomendación es confirmar ese cambio llamando al número que ya tenías del proveedor, nunca al que viene en el correo.
Si ya pagaste, mira la última pregunta frecuente.
¿Dónde se denuncia el phishing en Chile?
Si hubo daño (una cuenta tomada, dinero perdido o un programa instalado), se denuncia en la PDI, en Carabineros o en la Fiscalía, que acepta denuncias en línea a nombre de una empresa. Si solo te llegó el correo, puedes reportarlo al CSIRT, el equipo de respuesta a incidentes de la Agencia Nacional de Ciberseguridad (ANCI).
- Fiscalía: en línea en agenda.minpublico.cl/denuncia, con ClaveÚnica.
- PDI y Carabineros: en persona, en la unidad más cercana, con tu cédula.
- CSIRT: el botón «Reportar» de la ANCI lleva a csirt.gob.cl/reportar. La ANCI publica también el 1510 y ayuda@anci.gob.cl.
Los contactos de la brigada de cibercrimen de la PDI y qué llevar a la denuncia están en el artículo sobre cuentas hackeadas.
¿Cómo sé si mi correo fue filtrado o hackeado?
Son dos cosas distintas. Filtrado quiere decir que tu dirección, y a veces tu clave, aparece en una base de datos robada a algún servicio donde te registraste. Hackeado quiere decir que alguien entra a tu casilla. Lo primero se revisa en servicios como Have I Been Pwned; lo segundo, en la actividad de tu cuenta.
Las señales de que alguien entra a tu correo son mensajes en «Enviados» que nadie escribió (o clientes que preguntan por un correo raro que salió de tu dirección), un reenvío, filtro o regla que nadie creó, y avisos de inicio de sesión o de cambio de clave que no hiciste. En Gmail, el enlace «Detalles», abajo a la derecha, muestra si la cuenta está abierta en otro lugar, desde qué navegador o dispositivo se entró y las últimas 10 direcciones IP con su ubicación aproximada.
Si tu dirección aparece en una filtración, cambia esa clave en todos los servicios donde la repetías y activa la verificación en dos pasos. Si ves señales de que alguien entra, sigue los pasos de la primera hora.
¿Qué es el phishing, el smishing y el vishing?
Los tres son suplantación: alguien finge ser tu banco, el SII o un proveedor para que entregues una clave, un código o un pago. Cambia el canal. El phishing llega al correo, el smishing llega en un SMS o un WhatsApp y el vishing es una llamada. En los tres, el apuro es parte del truco.
Por teléfono hay dos trucos que la ANCI describió este año. En mayo de 2026 advirtió que falsos ejecutivos de banco piden marcar 21 seguido de un número suyo: eso desvía tus llamadas y SMS hacia ellos, y así reciben los códigos de confirmación. Para saber si tu teléfono tiene un desvío activo, marca #21#; para quitarlo, ##21#. En septiembre describió el fraude de la cuenta bloqueada: provocan el bloqueo, te llaman como si fueran el banco y te piden el código que te llegó o que apruebes una solicitud en la app. El consejo de la ANCI es no entregar nunca un código que no pediste, aunque quien llama tenga datos reales tuyos.
¿Cómo evito que alguien envíe correos haciéndose pasar por mi empresa?
Configurando SPF, DKIM y DMARC en el dominio de tu correo. Son tres registros que se agregan en la configuración del dominio y les dicen a los demás servidores qué correos son tuyos de verdad. Sin ellos, al servidor que recibe le cuesta distinguir un correo tuyo de uno que solo dice venir de tu dirección.
La documentación de Microsoft 365 lo explica así: por diseño, el correo en internet no valida que el remitente sea quien dice ser. Por eso alguien puede escribirle a tu cliente como «pagos@tuempresa.cl» sin haber tocado tu cuenta.
Dicho de forma sencilla, SPF es la lista de servidores autorizados a enviar correo con tu dominio. DKIM es una firma digital en cada correo que envías, que el servidor de destino comprueba con una clave publicada en tu dominio. Y DMARC le dice a ese servidor qué hacer con un correo que usa tu dominio y no pasa esas pruebas: entregarlo igual (p=none), mandarlo a cuarentena o rechazarlo.
Google Workspace pide tener SPF o DKIM activos antes de DMARC y recomienda empezar con p=none. Con esa política no se toma ninguna medida: el correo falso se entrega igual y solo observas. La protección empieza cuando pasas a cuarentena o rechazo. Los informes de quién usa tu dominio llegan solo si agregas la etiqueta rua, que Google describe como opcional y recomienda incluir siempre.
Ojo con lo que no cubren. No impiden que alguien registre un dominio parecido, como tuempresa-cl.com, y escriba desde ahí. Tampoco sirven si se roban una cuenta real de tu empresa, porque esos correos salen firmados. Y no frenan los correos falsos que te llegan a ti.
Nuestro análisis gratis de seguridad revisa SPF, DKIM y DMARC en tu dominio (DKIM, con los nombres de firma más comunes). El informe gratis es parcial; el completo, con todos los hallazgos y cómo corregirlos, cuesta $10.000 IVA incluido. Las demás medidas básicas están en la guía de ciberseguridad para pymes, y lo que hacemos en LAURA, en ciberseguridad.
