Hoy casi pierdo $3.200 en la pyme por un email de phishing

Foto: Tima Miroshnichenko / Pexels (CC0)

El viernes 11 de septiembre de 2026 recibí en el inbox de la empresa familiar, LogiAsu, un correo que decía "Factura pendiente de pago" con un PDF adjunto. El remitente mostraba contabilidad@palaceropapel.com, una cuenta que usamos para nuestro cliente más grande, el Palacio de Hierro en Ciudad del Este. Al abrir el PDF, el mensaje cambiaba a una solicitud de transferencia a una cuenta en Banco Itaú con número 03‑0145‑6723‑00. Mi hermano José, que lleva la tesorería, casi autoriza $3.200 porque el número coincidía con una factura de junio que habíamos pagado antes.

On September 11, 2026 I got an email in the family logistics firm’s inbox titled “Pending invoice” with a PDF attached. The sender was listed as contabilidad@palaceropapel.com, the billing address we use for our biggest client, Palacio de Hierro in Ciudad del Este. When I opened the PDF, it switched to a request to transfer money to an Itaú bank account 03‑0145‑6723‑00. My brother José, who handles cash flow, was about to approve a $3,200 payment because the number matched a June invoice we had settled.

En mi experiencia, el mayor peligro es que la confianza familiar ciega la alerta. Hace dos años leí en Diario ABC que el 68 % de los ciberataques a pymes en Paraguay provienen de correos falsos que imitan proveedores habituales. Mi papá siempre decía que “el dinero circula, pero la seguridad no”. Ese consejo quedó en el olvido cuando la rutina nos hizo bajar la guardia.

In my experience, the biggest danger is that family trust dulls vigilance. Two years ago I read in Diario ABC that 68 % of cyber‑attacks on Paraguayan SMEs come from fake emails mimicking regular suppliers. My father always said “money moves, but security stays”. That advice faded when daily routine lowered our guard.

Leí también en la página de la Cámara de Empresas de Asunción que solo 22 de 150 pymes encuestadas usan autenticación de dos factores (2FA). En nuestro caso, la cuenta de correo de la empresa sólo tenía contraseña compartida: “LogiAsu2024”. Cuando lo descubrí, la vulnerabilidad quedó clara.

I also saw on the Asunción Business Chamber site that only 22 of 150 surveyed SMEs use two‑factor authentication. In our case, the company email account used a shared password: “LogiAsu2024”. The weakness was evident.

Pasos que puedes aplicar ahora:

1. Cambia todas las contraseñas de correo a algo único y guarda en un gestor; no uses la misma frase en varios empleados.
2. Activa 2FA en todas las cuentas críticas (Google Workspace, banca en línea) usando una app de autenticación.
3. Capacita al equipo en reconocer phishing: revisa la dirección del remitente, verifica enlaces pasando el cursor y confirma por teléfono cualquier solicitud de transferencia.

Steps you can take today:

1. Change every email password to a unique one and store it in a password manager; avoid reusing phrases across staff.
2. Enable 2FA on all critical accounts (Google Workspace, online banking) using an authenticator app.
3. Train the team to spot phishing: check the sender’s address, hover over links, and confirm any transfer request by phone.

Al cerrar el día, me quedé pensando en cómo la presión de mantener el negocio a flote a veces nos lleva a descuidar lo básico. Prefiero que el susto de hoy sirva como recordatorio de que el liderazgo también es decir "no" a atajos que comprometen la seguridad.

At the end of the day I realized that the pressure to keep the business afloat can make us overlook fundamentals. I’d rather let today’s scare remind me that leadership also means saying “no” to shortcuts that endanger security.