Ciberataque a SAT, IMSS y Morena expone datos de 36 millones: qué hacer hoy en tu empresa con la nómina, el RFC y el buzón tributario

El 3 de octubre de 2026, El Universal reportó un ciberataque a SAT, IMSS y Morena que expuso datos de 36 millones de personas. Si tu empresa tiene empleados dados de alta, y casi todas los tienen, es muy probable que el RFC, la CURP, el número de seguro social, el salario y el domicilio de tu plantilla estén en ese paquete.

La filtración ya no se deshace. Lo que sí está en tus manos es lo que viene después: correos y llamadas que van a sonar muy convincentes porque traen datos verdaderos. Aquí va lo que haríamos nosotros esta semana.

Qué hay en la filtración y para qué sirve

El RFC es la clave con la que el SAT te identifica. La CURP es la clave de población. El NSS es el número con el que el IMSS lleva tu historial. Por separado no parecen gran cosa. Juntos, con salario y domicilio, le dan a un desconocido todo lo que necesita para escribirle al de contabilidad y sonar a autoridad.

Dato expuesto	Para qué lo usa un estafador
RFC y nombre	Correos «del SAT» con tu clave correcta en el asunto
CURP y NSS	Hacerse pasar por un empleado ante Recursos Humanos
Salario	Saber a quién conviene atacar y por cuánto
Domicilio	Llamadas y cartas que parecen oficiales

Infobae lo resumió bien ese mismo día: la promesa digital choca con la realidad de la ciberseguridad. Para tu empresa eso significa algo muy concreto: nadie más te va a cuidar de esto. Te toca a ti.

Lo que viene: cuatro fraudes que vas a ver

Phishing con datos reales. Un correo que dice venir del SAT, con tu RFC bien escrito, avisando de una diferencia en tu declaración y un enlace para regularizarte. O una llamada a un empleado donde le leen su propio NSS antes de pedirle algo.

El empleado que cambió de banco. Le llega a RH un correo, aparentemente de alguien de la plantilla, pidiendo depositar la nómina en una cuenta nueva. Trae su CURP para que se vea legítimo. En nuestra experiencia este es el fraude que más duele, porque llega un viernes a las seis y nadie llama a confirmar.

Facturas y CFDI falsos. El CFDI es la factura electrónica que valida el SAT. Vas a ver proveedores que de pronto cambiaron de cuenta y facturas emitidas con tu RFC que nadie pidió.

Intentos de entrar al buzón tributario y al IDSE. El buzón tributario es el canal oficial del SAT con tu empresa. El IDSE es el portal del IMSS para altas, bajas y pagos. Quien entre ahí puede dar de baja gente, mover tu domicilio fiscal o leer tus notificaciones antes que tú.

Checklist para esta semana

1. Avisa a todo el personal hoy. Un mensaje corto: hubo una filtración, van a recibir cosas que parecen del SAT o del IMSS, no abran enlaces y avisen.
2. Pon una regla en RH y finanzas. Ningún cambio de cuenta de nómina o de proveedor se acepta por correo. Se confirma por teléfono al número que ya tenías registrado y lo aprueban dos personas.
3. Activa 2FA donde falte. El 2FA es el segundo paso al iniciar sesión, un código en el celular. Correo, banca, nómina y portal del SAT.
4. Guarda bien la e.firma. Es la firma electrónica de la empresa: dos archivos y una contraseña. No va en una carpeta compartida ni en el correo del contador. Va cifrada, con acceso de una o dos personas.
5. Revisa quién entra al SAT y al IMSS. Cambia las contraseñas del buzón tributario y del IDSE y quita a quien ya no deba estar.
6. Monitorea el correo. Reglas de reenvío que nadie creó e inicios de sesión desde otro país son las dos señales de que ya entraron.

Qué hacemos nosotros dentro de la póliza

Nada de esto requiere comprar un sistema nuevo. Dentro de una póliza de soporte TI revisamos los accesos y el correo, damos una capacitación corta anti-phishing al equipo, instalamos EDR (el antivirus moderno que vigila comportamiento, no solo archivos conocidos) y verificamos que los respaldos restauren. Es el mismo trabajo de siempre. Esta semana solo tiene más prisa.

Hablemos

¿Y en tu empresa?

Si hoy no sabes quién tiene la e.firma ni cuántas personas pueden entrar al IDSE, ya tienes por dónde empezar.

Pide un diagnóstico sin costo — respondemos el mismo día hábil.