En la era de la IA, tu portal de proveedores es tu primera línea de defensa
Guía · Ciberseguridad en compras en Latinoamérica
El fraude con inteligencia artificial (IA) ya no se ve como fraude. Llega como un correo impecable de tu proveedor, una llamada con la voz de tu jefe o una orden de compra con el logo de tu empresa. Esta guía explica cómo se roban identidades en los portales de proveedores de la región, cómo suplantan a las empresas con órdenes de compra falsas y cómo lo abordamos en los Portales Web Egixia.
Por el equipo de Egixia · · 10 minutos de lectura
Respuesta corta
En Latinoamérica, el 73 % de las empresas consultadas por ESET fue blanco de suplantación de identidad, y la IA hace cada engaño más convincente. La defensa no es pedirle a cada persona que sospeche de todo. Es un canal controlado: acceso por roles, órdenes de compra publicadas en el portal, aprobación de una persona en lo que mueve dinero y registro de cada decisión.
¿Qué cambió con la IA en las compras de la región?
Durante años, la regla para detectar un engaño era fijarse en la ortografía, en un tono extraño o en un remitente raro. Esa regla ya no sirve. La inteligencia artificial escribe sin errores en el español o el portugués de cada país, imita la voz de una persona y produce en minutos documentos que antes tomaban días.
Para un área de compras, el riesgo cambia en cuatro frentes:
Mensajes que suenan a tu jefe o a tu proveedor
En octubre de 2026, la Secretaría de Seguridad y Protección Ciudadana de México alertó sobre fraudes que suplantan a directivos y proveedores para pedir pagos urgentes o cambios de cuenta bancaria, con voces e imágenes generadas con IA en llamadas y videollamadas.
Información pública convertida en guion
Cargos, proveedores, viajes y procesos internos publicados sin cuidado le sirven al delincuente para personalizar el engaño. La IA le permite cruzar en poco tiempo perfiles profesionales, noticias y datos de contratación para saber quién compra qué y a quién.
Documentos que pasan a simple vista
Entre 2023 y 2024, el Observatorio de ChileCompra elaboró 24 informes sobre proveedores que presentaron documentos falsos o adulterados, como certificados de experiencia, patentes comerciales, garantías y certificados bancarios; diez casos quedaron abiertos en fiscalías. Con IA, falsificar es más rápido y más barato.
La IA de tu empresa también es una puerta
Contratos y bases de proveedores terminan pegados en herramientas no autorizadas. Y un agente de IA puede dejarse manipular con instrucciones escondidas en un documento: esa inyección de instrucciones encabeza la lista de riesgos de OWASP, la comunidad de referencia en seguridad de aplicaciones, para sistemas con modelos de lenguaje.
El dato. El 73 % de las empresas latinoamericanas consultadas por ESET fue blanco de ataques de suplantación de identidad. En manufactura, la cifra llegó al 81,1 %. Fuente: ESET Security Report Latinoamérica 2026, con 962 organizaciones de 10 países.
¿Cómo se roban identidades en un portal de proveedores?
Un portal de proveedores concentra lo que el delincuente quiere: cuentas bancarias, precios, solicitudes de cotización y documentos de los representantes legales. Por eso la cuenta de un proveedor, o la de un comprador, vale mucho. Estas son las tres vías más comunes para robarla:
- Páginas falsas de inicio de sesión. Un correo «del portal» avisa de una nueva solicitud de cotización o pide actualizar datos, y lleva a una copia del portal que captura el usuario y la contraseña. Con IA, el correo y la página se clonan en minutos.
- Programas que roban contraseñas. Un programa malicioso en el computador del proveedor, a veces escondido en una supuesta factura o en un archivo comprimido, se lleva las contraseñas guardadas en el navegador, incluida la del portal.
- Contraseñas reutilizadas. La contraseña que se filtró en otro servicio se prueba en el portal, porque muchas personas usan la misma en todas partes.
En Latinoamérica, el robo de credenciales fue la segunda vía de entrada a los sistemas de las empresas en 2024, con el 18 % de los casos, solo detrás de la explotación de vulnerabilidades. Fuente: Mandiant, M-Trends 2025, citado por ESET.
Con una cuenta robada, el atacante puede cambiar los datos bancarios del proveedor, descargar solicitudes de cotización, precios y contratos, cargar documentos falsos o escribirle a tu equipo como si fuera el proveedor. Por eso un cambio de cuenta bancaria nunca debería depender solo de la contraseña de quien lo pide.
Órdenes de compra falsas: cuando suplantan a tu empresa ante tus proveedores
El engaño también funciona en sentido contrario. En lugar de hacerse pasar por el proveedor, el delincuente se hace pasar por ti, el cliente, para que un proveedor despache mercancía que nunca le van a pagar. Así funciona:
- Crean un dominio casi idéntico al de tu empresa, que cambia un punto o una letra, y copian logos, firmas y nombres reales de tu equipo de compras.
- Piden una cotización y luego envían una orden de compra con condiciones normales, a veces con un contrato que trae cambios sutiles.
- Presionan por un despacho urgente, a crédito, a una bodega o un transportador que no son los tuyos.
- Retiran la mercancía y desaparecen. Cuando el proveedor cobra, la factura llega a tu empresa, que no reconoce la orden.
Casos en la región
- Chile, 2021. Un proveedor de equipos de protección personal despachó 600 pares de calzado de seguridad tras recibir una orden de compra desde un dominio que imitaba al de una gran minera. Según la prensa, la modalidad se repite contra proveedores de la minería desde al menos 2015.
- Colombia, 2025. La revista Semana describió la modalidad «Te envío la orden de compra» en los sectores energético e industrial, con correos que difieren del dominio corporativo en un punto o una letra.
- Colombia, 2018. EPM alertó a sus proveedores sobre falsas órdenes de compra en su nombre y les pidió verificar que cada orden estuviera publicada en su plataforma de compras.
Ese último consejo es la clave. Si tus proveedores saben que toda orden de compra legítima se publica en tu portal, una orden que llega solo por correo es sospechosa por definición, y el proveedor la verifica antes de despachar. El portal protege a tu proveedor y protege tu nombre.
¿Por qué el correo es el eslabón débil de las compras?
En muchas organizaciones, cuentas bancarias, precios, contratos y datos de proveedores siguen pasando por el correo. Es un canal que no fue pensado para verificar identidades ni para dejar constancia de quién aprobó qué.
| Frente | Por correo | En un portal de proveedores |
|---|---|---|
| Identidad | Basta un dominio parecido o una cuenta comprometida para «ser» el proveedor o el cliente. | Cada persona entra con su usuario, su rol y sus permisos. |
| Órdenes de compra | Llegan como un adjunto que cualquiera puede imitar. | Se publican en el portal: el proveedor verifica cualquier orden antes de despachar. |
| Documentos | Llegan como adjuntos, sueltos en buzones, sin control de versiones. | Se cargan en el expediente del proveedor, con control de sus documentos. |
| Datos bancarios | El cambio se aprueba respondiendo un mensaje. | El cambio se solicita en el portal, con su soporte, y lo aprueba una persona autorizada. |
| Constancia | Nadie sabe con certeza quién pidió, quién revisó y quién aprobó. | Queda registrado quién hizo qué y cuándo. |
| Tu ERP | Los datos se copian a mano entre el correo y el sistema de gestión empresarial (ERP). | El portal intercambia la información con tu ERP: se integra, no lo reemplaza. |
«La pregunta ya no es si tu equipo detecta un correo falso. Es si tu proceso resiste aunque nadie lo detecte».
Seis decisiones de diseño de los Portales Web Egixia
Un portal de proveedores cambia la pregunta. En lugar de confiar en que cada persona detecte el engaño, el proceso deja de depender del correo. Los Portales Web Egixia se implementan por módulos, se integran con SAP y otros ERP y suman agentes de IA con revisión humana. Estas son las decisiones con las que los diseñamos.
Tus proveedores
Se registran, cargan documentos, ofertan y consultan sus órdenes y facturas.
Portales Web Egixia
Acceso por roles · órdenes publicadas · documentos verificados · aprobación de una persona · registro.
Tu ERP
SAP y otros sistemas de gestión siguen registrando las transacciones.
1. Un canal oficial con cada proveedor
El registro y la vinculación, los documentos, las ofertas, la adjudicación y el estado de las facturas viven en el portal, y las órdenes de compra se publican ahí para el proveedor. Si una orden no está en el portal, no se despacha.
2. Acceso por roles y permisos
Tu equipo controla los accesos mediante roles y permisos, y el soporte solo entra con autorización expresa y por tiempo limitado. El doble factor de autenticación (MFA) es obligatorio para los roles administrativos; el doble factor general y el acceso con identidad corporativa son funciones avanzadas que se habilitan por proyecto, según las políticas del cliente.
3. Doble control en lo que mueve dinero
El cambio de datos bancarios de un proveedor se solicita en el portal, con su soporte, y no se aplica sin la aprobación de una persona autorizada. Aunque alguien robe la contraseña de un proveedor, el cambio no se aplica sin esa aprobación, y queda registrado quién lo pidió y quién lo aprobó.
4. Documentos verificados, no solo recibidos
Como complemento, el agente de verificación revisa el expediente del proveedor durante la vinculación de proveedores y avisa lo que necesita atención, por ejemplo un certificado bancario vencido. La persona decide. Si estás definiendo qué revisar en cada expediente, consulta nuestra guía de homologación de proveedores.
5. Tu ERP queda detrás del portal
Con SAP, la solicitud de pedido liberada se convierte en una petición de oferta en el portal y, al adjudicar, la información vuelve a SAP. El proveedor no entra a tu ERP, y el alcance, los permisos y las evidencias de la integración se definen con tu equipo de TI y de seguridad antes de conectarla.
6. IA que prepara; personas que deciden
Egixia no usa la información de sus clientes para entrenar ni mejorar modelos de IA, y ningún resultado se aplica sin revisión humana previa. Los agentes proponen y un usuario autorizado aprueba: no envían comunicaciones a terceros ni adjudican o aprueban pagos por sí solos.
Protección de la información y evidencia para tu equipo de TI
- La información en tránsito y los documentos de proveedores almacenados se protegen mediante cifrado.
- Tu equipo controla el acceso con roles y permisos; el soporte accede únicamente con autorización expresa y por tiempo limitado.
- Realizamos pruebas de penetración externas y ofrecemos el informe ejecutivo bajo acuerdo de confidencialidad.
Tu equipo puede revisar el alcance de los controles de acceso, protección de información y continuidad bajo acuerdo de confidencialidad. Más detalles en Seguridad y Confianza.
Protección de datos de proveedores: qué ley aplica en cada país
Un portal de proveedores trata datos personales: nombres, correos y teléfonos de los contactos, documentos de identidad de los representantes legales y, a veces, datos bancarios de personas naturales. Si tu portal reúne proveedores de varios países, cada uno trae su ley. Estas son las principales de la región:
| País | Norma principal | Autoridad | A tener en cuenta |
|---|---|---|---|
| Colombia | Ley 1581 de 2012 | Superintendencia de Industria y Comercio (SIC) | Autorización del titular y contrato de transmisión cuando un encargado trata los datos por cuenta de tu empresa. |
| México | Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde marzo de 2025 | Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI | Aviso de privacidad, consentimiento y derechos de acceso, rectificación, cancelación y oposición (ARCO). |
| Perú | Ley 29733 y su nuevo reglamento (Decreto Supremo 016-2024-JUS) | Autoridad Nacional de Protección de Datos Personales | Aviso de incidentes de seguridad, en principio dentro de 48 horas, y oficial de datos personales en ciertos casos. |
| Chile | Ley 19.628, que será reemplazada por la Ley 21.719 | Agencia de Protección de Datos Personales, creada por la Ley 21.719 | La Ley 21.719 está prevista para el 1 de diciembre de 2026. A fines de octubre, el Senado aprobó aplazarla al 15 de octubre de 2027 y el cambio sigue su trámite. |
| Brasil | Lei Geral de Proteção de Dados (LGPD, Ley 13.709 de 2018) | Autoridade Nacional de Proteção de Dados (ANPD) | Una base legal para cada tratamiento y comunicación de incidentes a la autoridad. |
| Argentina | Ley 25.326 | Agencia de Acceso a la Información Pública (AAIP) | Consentimiento e inscripción de las bases de datos. |
| Ecuador | Ley Orgánica de Protección de Datos Personales (2021) | Superintendencia de Protección de Datos Personales | Medidas de seguridad y notificación de incidentes. |
| Panamá | Ley 81 de 2019 | Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) | Consentimiento y medidas de seguridad. |
Resumen informativo al 6 de noviembre de 2026; no es asesoría legal. Valida con tu equipo jurídico los requisitos de cada país.
En Egixia actuamos como encargados de la información que tu empresa carga en el portal, incluidos los datos de contacto de tus proveedores, y firmamos contigo un contrato de transmisión de datos personales conforme a la Ley 1581 de 2012 de Colombia. Cuando tu portal opera en otros países, acordamos los requisitos de cada proyecto antes de la contratación.
Ocho preguntas para tu comité de tecnología antes de elegir un portal de proveedores
Son las preguntas que vale la pena hacerle a cualquier portal de proveedores antes de contratarlo. También a nosotros.
- ¿Dónde se alojan mis datos y cómo quedan separados de los de otros clientes?
- ¿Qué usuarios tienen doble factor de autenticación obligatorio?
- ¿Cómo se cambia la cuenta bancaria de un proveedor y quién lo aprueba?
- ¿Cómo puede un proveedor verificar que una orden de compra es real?
- ¿La inteligencia artificial entrena con mis datos?
- ¿Qué decide la IA sola y qué decide una persona?
- ¿Qué queda registrado y quién puede consultarlo?
- ¿Cómo y en qué plazo me avisas si hay un incidente de seguridad?
¿Por dónde empezar esta semana?
- Declara el portal como canal único. Avisa por escrito a tus proveedores que nunca pedirás cambios bancarios por correo, teléfono o mensajería, y que una orden de compra solo es válida si está publicada en el portal.
- Pon doble control a lo que mueve dinero. Ningún cambio de cuenta ni pago urgente sin una segunda persona que lo confirme por un canal distinto al de la solicitud, con los contactos que ya tienes registrados.
- Cuida lo que publicas y la IA que usas. Revisa qué información de cargos, proveedores y procesos está a la vista, y define qué herramientas de IA están autorizadas para que contratos y datos de proveedores no terminen en herramientas públicas.
Recursos relacionados
Conclusión
La inteligencia artificial hace más convincente a quien quiere engañarte, pero también hace más rápida la verificación. La diferencia la marca el canal. Cuando la relación con tus proveedores vive en un portal con acceso por roles, órdenes publicadas y aprobación de una persona en lo que mueve dinero, el engaño necesita mucho más que un buen correo.
¿Tus proveedores reconocerían hoy una orden de compra falsa con tu logo?
Te mostramos en 30 minutos, con datos de ejemplo, cómo se vincula un proveedor, cómo se aprueba un cambio de datos bancarios y cómo verifica un proveedor sus órdenes de compra en el portal.
Se integra con tu ERP, no lo reemplaza.
Preguntas frecuentes
Fuentes
- ESET. ESET Security Report Latinoamérica 2026 (962 organizaciones de 10 países): https://www.welivesecurity.com/es/informes/eset-security-report-2026-ciberseguridad-empresas-latinoamerica/
- ESET WeLiveSecurity, con datos de Mandiant (M-Trends 2025), credenciales robadas como vía de acceso, 23 de junio de 2025: https://www.welivesecurity.com/es/seguridad-corporativa/contrasenas-robadas-principal-vector-de-acceso/
- Secretaría de Seguridad y Protección Ciudadana de México, alerta sobre fraudes que suplantan a directivos y proveedores, 18 de octubre de 2026: https://ecodiario.mx/noticia/alerta-sspc-sobre-fraudes-que-suplantan-a-directivos-y-proveedores
- ChileCompra, casos de documentos falsos o adulterados en compras públicas, 7 de enero de 2025: https://www.chilecompra.cl/2025/01/ministerio-publico-investiga-10-casos-denunciados-por-el-observatorio-chilecompra-por-presunta-falsificacion-y-adulteracion-de-documentos-en-procesos-de-compras/
- Diario Financiero (Chile), estafa con órdenes de compra falsas a proveedores de la minería, 10 de abril de 2021: https://www.df.cl/la-elaborada-estafa-que-se-repite-a-proveedores-de-la-mineria
- Semana (Colombia), la modalidad «Te envío la orden de compra», 12 de agosto de 2025: https://www.semana.com/economia/empresas/articulo/te-envio-la-orden-de-compra-la-modalidad-de-estafa-de-moda-que-azota-a-las-empresas/202534/
- EPM, alerta a proveedores por falsas órdenes de compra, 27 de septiembre de 2018: https://www.epm.com.co/proveedoresycontratistas/noticias-y-novedades/epm-alerta-a-los-proveedores-y-contratistas-por-modalidad-delictiva-de-falsas-ordenes-de-compra-en-nombre-de-la-empresa-y-sus-filiales/
- OWASP, Top 10 para aplicaciones con modelos de lenguaje, edición 2025 (sin enlace).
- Garrigues, nueva ley federal de protección de datos de México, 2025: https://www.garrigues.com/es_ES/noticia/mexico-nueva-ley-federal-proteccion-datos-personales-posesion-particulares-introduce
- El Peruano, nuevo reglamento de la Ley 29733, 30 de noviembre de 2024: https://elperuano.pe/noticia/258993-proteccion-de-datos-personales-ejecutivo-aprueba-nuevo-reglamento-de-la-ley-n-29733
- Emol (Chile), el Senado aprueba aplazar la Ley 21.719, 28 de octubre de 2026: https://www.emol.com/noticias/Economia/2026/10/28/1215480/ley-datos-personales-senado-postergacion.html