Certificados de vacunación falsos en México: cómo detectarlos en RRHH

Un certificado de vacunación falso es un documento —Cartilla Nacional de Salud en papel, reimpresión digital con folio o certificado de vacunación COVID-19 con código QR— fabricado, alterado o reutilizado con los datos de otra persona para acreditar una inmunización inexistente. En el sector salud mexicano (hospitales, clínicas, unidades del IMSS e ISSSTE, guarderías y residencias de cuidado) se exige al incorporar personal, para justificar la protección frente a hepatitis B, sarampión-rubeola-parotiditis, varicela o influenza estacional.

El fenómeno no se limita a la COVID-19, aunque fue entonces cuando se disparó: en la Ciudad de México, vendedores de la Plaza de Santo Domingo llegaron a comercializar certificados falsos por entre 500 y 600 pesos, con QR que redirigían a sitios clonados del portal oficial, según documentó InsightCrime. A escala global, Check Point Research documentó que los vendedores de certificados falsos en Telegram pasaron de mil a diez mil en un mes, apoyados en bots que generan PDF automáticamente. Esa cadena sigue activa para cualquier vacuna que un empleador exija acreditar.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Las referencias normativas son exactas a la fecha de publicación. Consulte con su asesoría legal o con el área de salud en el trabajo de su organización para su caso concreto.

Por qué hospitales, residencias y guarderías son un objetivo específico del fraude de vacunación

El sector salud mexicano concentra el riesgo porque combina alta rotación de personal, obligaciones de acreditación frente a terceros (IMSS, ISSSTE, Secretaría de Salud) y ausencia de un registro único al que RRHH pueda acceder. El certificado se revisa casi siempre en papel o PDF adjunto, sin contrastarlo con el sistema emisor.

Como en otros países, en México no existe una obligación legal general de vacunarse para trabajar en el sector salud: el artículo 132 de la Ley Federal del Trabajo obliga al patrón a mantener condiciones de seguridad e higiene, pero no le otorga la facultad de imponer una vacuna como condición de empleo sin consentimiento. La aplicación de biológicos al personal está regulada por la NOM-036-SSA2-2012 de la Secretaría de Salud, obligatoria en el Sistema Nacional de Salud, pero esa norma no convierte la inmunización en un requisito exigible sin consentimiento.

El centro no puede imponer la vacuna, pero sí pedir la acreditación documental dentro de la evaluación de riesgos del puesto. En ese punto de acreditación —no de obligación— se concentra el incentivo para presentar un certificado falso.

Cuatro tipos de certificado de vacunación y su nivel de exposición al fraude

No todos los formatos que circulan en México ofrecen el mismo nivel de verificabilidad:

El certificado de vacunación COVID-19 digital es el único que ofrece verificación en tiempo real contra una base de datos oficial con solo escanear el QR; la Cartilla en papel y buena parte de los certificados privados aún dependen de la revisión visual.

Cinco señales que delatan un certificado de vacunación falso, alterado o reutilizado

Incoherencias en sellos, firmas y clave de la unidad aplicadora

Una Cartilla Nacional de Salud auténtica mantiene un sello con tipografía y tinta consistentes entre dosis, con la clave de la unidad médica identificable, y una firma que varía de forma natural entre visitas. El análisis estructural detecta sellos duplicados de forma idéntica en distintas páginas, algo imposible en un sellado manual legítimo.

Ausencia o invalidez del código QR o de verificación digital

El certificado de vacunación COVID-19 digital incorpora un QR que remite a la base oficial de la Secretaría de Salud. Uno sin ese código, o cuyo QR redirige a un sitio ajeno al dominio gob.mx, es indicio directo de generación fuera del circuito oficial, el mismo patrón que llevó a la Secretaría de Seguridad Ciudadana de la Ciudad de México a alertar sobre las sanciones para quienes los falsifican.

Fechas de dosis incompatibles con el calendario oficial de vacunación

Un intervalo entre dosis inferior al mínimo que establece la NOM-036, o una pauta completa registrada en un plazo irreal, delata una cartilla llenada de una sola vez y no a lo largo de varias visitas reales, un patrón habitual en falsificaciones manuales.

Reutilización de un certificado auténtico con otra identidad

Un documento genuino, emitido para otra persona, se altera solo en nombre, CURP y número de seguridad social. La validación cruzada entre identidad del certificado y expediente de RRHH detecta estas reutilizaciones, el enfoque de nuestro análisis sobre detección de fraude documental mediante IA.

Anomalías tipográficas y de metadatos propias de documentos generados por IA

Los generadores de imágenes y PDF con IA producen certificados convincentes pero con inconsistencias en metadatos: fuentes ajenas a cualquier software institucional, espaciados irregulares en fecha y lote de vacuna, o ausencia de la capa de texto seleccionable de un PDF oficial. El análisis multicapa —estructural, de metadatos y de coherencia entre documentos— amplía la cobertura de detección mediante la validación cruzada de varios campos del mismo certificado.

Marco regulatorio aplicable en México

El estado de vacunación es un dato personal sensible bajo la LFPDPPP, reformada en marzo de 2025, y requiere consentimiento expreso y por escrito. La autoridad ya no es el desaparecido INAI: desde marzo de 2025 esa función corresponde a la Secretaría Anticorrupción y Buen Gobierno. El centro de salud debe fundamentar la recogida en la evaluación de riesgos del puesto, y limitar el tratamiento a lo necesario.

El Informe a las Naciones 2024 de la ACFE sitúa en el 37% la proporción de fraudes documentales detectados mediante controles manuales, con un retraso medio de 87 días. Ese desfase es especialmente relevante en salud: un certificado falso no detectado puede mantener a una persona no inmunizada en contacto con pacientes vulnerables durante meses, y exponer a la institución a responsabilidad conforme al Código Penal Federal.

Lo que preguntan RRHH y salud en el trabajo en foros del sector

Los equipos de selección y de salud en el trabajo plantean dudas que van más allá de la comprobación visual.

"¿Podemos pedir el certificado a un candidato antes de contratarlo, o solo una vez incorporado?" La recogida debe estar justificada por la evaluación de riesgos del puesto; en la práctica, la mayoría lo solicita en el examen médico de ingreso, no como filtro previo.

"¿Qué hacemos si la cartilla tiene sellos que no reconocemos o fechas que no cuadran?" Ante indicios razonables, el área de salud en el trabajo puede pedir la reimpresión digital equivalente vía el portal del IMSS o contactar con la unidad médica.

"Recibimos decenas de cartillas al mes y no podemos verificar cada sello por teléfono." Este es el argumento a favor de automatizar el primer nivel, reservando la comprobación manual para los casos de riesgo elevado, comparable al enfoque de nuestro artículo sobre detección de recetas y facturas médicas fraudulentas.

Protocolo de verificación recomendado para instituciones de salud

Nivel 1 — Control automatizado: estructura, sellos duplicados, anomalías tipográficas y señales de generación por IA en cada certificado recibido.

Nivel 2 — Score de riesgo: validación cruzada entre identidad del certificado (nombre, CURP, número de seguridad social) y expediente de RRHH, y verificación del QR si el certificado es digital.

Nivel 3 — Revisión del área de salud en el trabajo: comprobación directa con la unidad médica emisora en los casos de mayor riesgo, con comunicación a la Fiscalía si la falsedad queda acreditada.

Una capa adicional de señales de generación por IA, desplegada según la configuración del cliente, actúa como complemento a los controles estructurales existentes, sin sustituir la revisión humana del expediente. La solución de CheckFile para detección de deepfakes y contenido sintético aporta esa capa, sin sustituir la revisión del área de salud en el trabajo ni garantizar la detección de toda falsificación.

CheckFile ofrece una solución para el sector salud y para recursos humanos, con información sobre tarifas y seguridad de datos sensibles. El análisis contextual que distingue variaciones legítimas entre unidades vacunadoras de auténticas señales de fraude mantiene baja la tasa de falsos positivos, clave cuando el volumen de incorporaciones es alto. Consulte nuestra guía de verificación por sectores para un marco comparado.

Preguntas frecuentes

¿Es obligatorio vacunarse para trabajar en un hospital o una clínica en México?

No existe una obligación legal general de vacunarse para el personal de salud en México. El artículo 132 de la LFT obliga al patrón a mantener condiciones de seguridad e higiene, pero no lo faculta a imponer una vacuna sin consentimiento, aunque la NOM-036-SSA2-2012 regule la aplicación de biológicos en el Sistema Nacional de Salud.

¿Puede una institución de salud pedir el certificado de vacunación a un candidato?

Sí, siempre que la recogida esté justificada por la evaluación de riesgos del puesto, dado que el estado de vacunación es un dato personal sensible bajo la LFPDPPP.

¿Cómo se detecta una Cartilla Nacional de Salud falsificada en papel?

Revisando la coherencia de sellos y firmas entre dosis, comprobando que las fechas respetan los intervalos mínimos del calendario oficial, y contrastando, si es posible, con la reimpresión digital del portal del IMSS. Sellos idénticos entre páginas o pautas completas en un plazo irreal son indicios claros de falsificación.

¿Qué hacer si se sospecha que un empleado presentó un certificado de vacunación falso?

El área de salud en el trabajo debe solicitar la reimpresión digital equivalente o contactar con la unidad médica emisora. Si la falsedad se confirma, puede constituir un delito conforme a los artículos 243 a 246 del Código Penal Federal, con las consecuencias laborales que correspondan.

¿La verificación automatizada de certificados de vacunación es compatible con la LFPDPPP?

Sí, siempre que se limite al análisis estructural y de metadatos, sin acceder a más información clínica de la necesaria. Los datos de vacunación son sensibles bajo la LFPDPPP, por lo que el tratamiento debe fundamentarse en la evaluación de riesgos del puesto, nunca en un consentimiento genérico condicionado al empleo.