Cinco PAC revocados y dos en camino:
La Secretaría Anticorrupción informó:
El 18 de octubre de 2026, la Secretaría Anticorrupción y Buen Gobierno (SABG) dio a conocer, mediante su comunicado No. 121, que el Órgano Interno de Control en el SAT detectó siete Proveedores de Certificación de CFDI (PAC) que, según la dependencia, realizaban operaciones con Empresas que Facturan Operaciones Simuladas (EFOS), las conocidas "factureras".
El dato que hace relevante la noticia es su escala: en conjunto, esos siete proveedores validan aproximadamente el 20.53 % de la facturación nacional. Dicho de otra forma, una de cada cinco facturas emitidas en el país pasa por alguno de ellos.
A la fecha, el SAT ha revocado la autorización de cinco de esos proveedores. Los dos restantes están en procedimiento administrativo de revocación y el comunicado no revela sus nombres.
¿Qué es un PAC y por qué debería importarte?
Un Proveedor Autorizado de Certificación es la empresa que el SAT autoriza para validar tu XML, asignarle el folio fiscal (UUID) e incorporarle el sello digital de la autoridad. Sin ese paso, el documento no es un CFDI válido.
Lo delicado es que la mayoría de los contribuyentes no contrata al PAC directamente. Factura desde un ERP, un sistema de nómina o una plataforma en línea que, por detrás, timbra con uno o varios PAC. Por eso es común que una empresa descubra que su proveedor fue revocado cuando el sistema deja de timbrar.
Los cinco PAC revocados
El comunicado no anuncia revocaciones nuevas: recapitula casos que el SAT fue publicando en su portal entre julio y octubre de 2026. Esta es la cronología, de lo más reciente a lo más antiguo.
Fuera del comunicado hay un sexto caso del año: el 10 de julio el SAT revocó a InvoiceOne (Sistemas de Emisión Digital, S.A. de C.V., RFC SED1102088J7).
Lo que el comunicado no dice
Hay tres vacíos que conviene tener presentes antes de sacar conclusiones.
Primero, no sabemos quiénes son los otros dos proveedores. Mientras no se publique su revocación, cualquier contribuyente podría estar timbrando con alguno de ellos sin saberlo.
Segundo, el listado del SAT no explica el motivo de cada revocación. Como advierte EDICOM, aparecer en esa lista no permite atribuirle automáticamente fraude a un proveedor. La vinculación con EFOS es una afirmación de la SABG que todavía puede discutirse.
Tercero, el asunto seguirá en tribunales. La SABG anunció procedimientos ante el Tribunal Federal de Justicia Administrativa y el Poder Judicial Federal, y al menos Comercio Digital ya calificó la medida de unilateral y arbitraria frente a sus clientes.
¿Qué pasa con mis facturas ya emitidas?
La respuesta corta es que siguen siendo válidas. La revocación afecta la autorización del PAC para certificar a futuro; no invalida automáticamente los CFDI que certificó cuando estaba autorizado.
El riesgo real está hacia adelante. La regla 2.7.2.12 de la RMF 2026 fija un periodo de transición de 90 días naturales, contado desde que surte efectos el oficio de revocación, y lo divide en dos etapas:
El error más común es leer "90 días" como el plazo para seguir facturando. En la práctica, el margen útil es de 30 días. EdiFactMx lo ilustra bien: dejó de certificar el 10 de octubre, aunque su transición completa termina hasta el 9 de diciembre.
Cómo saber si te afecta, en dos minutos
No necesitas preguntarle a nadie el nombre de tu PAC: está escrito en tus propias facturas.
Abre el XML de cualquier CFDI que hayas emitido recientemente, con un editor de texto o un visor de XML.
Busca el nodo tfd:TimbreFiscalDigital.
Localiza el atributo RfcProvCertif: ese es el RFC del PAC que certificó la factura.
Compáralo con la lista de proveedores autorizados y con la relación de revocados del SAT.
Hazlo con facturas de ingreso, de nómina y complementos de pago por separado. Muchas empresas timbran cada tipo de CFDI desde un sistema distinto y, por lo tanto, con PAC distintos.
Si tu PAC está en la lista
Pide a tu proveedor el aviso formal con las fechas exactas de su transición.
Respalda los XML y PDF de tus comprobantes, junto con los acuses de cancelación y tus reportes de facturación.
Pregunta qué pasará con los timbres que ya pagaste; no supongas que el saldo se transfiere a otro proveedor.
Identifica las facturas pendientes de cobro, porque sus complementos de pago se emitirán desde el nuevo PAC.
Elige un PAC autorizado y prueba todos los tipos de CFDI que emites, incluida la nómina, antes de que termine la primera etapa.
Considera un esquema multi-PAC, que permite cambiar de certificador sin detener la facturación.
No canceles ni reemitas facturas de forma masiva solo por la noticia: primero verifica su estatus en el portal del SAT.
La lectura fiscal y de prevención de lavado
Más allá de la continuidad operativa, la noticia confirma que la autoridad está atacando a las factureras por un flanco nuevo: la infraestructura que certifica sus comprobantes. Esto tiene consecuencias para quien recibe facturas, no solo para quien las emite.
Para quien deduce. Si alguno de tus proveedores llega a aparecer en las listas del artículo 69-B del CFF, la autoridad presumirá que sus operaciones son inexistentes. Tu defensa será la materialidad: contratos, entregables, evidencia de pago y de la prestación real del servicio. Conviene revisar hoy a tus proveedores en las listas del SAT, no cuando llegue la carta invitación. Recordemos además que expedir o adquirir comprobantes de operaciones simuladas es una conducta tipificada en el artículo 113 Bis del CFF.
Para los sujetos obligados en PLD. Las factureras rara vez operan solas: suelen apoyarse en estructuras societarias opacas para ocultar a quien realmente se beneficia. Por eso la información de beneficiario controlador (artículos 32-B Ter a 32-B Quinquies del CFF) y la identificación del cliente que exige la LFPIORPI a quienes realizan Actividades Vulnerables son controles complementarios. Un cliente que paga con recursos de empresas listadas como EFOS, o cuya estructura no permite identificar a su dueño real, es una señal de alerta que debe quedar documentada en tu matriz de riesgo.
Para la gestión de riesgos. El timbrado es un proceso crítico, igual que la banca o la nómina. Un PAC debería evaluarse con la misma diligencia que cualquier proveedor que puede detener la operación del negocio.
En resumen
Cinco PAC ya fueron revocados, dos más están en camino y entre todos certifican una de cada cinco facturas del país.
Tus CFDI ya emitidos siguen siendo válidos, pero el margen para migrar es de 30 días, no de 90.
Revisar el RfcProvCertif de tus XML hoy cuesta dos minutos; descubrirlo cuando el sistema deje de timbrar puede costar la cobranza o la nómina de un mes.
Escríbenos en integracompliance.com.mx.
Fuentes: Comunicado 121 en gob.mx, el CFF, la RMF 2026, el Anexo 29, las listas del SAT de PAC revocados y autorizados, y la LFPIORPI.