Fotografía: Redacción CIgdl.
• La ABM y la Condusef alertan por el uso de malware para robar credenciales y tomar el control de dispositivos; en agosto, 11 instituciones financieras reportaron suplantación de identidad.
¿Y si el fraude bancario no comienza cuando entramos a la aplicación del banco, sino mucho antes, cuando abrimos un enlace que parecía inofensivo o nos depositan un cheque que parecía autentico?
Esa es precisamente la alerta que lanzaron la Asociación de Bancos de México (ABM) y la Condusef ante el incremento de intentos de fraude asociados con programas maliciosos o malware, capaces de infiltrarse en teléfonos y computadoras para robar credenciales, interceptar códigos de seguridad o incluso tomar el control del dispositivo.
La precisión es importante: el fraude no necesariamente nace dentro de la aplicación bancaria. Puede comenzar con un SMS, un correo electrónico, una llamada o un enlace que aparenta ser legítimo y que utiliza la vieja receta del engaño: generar urgencia para que el usuario actúe sin verificar.
Una vez instalado el programa malicioso, el delincuente puede operar desde el propio dispositivo de la víctima utilizando credenciales y mecanismos de autenticación previamente comprometidos. Eso vuelve más difícil detectar inmediatamente que la operación no fue realizada por el verdadero usuario.
El malware puede utilizar diferentes mecanismos: control remoto, superposición de pantallas, extensiones maliciosas o archivos y aplicaciones comprometidas. Y aquí aparece una de las contradicciones de la nueva delincuencia financiera: mientras los bancos fortalecen sus sistemas de seguridad, los delincuentes intentan entrar por la parte más vulnerable del sistema: el usuario. No necesariamente necesitan “hackear” al banco. A veces basta con convencer a una persona de instalar una aplicación, abrir un archivo o entregar un código.
Una segunda alerta: instituciones suplantadas. El problema tampoco se limita a las cuentas bancarias.
La Condusef informó que durante agosto de 2026 recibió reportes de 11 instituciones financieras debidamente inscritas en el SIPRES que fueron víctimas de suplantación de identidad. Los delincuentes utilizaron indebidamente nombres comerciales, logotipos e incluso algunos datos fiscales o administrativos para intentar engañar a personas que buscan servicios financieros.
Entre las instituciones reportadas están BTG Pactual Casa de Bolsa, BTG Pactual Gestora de Fondos, Sura Investment Management México, Naica Capital, Fondeo Horizonte y diversas SOFOM.
El dato es relevante porque muestra que el fraude financiero tiene dos frentes: el ataque tecnológico y la ingeniería social. Uno intenta vulnerar el dispositivo; el otro intenta vulnerar la confianza.
De hecho, la Condusef también mantiene una alerta específica para que los usuarios no descarguen aplicaciones desde enlaces recibidos por SMS o correo electrónico.
El usuario también es una línea de defensa
La ABM y la Condusef recomiendan mantener actualizado el sistema operativo, navegador y aplicaciones; descargar programas únicamente de tiendas oficiales; utilizar antivirus; no compartir contraseñas, NIP ni códigos de verificación y nunca instalar herramientas de control remoto por instrucciones de terceros.
También recomiendan revisar directamente la aplicación oficial del banco, verificar monto, beneficiario y cuenta destino antes de autorizar una operación y activar alertas de movimientos. Parece básico. Precisamente por eso funciona.
Porque en esta nueva generación de fraudes, el delincuente no siempre necesita romper una puerta: a veces consigue que alguien se la abra desde adentro.
La recomendación de fondo es sencilla: ante un mensaje sospechoso, detenerse. No responder, no descargar, no instalar y no proporcionar información. Si existe una duda, contactar al banco mediante el número oficial que aparece en la tarjeta o en su sitio institucional.
Y si el dispositivo ya fue comprometido, la recomendación es detener la operación, desconectarlo de internet, contactar inmediatamente a la institución financiera y cambiar las contraseñas desde un equipo seguro.
La tecnología puede hacer más sofisticado el fraude, pero también hace más importante una vieja herramienta que no necesita actualización: la desconfianza inteligente.
Porque la pregunta ya no es solamente qué tan seguro es nuestro banco, que sigue dejando que cheques entregados por la institución sean motivo de fraudes, pero de ese tema, no tienen respuestas.
La pregunta que cabe es: ¿qué tan fácil estamos haciendo que alguien entre a nuestra propia cuenta? O ¿Qué tas difícil es para los bancos enviar una alerta de una cuenta de cheques?
@JErnestoMadrid
jeemadrid@gmail.com
