Apps falsas y brechas de ciberseguridad levantan alerta nacional contra fraudes

Los fraudes contra usuarios de servicios financieros aumentan en México y han llevado a bancos y autoridades a reforzar una alerta nacional. Entre enero y julio, los clientes de la banca presentaron 42 mil 791 reclamaciones por cargos o transferencias no reconocidas, 18.1% más que las 36 mil 222 registradas en igual periodo de 2025, de acuerdo con datos de la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef). A esta alerta se suma el riesgo que enfrentan las propias instituciones financieras en materia de ciberseguridad. Una investigación de la firma especializada Proofpoint encontró que 42% de las principales instituciones financieras en México presenta rezagos en medidas básicas de seguridad, una situación que incrementa la exposición de clientes, empleados y otros usuarios a ataques de suplantación de identidad mediante correo electrónico.

El análisis de Proofpoint revisó la seguridad del correo electrónico de 54 instituciones financieras que operan en México. Para ello utilizó un protocolo denominado DMARC, que ayuda a evitar que los delincuentes envíen correos haciéndose pasar por un banco. Este sistema tiene tres niveles de protección: monitoreo, cuarentena y rechazo. Este último es el más seguro, porque bloquea los correos que no cumplen con las medidas de seguridad. De acuerdo con el director para México de Proofpoint, Luis Isselin, el sector bancario de México se encuentra en un punto de inflexión crítico, pues a medida que la economía digital se acelera, los cibercriminales aprovechan el correo electrónico para suplantar a bancos reconocidos y defraudar a los usuarios. “Si bien es alentador ver que más de la mitad de los bancos en México cuentan con una autenticación de correo electrónico sólida, aún persisten brechas significativas que dejan a millones de personas expuestas a ataques sofisticados de phishing”, dijo el directivo. El análisis de Proofpoint señala que 91% de las instituciones financieras en México ya utiliza algún nivel de protección DMARC. Sin embargo, solo 58% cuenta con el nivel más alto, llamado “Reject”, que bloquea los correos fraudulentos antes de que lleguen a los clientes. El 42% restante no cuenta con este nivel de protección, mientras que casi uno de cada 10 bancos no utiliza DMARC.

En el sector financiero existe preocupación por las distintas modalidades utilizadas por los ciberdelincuentes para atacar a los usuarios. Desde el primer trimestre de 2026 se han emitido alertas ante la proliferación de mensajes SMS fraudulentos que, mediante técnicas de ingeniería social, buscan obtener datos personales y financieros. El tema escaló a inicios de septiembre, cuando la Asociación de Bancos de México (ABM) y la Condusef reforzaron las alertas ante nuevas modalidades de fraude. Una de las principales amenazas es el malware, mediante el cual los delincuentes buscan que las personas instalen aplicaciones o archivos que pueden permitirles obtener credenciales, interceptar códigos de verificación o tomar el control del teléfono. De acuerdo por la alerta emitida por los bancos, el malware se ha detectado principalmente en sistemas Android. Los mensajes provienen de redes sociales, SMS o WhatsApp con ofertas, supuestos accesos a información de espectáculos o deportes, ofertas de plataformas streaming a bajo costo, entre otros. “La prevención y mitigación de este tipo de fraude es prioritario para las instituciones bancarias, ya que el malware permite que el atacante opere desde el propio dispositivo o entorno digital del cliente al utilizar credenciales legítimas y mecanismos de autenticación previamente comprometidos”, señala la alerta conjunta de la ABM y la Condusef. Una vez que el dispositivo es comprometido, los delincuentes pueden intentar utilizar las credenciales legítimas del cliente o mecanismos de autenticación que hayan sido vulnerados para realizar operaciones no autorizadas. Esto también puede dificultar que la institución financiera identifique de inmediato el origen de una transacción fraudulenta. Entre las modalidades identificadas están el control remoto del teléfono, la superposición de pantallas, extensiones maliciosas y la instalación de archivos o aplicaciones comprometidas.

Ante el aumento de estas modalidades, la ABM y la Condusef recomendaron instalar una herramienta antimalware o antivirus y mantenerla activa y actualizada, así como mantener al día el sistema operativo, el navegador y las aplicaciones. También pidieron evitar abrir enlaces recibidos en mensajes inesperados y descargar aplicaciones únicamente desde tiendas oficiales. Los usuarios no deben compartir contraseñas, NIP ni códigos de verificación, ni instalar herramientas de control remoto por indicación de terceros. Antes de autorizar una transferencia , es necesario verificar el monto, el beneficiario y la cuenta de destino. También se recomienda activar las alertas de movimientos y revisar directamente en la aplicación oficial del banco las operaciones realizadas. Entre las principales señales de alerta están los mensajes que generan urgencia, las solicitudes de contraseñas, NIP, códigos de verificación o datos de tarjetas, las instrucciones para instalar aplicaciones o permitir acceso remoto, así como los enlaces o páginas sospechosas y cambios inusuales en el funcionamiento del celular. Si se recibe un mensaje sospechoso, la recomendación es no descargar archivos ni aplicaciones, bloquearlo y reportarlo. En caso de dudas, el usuario debe comunicarse con su institución financiera mediante el número que aparece al reverso de su tarjeta o a través del sitio oficial del banco. Si el usuario sospecha que su dispositivo fue comprometido o detecta una operación que no reconoce, la ABM y la Condusef recomiendan detener la transacción, desconectar el equipo de internet y contactar de inmediato a la institución financiera por sus canales oficiales. También se deben cambiar las contraseñas desde un dispositivo seguro.