Fraude bancario digital gana escala en Latam

Fraudes más frecuentes

Infobae describió que en América Latina las tácticas más usadas para vaciar cuentas bancarias incluyen phishing con enlaces maliciosos, suplantación de identidad de bancos por llamadas y mensajes, aplicaciones falsas para capturar credenciales y malware con herramientas de acceso remoto para tomar control de los dispositivos de las víctimas.

La misma nota advierte que un solo clic en un enlace o archivo malicioso puede abrir la puerta al robo de credenciales, a la instalación de malware y a la captura de códigos de autenticación de doble factor, lo que permite a los atacantes acceder a cuentas bancarias.

Ingeniería social, ahora con escala regional

En Chile, bancos emitieron una alerta por el aumento del vishing, una modalidad en la que ciberdelincuentes llaman a los usuarios simulando ser ejecutivos de banco, soporte técnico o policías para robar contraseñas y claves de transferencias. El Mostrador señala además que este fraude se vuelve más efectivo cuando aprovecha datos personales filtrados previamente en internet para ganar confianza.

La normativa de seguridad citada por ese medio indica que los bancos nunca solicitarán por teléfono claves secretas, contraseñas de transferencias, códigos de tarjetas de coordenadas ni validación de operaciones en la app mientras el cliente está en llamada. Cualquier pedido de ese tipo debe tomarse como indicio de fraude. También recuerda que, bajo la Ley de Fraudes en Chile, las instituciones financieras deben mantener canales de bloqueo 24/7 para tarjetas y accesos digitales, recibir reclamos formales por extravío, robo o fraude y respetar los plazos legales de respuesta y eventual restitución de montos.

CronUp, por su parte, alertó sobre una campaña masiva de smishing en Chile que se expande mediante SMS con enlaces a sitios fraudulentos que suplantan organismos públicos y entidades financieras. La operación incorpora nuevos dominios de forma constante y busca obtener información personal y financiera mediante ingeniería social.

Brasil y el salto a estructuras criminales

Evertec Trends describe que en Brasil las fraudes financeiras dejaron de ser cometidas principalmente por individuos aislados y pasaron a manos de organizaciones criminales altamente estructuradas, con división de funciones entre especialistas en ingeniería social, desarrollo de malware, lavado de dinero, apertura de cuentas de paso y producción de documentos falsos.

Ese análisis también marca que el avance del open banking y el intercambio consentido de datos financieros está siendo aprovechado por actores maliciosos que simulan consentimientos, secuestran sesiones de autenticación o usan ingeniería social para convencer a clientes de autorizar accesos indebidos. Según el informe, el riesgo dejó de concentrarse en la tecnología y se desplazó hacia la manipulación del comportamiento humano.

El mismo trabajo documenta fraudes de identidad que incluyen fraude sintética, con combinación de datos reales y ficticios, y el uso de selfies manipuladas por IA, o deepfakes, para burlar la biometría facial en procesos de onboarding digital y verificación de identidad en bancos y fintechs.

Argentina, México y otras señales de alerta

Un reporte de Mercado, basado en los informes de Sumsub y BioCatch, señala que en América Latina los fraudes avanzados con identidades generadas con IA crecieron 180%, mientras que las estafas por ingeniería social asociadas al fraude bancario digital aumentaron 155%.

En Argentina, aun con una caída del 20% en el volumen general de incidentes, las estafas se volvieron más peligrosas: crecieron 183% las estafas de ingeniería social y 66% el uso de deepfakes de identidad, lo que tensiona los controles de identidad digital de bancos y fintechs locales. Otra advertencia difundida por medios argentinos, con recomendaciones de Argentina.gob.ar, apunta a una nueva modalidad donde se bloquea el home banking y luego se realiza una llamada simulando ser del banco. La recomendación oficial es colgar y comunicarse por canales oficiales, sin entregar usuarios, contraseñas, PIN, tokens ni códigos recibidos por mensaje durante la llamada.

En México, NoticiasNeo reportó que el phishing creció 202% y detalló siete evidencias digitales que conviene preservar para una denuncia efectiva, entre ellas el correo o mensaje original con encabezados completos, la URL del sitio fraudulento, capturas de pantalla, registros de llamadas con ingeniería social y comprobantes de transferencias.

Más casos en la región

Vanguardia registró 866 denuncias recientes por fraude cibernético en Bucaramanga, Colombia, y recomendó blindar credenciales con contraseñas fuertes y autenticación multifactor, además de desconfiar de mensajes con urgencia y verificar remitentes, dominios y URLs antes de hacer clic o entregar información.

Elonce describió que las estafas digitales evolucionaron hacia esquemas complejos en los que bandas criminales usan inteligencia artificial, ingeniería social, campañas en redes sociales y estructuras financieras para dificultar el rastreo del dinero. En Venezuela, IP Media Group, citando a ESET, advirtió sobre falsas colectas y páginas de donaciones que incluso recurren a IA para generar noticias o videos de supuestas víctimas, con el objetivo de explotar la urgencia emocional y obtener datos financieros o donaciones fraudulentas.

ConAcento, en México, también recogió la explicación de un especialista en ciberseguridad que describió a estas estafas como operaciones de organizaciones criminales con estructuras definidas, donde distintos miembros captan víctimas, desarrollan la ingeniería social, explotan IA para suplantar identidades y luego lavan el dinero.

BBVA México, en su guía de prevención de fraudes digitales, insiste en que los delincuentes aprovechan la urgencia para que el usuario entregue información de forma voluntaria. El banco indica que nunca solicitará claves por llamadas, mensajes o correos, recomienda cortar la comunicación, verificar por canales oficiales y usar funciones como "Apagar tarjeta" junto con el cambio inmediato de contraseñas tras un incidente.