México: CNBV y Banxico endurecen controles

La CNBV informó que 977 personas participaron en la segunda evaluación de 2026 para la certificación en prevención de lavado de dinero y financiamiento al terrorismo. En paralelo, varios reportes atribuyen a Banxico y a la CNBV nuevos cambios en ciberseguridad y en la operatoria del SPEI, aunque esas exigencias todavía requieren corroboración en la publicación oficial.

¿Qué confirmó la CNBV?

La CNBV publicó que realizó la segunda evaluación de 2026 para la certificación en prevención de lavado de dinero y financiamiento al terrorismo, con participación de 977 personas. El dato fue difundido por el propio organismo el 24 de octubre de 2026.

Esa comunicación oficial es, por ahora, el único punto plenamente confirmado entre los materiales reunidos. El resto de las novedades que circulan sobre el sistema financiero mexicano aparecen atribuidas a terceros y no al texto regulatorio original.

¿Qué cambios se atribuyen a Banxico y la CNBV?

Un análisis de Safeguard.sh atribuye a la CNBV y a Banxico exigencias que incluirían notificación inmediata de incidentes, dos pruebas de penetración independientes por año para bancos, entrega de conclusiones a la CNBV dentro de 20 días hábiles y planes de remediación dentro de 10 días hábiles. La propia fuente aclara que no se trata del texto oficial de la regulación.

El mismo material sugiere que esas obligaciones formarían parte de un marco de seguridad financiera más amplio, pero esa interpretación debe tomarse como preliminar hasta que aparezca la versión oficial. Por eso, los plazos y la mecánica de cumplimiento no pueden presentarse como definitivos con la información disponible.

¿Qué se dijo sobre SPEI y las transferencias móviles?

Syswork México informó que la Circular 9/2026 de Banxico modificaría las reglas del SPEI y fijaría el 14 de diciembre de 2026 como plazo para que bancos y fintechs homologuen las transferencias SPEI desde dispositivos móviles. Esa afirmación también queda pendiente de verificación en la publicación oficial.

En la misma línea, otros medios citados en el material, como El Informador y Diario del Yaqui, difundieron notas sobre cambios en las transferencias bancarias desde el celular, pero el paquete de información disponible no incluye el texto normativo que permita confirmar el alcance exacto de esas modificaciones.

¿Qué impacto operativo describen las fuentes?

El Economista reportó que el grupo denominado CyberCartel habría usado inteligencia artificial para coordinar ataques contra más de 400 objetivos financieros en América Latina, aunque aclaró que esa cifra no equivale a intrusiones exitosas y que las organizaciones afectadas permanecen anónimas. El medio también señaló ocho incidentes registrados en México entre enero y mayo de 2026, frente a cuatro en 2025.

Según ese mismo reporte, los daños determinados alcanzaron 125.63 millones de pesos, mientras que cuatro casos seguían con la evaluación económica pendiente. La nota añadió que ninguno de los episodios fue atribuido al grupo CyberCartel.

El Economista también atribuyó a investigadores de Straiker el hallazgo de 43 credenciales pertenecientes a una empresa fintech. Ese material, según el reporte, podría facilitar operaciones indebidas relacionadas con SPEI, pero no demostró una intrusión en la infraestructura central de Banxico ni cuantificó transacciones ilícitas.