Boletín Nº 6319
Ciberseguridad financiera en México: el reto de combatir el fraude generado con IA
Mexico, Septiembre 17 , 2026
Fuente: It SItio
Proteger al cliente también implica diseñar procesos que permitan detectar bots, documentos falsos y operaciones que no son coherentes entre sí.
La digitalización de los servicios financieros hizo más sencillo solicitar una tarjeta, contratar un seguro o tramitar un crédito desde el celular. Pero esa misma facilidad también abrió nuevas oportunidades para los defraudadores. En México, la identidad digital se convirtió en una de las principales fronteras de seguridad para bancos, aseguradoras y otras instituciones financieras.
Arturo Jiménez, director de Tecnología de Grupo CSI, considera que el principal cambio está en que la ciberseguridad dejó de ser un elemento adicional para convertirse en una condición necesaria para operar. La compañía tiene 35 años de experiencia en los sectores de banca y seguros y trabaja con procesos de originación digital, desde la experiencia del usuario hasta la seguridad de los datos.
De acuerdo con cifras de la CONDUSEF, los fraudes cibernéticos representaron 71% de los posibles fraudes registrados al cierre de 2023, frente a 59% en 2018. Además, durante 2026 se ha documentado de manera recurrente casos de suplantación de instituciones financieras. Tan solo en agosto, 11 instituciones notificaron haber sido suplantadas mediante el uso indebido de sus nombres, logotipos o información para engañar a personas que buscaban servicios financieros.
Solo el 48% de los países de la región cuenta con una estrategia nacional de ciberseguridad.
La seguridad dejó de ser un “extra” para las instituciones financieras
“La seguridad pasó de ser, como tú dices, un add-on que le daba confianza al usuario a algo que ya es completamente normativo”, explica el directivo.
En México, la regulación sobre biometría también avanzó durante 2026. La CNBV estableció requerimientos técnicos para la captura de huellas dactilares y biometría facial, además de contemplar procesos de verificación y resguardo de esta información.
El problema es que la tecnología que ayuda a defender a las instituciones también puede reducir las barreras de entrada para los atacantes. Jiménez señala que hoy existen servicios y herramientas que permiten ejecutar ataques con menos conocimientos técnicos que antes.
“Ya con que tengan una tarjeta con la cual comprar un servicio, pues ya es como muy sencillo […] perpetrar un ciberataque”, señala.
Uno de los puntos más interesantes de la conversación con Jiménez es que los atacantes no necesariamente necesitan romper todos los controles de una institución. Pueden intentar encontrar una vulnerabilidad en la conexión entre ellos.
El directivo describe estas zonas como “fronteras de confianza” o “costuras” entre diferentes sistemas de validación. Una institución puede comprobar correctamente una prueba de vida, validar una identificación y revisar una huella, pero el riesgo aparece cuando esos controles no se comunican entre sí.
“No solamente que la prueba de vida haya sido exitosa, no solamente que la validación […] haya sido exitosa […] sino también validar las excepciones a las reglas y cómo, en conjunto, las reglas de negocio hacen que un trámite avance o que no avance”, explica.
Un ejemplo sencillo sería el de una persona que no puede utilizar una huella porque tiene una lesión. En ese caso puede existir un mecanismo alternativo de identificación. Para un sistema de seguridad, la pregunta no debería ser únicamente si esa segunda identificación es válida, sino si todo el comportamiento del trámite mantiene coherencia.
La inteligencia artificial también cambia el fraude
La inteligencia artificial añade otra capa de complejidad. Los sistemas automatizados pueden generar documentos, imágenes, voces y otros contenidos que hacen más convincentes determinados intentos de suplantación.
El Banco de México advirtió en su Reporte de Estabilidad Financiera de junio de 2026 que los deepfakes y el contenido sintético pueden utilizarse en campañas de fraude financiero y afectar la confianza de los usuarios. El reporte cita, además, estimaciones del Foro Económico Mundial según las cuales los casos de fraude mediante deepfakes en América del Norte aumentaron alrededor de 1,740% entre 2022 y 2023.
La propia CONDUSEF también advierte sobre el posible uso de inteligencia artificial para perfeccionar la suplantación de instituciones financieras, incluyendo audios y videos falsos que imiten a supuestos representantes.
No todas las instituciones mexicanas parten del mismo nivel de preparación. Jiménez considera que los grandes bancos y aseguradoras suelen contar con más experiencia, infraestructura y procesos para reconstruir un incidente y aprender de él.
El reto puede ser mayor para organizaciones pequeñas cuyos procesos todavía dependen de actividades manuales.
“Yo diría que quienes están más en riesgo son los procesos pequeños que tienen poca cantidad de trámites”, explica.
Esto es particularmente importante para instituciones como algunas SOFOM, donde el volumen de operaciones puede ser menor, pero el impacto de un fraude sigue siendo relevante.
La respuesta, de acuerdo con el directivo, tampoco implica validar absolutamente todo. Una estrategia eficiente consiste en identificar en qué momentos del proceso realmente se necesita una verificación más robusta. “El riesgo verdaderamente es en saber dónde es necesario hacer una validación y dónde no”, afirma.
Esta visión también puede ayudar a reducir costos y evitar que la seguridad termine convirtiéndose en una experiencia excesivamente complicada para el usuario.
El reto es proteger sin hacer más difícil la vida del usuario
La seguridad financiera tiene una paradoja: mientras más controles se agregan, mayor puede ser la protección, pero también aumenta la fricción.
Pedir constantemente documentos, fotografías, videos, códigos o validaciones adicionales puede hacer que una persona abandone un trámite o desconfíe de la institución.
Por eso Jiménez considera que una buena parte de las verificaciones debería ocurrir detrás de la experiencia visible para el usuario.
“La mayor parte de las verificaciones ni las siente el usuario, que todas pasen por detrás, que sea muy natural y, sobre todo, que el usuario no se sienta en riesgo”, señala. La velocidad de los cambios regulatorios es otro desafío. Según Jiménez, las instituciones necesitan adaptar sus procesos rápidamente cuando aparecen nuevas obligaciones, lo que implica contar con presupuesto, tecnología y proveedores capaces de responder en periodos cortos.
Aunque las instituciones tienen una responsabilidad importante en la seguridad de los datos, Jiménez considera que la protección debe ser compartida.
Un ejemplo común es el robo de códigos mediante mensajes falsos. Un delincuente puede hacerse pasar por una empresa de paquetería, solicitar un código recibido por SMS y utilizarlo para tomar control de una cuenta o ampliar la información disponible sobre la víctima.
Su recomendación para los usuarios es utilizar múltiples factores de autenticación, no compartir códigos y ayudar especialmente a familiares mayores a reconocer este tipo de engaños.
También recomienda revisar a quién se entregan los datos biométricos o personales. Antes de contratar un crédito o descargar una aplicación financiera, el usuario debería comprobar que la institución existe y revisar su aviso de privacidad.
La CONDUSEF recomienda precisamente consultar el SIPRES antes de contratar servicios financieros y advierte que los suplantadores pueden utilizar nombres, logotipos y sitios similares a los de instituciones legítimas.
Fuente: It SItio