Fraude bancario por suplantación de identidad: cómo operan y cómo prevenirlos
Recibir un mensaje de texto alertando sobre un movimiento sospechoso en una cuenta bancaria puede parecer un servicio de seguridad legítimo. Sin embargo, una modalidad de fraude en expansión utiliza exactamente ese mecanismo para engañar a sus víctimas: el estafador suplanta la identidad de un empleado bancario mediante SMS o llamada telefónica, advierte sobre una supuesta actividad inusual y conduce a la víctima hacia la autorización de operaciones fraudulentas. Según datos del Instituto Nacional de Ciberseguridad, solo en 2025 se registraron más de 25,000 casos de phishing vinculados a esta modalidad, lo que evidencia la escala del problema y su aceleración en los últimos años.
Detrás de cada caso exitoso existe una arquitectura de manipulación psicológica bien documentada. Los estafadores emplean al menos cuatro técnicas combinadas: la apelación a la autoridad —haciéndose pasar por funcionarios bancarios con credenciales verificables—; la generación artificial de urgencia, que impide que la víctima consulte a terceros o reflexione; la sobrecarga de jerga técnica financiera para intimidar y aparentar dominio de la situación; y el escalamiento gradual de peticiones, que en algunos casos incluye la incorporación de la víctima a grupos de mensajería donde supuestamente otros usuarios también están siendo «protegidos». Un especialista en fraude de una institución financiera de primer nivel describe el mecanismo central: el estafador hace creer a la víctima que está siendo guiada para resolver un problema, cuando en realidad la está conduciendo a realizar transferencias, descargar aplicaciones maliciosas o compartir códigos de verificación.
Más allá de las llamadas y los SMS, esta modalidad ha incorporado vectores tecnológicos más sofisticados. La más reciente evolución implica el uso de la tecnología NFC de los teléfonos móviles: los delincuentes instruyen a la víctima para que descargue una aplicación aparentemente legítima y acerque su tarjeta bancaria al dispositivo, lo que permite capturar los datos necesarios para generar tarjetas virtuales y ejecutar compras o retiros no autorizados. Para las organizaciones, el riesgo no es solo individual: empleados con acceso a cuentas corporativas o sistemas financieros representan un vector de entrada crítico. Las recomendaciones de mitigación son consistentes con los estándares de ciberseguridad empresarial: verificar siempre a través de canales oficiales ante cualquier alerta inesperada, no compartir credenciales ni códigos de un solo uso bajo ninguna circunstancia, y establecer protocolos internos que exijan doble validación antes de ejecutar cualquier operación financiera iniciada por una solicitud externa.
