Fraude digital en fintech: la deuda pendiente del ecosistema mexicano
El auge de las billeteras digitales y los neobancos en México ha reconfigurado el acceso a servicios financieros para millones de personas. Pero el mismo canal que democratizó los pagos se ha convertido en el blanco más lucrativo del fraude financiero digital. Mientras la base de usuarios de plataformas como Mercado Pago, Nu, Klar y Spin by Oxxo suma decenas de millones de cuentas, las quejas por operaciones no reconocidas, robo de cuenta y transferencias fraudulentas crecen a un ritmo que el ecosistema no ha logrado contener.
Un problema de escala que los datos empiezan a revelar
La CONDUSEF reportó en su informe anual de Reclamaciones 2023 que las instituciones de fondos de pago electrónico (IFPE) concentraron un incremento sostenido en quejas relacionadas con fraude cibernético, con tasas de crecimiento superiores al 30% interanual en algunas categorías. Aunque la resolución favorable al usuario sigue siendo más alta en instituciones con mayor madurez operativa, el volumen bruto de incidentes se expande junto con la penetración digital.
El dato más revelador no es el número de fraudes, sino la tasa de resolución: según estimaciones del sector basadas en datos públicos del SIPRES (Sistema de Registro de Prestadores de Servicios Financieros), las IFPE muestran tasas de resolución favorable al usuario de entre 40% y 65%, frente a niveles superiores al 70% en la banca tradicional más consolidada. La brecha no es ideológica; es estructural.
El marco regulatorio: robusto en papel, asimétrico en práctica
La Ley Fintech (LRITF, DOF 9 de marzo de 2018) dedica los artículos 58 al 67 a los requisitos de ciberseguridad para las Instituciones de Tecnología Financiera (ITF). Las disposiciones de carácter general emitidas por la CNBV establecen obligaciones de:
- Gestión de riesgos tecnológicos con auditoría periódica
- Autenticación multifactor obligatoria para operaciones de alto valor
- Notificación de incidentes en un plazo no mayor a 72 horas
- Planes de continuidad de negocio y recuperación ante desastres
- Cifrado de datos en tránsito y en reposo
La brecha entre los que pueden y los que documentan
| Tipo de institución | Norma aplicable | 2FA obligatorio | SOC 24/7 | Auditoría externa ciberseg. | Seguro de fraude al usuario |
|---|---|---|---|---|---|
| Banco múltiple | Ley de Instituciones de Crédito + Circular CNBV 3/2012 | Sí | Estándar de mercado | Sí | Parcial (caso a caso) |
| IFPE grande (+1M usuarios) | LRITF + disposiciones CNBV | Sí | Variable | Sí | Emergente |
| IFPE mediana (-500K usuarios) | LRITF | Sí (norma) | Raro | Frecuentemente pendiente | No |
| IFC (crowdfunding) | LRITF | Sí (norma) | Raro | Variable | No |
| SOFOM ENR | LGOAAC Art. 87-B | No regulado en ciberseg. | Excepcional | No obligatorio | No |
La tabla revela la paradoja del ecosistema: las SOFOM, que administran carteras de crédito significativas y datos sensibles de millones de acreditados, operan fuera del perímetro de ciberseguridad de la LRITF salvo que capten recursos del público —umbral que, intencionalmente, no cruzan.
Los vectores de ataque dominantes en 2024-2025
Los reportes de la industria y los comunicados públicos de la CONDUSEF identifican tres vectores que concentran la mayoría de los casos:
1. Vishing y smishing selectivo. Llamadas y SMS que suplantan a Nu, BBVA, Mercado Pago o al propio SAT. El atacante obtiene el NIP de un solo uso (OTP) bajo pretexto de "verificación de seguridad". La ventana de ataque es de segundos; la mayoría de las plataformas aún no implementan detección de comportamiento anómalo en tiempo real para bloquear la sesión.
2. SIM swapping. Portabilidad fraudulenta del número celular hacia una SIM controlada por el atacante, que recibe todos los OTP. Los operadores móviles mexicanos —bajo regulación del IFT— tienen controles mínimos para detectar portabilidades abusivas en volumen. Varias fintech ya migraron a autenticación basada en TOTP (aplicación propia o Google Authenticator) como segunda capa, pero no es la norma del mercado.
3. Account takeover vía credential stuffing. Reutilización de credenciales filtradas en brechas de datos de otros servicios. El usuario promedio en México reutiliza contraseñas en cuatro a seis servicios (estimación Statista / iupana, 2024). Las fintech con mayor inversión tecnológica implementan detección por anomalía de device fingerprint y geolocalización; las más pequeñas dependen del OTP por SMS como único mecanismo de segunda línea.
Lo que viene: más supervisión, pero la pregunta es cuándo
La CNBV ha señalado en foros públicos —incluyendo el Fintech Forum México 2024— que trabaja en actualizaciones a las disposiciones de ciberseguridad para ITF, con énfasis en proporcionalidad por volumen de operaciones y base de usuarios. La iniciativa incorporaría estándares del NIST Cybersecurity Framework y lineamientos del BIS sobre resiliencia operativa digital.
El calendario es incierto. Lo que no lo es: cada mes sin esa actualización, el costo del fraude digital en México —que la industria estima en varios miles de millones de pesos anuales, aunque no hay cifra oficial consolidada— se traslada en su mayoría al usuario final, no al intermediario. Ese desequilibrio es, en sí mismo, el mayor riesgo reputacional del ecosistema fintech mexicano. Y resolverlo no requiere solo más regulación: requiere que la industria deje de tratar la ciberseguridad como un ítem de cumplimiento y empiece a tratarla como ventaja competitiva.
Rondas, M&A, regulación y producto. Curado, sin ruido, directo a tu bandeja.