Fraude bancario en LATAM, visto del lado de la entidad

Entre enero y mayo de 2026, CONDUSEF recibió 34.325 reclamaciones contra la banca múltiple por posible fraude, un 18% más que en los mismos meses de 2025. Esa cifra cuenta solo lo que llegó al organismo, no lo que reciben los bancos.

Del lado de la entidad, un caso así suele empezar antes: un titular avisa que no reconoce una operación, alguien registra el aviso y la entidad tiene que decidir si abona, si puede probar algo o si el plazo ya se le venció.

Para la entidad que recibe ese aviso, la respuesta en México está repartida entre la regla de Banco de México para cargos con tarjeta, las disposiciones de la CNBV y la ley que obliga a cada entidad a tener una Unidad Especializada. Chile sirve de contraste.

Con tarjeta, la regla de Banco de México hace que la entidad abone primero y pruebe después. Lo que puede probar, a nuestro juicio, es lo que registró al autenticar, y ese es el hilo de esta guía.

Para la entidad, un fraude bancario empieza cuando el titular desconoce una operación

CONDUSEF define el fraude bancario por lo que objeta el titular, sin importar la técnica del atacante. En su informe de autoevaluación de 2025 agrupa veinticinco causas de reclamación en las que el titular objeta "operaciones que no reconoce haber realizado": consumos no reconocidos, transferencia electrónica no reconocida, cargos no reconocidos en la cuenta. Del lado de la entidad, el caso existe desde que el titular desconoce algo que el sistema registró como válido.

Dentro de esas causas, CONDUSEF aísla seis que trata como posible robo de identidad, entre ellas el crédito, la tarjeta o la cuenta otorgados sin haber sido solicitados y el contrato que el usuario no reconoce haber celebrado.

Una entidad enfrenta así dos problemas distintos. En uno, el dinero sale de una cuenta legítima, que es el terreno del robo de cuenta. En el otro, la cuenta o el crédito nacen a nombre de alguien que nunca los pidió: es la suplantación de identidad en el alta. Leemos que el primero falla en la autenticación y el segundo en la verificación de identidad al abrir el producto; CONDUSEF no hace esa distinción.

Lo que más se reclama son consumos y transferencias que el titular no reconoce

Los consumos y las transferencias que el titular no reconoce encabezan las reclamaciones contra bancos por posible fraude. En 2025, CONDUSEF registró 67.651 en el sector bancario, un 7,9% menos que en 2024: 29.763 por consumos no reconocidos y 13.631 por transferencias electrónicas no reconocidas. El año cerró en baja y la suba de 2026 corre en otra ventana, así que las dos cifras no se leen como una tendencia.

CONDUSEF describe las modalidades por técnica (smishing por SMS, phishing que se hace pasar por una institución financiera, vishing por teléfono) y en mayo de 2026 alertó por un aumento de intentos por SMS, aplicaciones de mensajería y enlaces falsos. No publica cifras por modalidad: sus estadísticas cuentan la operación que el titular desconoce, y la técnica con que se obtuvo queda sin contar.

Entre las señales de phishing y smishing que lista el organismo hay una que pesa del lado de la entidad: "A veces llegan a pedirte los dígitos de tu token." Qué pasa con un código entregado así se ve en la regla de tarjetas.

Con tarjeta, la entidad abona primero y prueba después

Cuando un titular avisa que no reconoce un cargo con tarjeta de débito, la regla de Banco de México obliga a la entidad a abonarlo a más tardar el segundo día hábil bancario siguiente, si el aviso llega dentro de los 90 días posteriores al cargo. No puede pedirle trámites adicionales, y tiene que darle un número de referencia con la fecha y la hora del aviso.

Para revertir el abono, la entidad tiene que demostrar que la operación se autenticó con al menos dos factores independientes. Lo hace con un dictamen firmado por personal facultado, dentro de los 45 días siguientes al aviso (180 si la operación fue en el extranjero), que trae como mínimo:

• La evidencia de los factores usados y una explicación simple de cómo se verificó cada uno.
• La hora y el minuto de la operación.
• Quién procesó la operación y el nombre del receptor del pago.
• La dirección física del dispositivo o la dirección IP, si la entidad cuenta con ella.

Sin dictamen en plazo, el abono queda firme y no puede revertirse. Aun con dos factores, la entidad abona si hay evidencia de una falla operativa imputable a ella.

La regla acepta cuatro tipos de factor: lo que solo conoce el titular, como el NIP; un dispositivo que solo él posee, como el chip; sus características propias, con la geometría de la cara entre las biométricas; y lo que Banco de México autorice. La biometría facial entra así como uno de los factores de una autenticación multifactor en los términos de la regla.

Las tarjetas de crédito siguen la misma estructura en sus propias reglas. Las reclamaciones las atiende además la Unidad Especializada que la ley exige a cada entidad. Según el texto de la ley vigente tras su reforma de enero de 2024, debe responder por escrito en un plazo de treinta días hábiles.

Si el titular entregó sus dos factores bajo engaño, por ejemplo dictando el código del token a quien se hacía pasar por el banco, la operación cumple la condición de dos factores, y la entidad podría sostener el dictamen aunque el fraude haya existido. Banco de México no lo formula así: es nuestra lectura del texto.

En una transferencia SPEI no hay abono automático

Para una transferencia SPEI que el titular no reconoce no hay abono automático. Las reglas del SPEI de Banco de México obligan a los bancos a firmar entre ellos un convenio de colaboración, con solicitudes de apoyo al banco que recibió los fondos, mecanismos para restringir al beneficiario el uso de los recursos y un camino para devolverlos. Si hay elementos para presumir que la orden es posiblemente fraudulenta, el banco receptor tiene que enviar una devolución.

No encontramos el convenio publicado, así que sus plazos no se pueden citar. De la regla se deduce que recuperar depende de que el dinero siga en la cuenta que lo recibió. Lo que pasa después es el terreno de la mula financiera.

La CNBV impone un abono en 48 horas solo en casos acotados: servicios que la entidad ofreció con requisitos reducidos, como el pago móvil, y tarjetas sin chip en cajeros y terminales. Ahí la entidad pacta con el usuario que asume el riesgo de lo que este no reconozca. Ninguna de las dos reglas lo enuncia, pero comparten una lógica: si la entidad autentica fuerte, puede defender la operación; si autentica liviano, se queda con el costo.

Lo que el supervisor pide registrar es la misma evidencia que decide el reclamo

Las disposiciones de la CNBV obligan a la entidad a autenticar con factores y a registrar en bitácora la hora, el dispositivo y la IP de cada operación, además de cada operación no reconocida. Son, a nuestro juicio, casi los mismos datos que pide el dictamen de Banco de México. Lo que exigen:

• Factores de autenticación en cuatro categorías; la cuarta es biométrica y nombra el reconocimiento facial.
• Para contratar a distancia ciertas cuentas y créditos, verificar la biometría del solicitante contra los registros del INE u otra autoridad.
• Notificar al cliente cada contratación y cada operación hecha a su nombre.
• Controles para detectar lo que se aparta del uso habitual del usuario.
• Bitácoras con fecha, hora, cuentas, dispositivo de acceso y dirección IP.
• Un registro de cada cuenta o crédito no reconocido, con la identificación pedida al contratar y la pérdida que absorbería la entidad.

Desde la reforma de junio de 2024, cada banco tiene además un Plan de gestión para la prevención del fraude aprobado por su dirección general, y procesos que evalúan la efectividad con que resuelve las reclamaciones monetarias.

Cruzar las dos normas deja una prueba concreta para cualquier operación de hoy: si mañana llega un aviso, la entidad necesita tener a mano los factores con que se autenticó, la hora y el minuto, y el dispositivo o la IP.

Chile ya distingue entre factores: con uno biométrico, cambia quién tiene que probar

Chile resuelve la misma pregunta con una ley, la 20.009, que pone la carga de la prueba en el emisor: cuando el usuario desconoce una operación, el emisor tiene que probar que fue autorizada, y el solo registro no basta necesariamente. A diferencia de la regla mexicana de abono, alcanza también a las transferencias.

La reforma de mayo de 2024 agregó una presunción: se presume dolo o culpa grave del usuario cuando la operación se hizo con autenticación reforzada y al menos un factor de inherencia, es decir biométrico. Con solo factores de posesión o conocimiento, la operación sirve apenas como base de presunción judicial. En México la biometría es un factor válido entre otros; en Chile cambia quién tiene que probar.

Qué hace VU

La capacidad de VU que aporta contexto sobre el dispositivo es Protege contra el fraude, con reconocimiento del equipo desde el que se opera a partir de señales de browser y de mobile. La decisión sobre qué hacer con esa señal, y el monitoreo de la operación, se resuelven en otra capa que VU no provee. Conoce prevención de fraude (Protege).

Con tarjeta de débito, a nuestro juicio, el reclamo lo decide la evidencia que la entidad guardó al autenticar, salvo que haya una falla operativa imputable a ella.

Si trabajas en una entidad y quieres revisar qué evidencia de autenticación tienes hoy por operación, antes de que un aviso la ponga a prueba,
agenda una conversación.