Tabla de Contenido
La exposición de datos personales, el uso de inteligencia artificial y la profesionalización del cibercrimen están cambiando las técnicas de fraude, advierte Iván Tapia, VP de Identidades y Seguridad de Mastercard.
La identidad digital se está convirtiendo en un objetivo central para los atacantes. Datos como teléfonos, correos electrónicos y fechas de nacimiento pueden permanecer expuestos durante años y ser utilizados posteriormente para construir ataques de ingeniería social, suplantación y fraude financiero.
Así lo señaló Iván Tapia, VP de Identidades y Seguridad de Mastercard, quien identificó cuatro factores que están modificando el panorama del fraude digital: el crecimiento de la superficie de ataque, el avance de la inteligencia artificial, la profesionalización del cibercrimen y la convergencia de conflictos geopolíticos.
El especialista planteó que el problema ya no se limita al robo de información bancaria o números de tarjetas. La información disponible sobre una persona puede utilizarse para construir un perfil de la víctima y hacer que un intento de fraude resulte más convincente.
“La vida personal, la vida profesional y las redes sociales se han convertido en parte de los vectores que pueden ser aprovechados por los atacantes”, alertó Tapia.
El cibercrimen amplía su alcance
Tapia refirió que hacia 2030 el cibercrimen podría representar 15.6 billones de dólares, dimensión que, de acuerdo con su comparación, equivaldría a la tercera economía más grande del mundo, después de Estados Unidos y China.
En el ámbito financiero, mencionó una cifra de 440 mil millones de dólares, mientras que el fraude relacionado específicamente con tarjetas alcanzaría 32.8 millones de dólares, de acuerdo con los datos presentados por el especialista.
Más allá de las cifras, el cambio relevante está en la ampliación de los puntos desde los cuales puede comenzar un ataque.
La superficie de ataque ya no está determinada únicamente por la cantidad de computadoras, teléfonos u otros dispositivos conectados a internet. También incluye la información que las personas publican o mantienen disponible en redes sociales, plataformas digitales y servicios en línea.
IA facilita ataques más sofisticados
La inteligencia artificial constituye otro elemento de esta transformación.
De acuerdo con Tapia, las herramientas de IA pueden facilitar la creación de mecanismos de engaño más convincentes y especializados. Esto incluye la generación o manipulación de voz y video para aparentar que una comunicación proviene de una persona conocida.
A ello se suma la profesionalización del cibercrimen. El especialista señaló que actualmente es posible encontrar en internet herramientas y servicios para realizar ataques, lo que reduce las barreras técnicas para quienes buscan cometer fraude.
El cuarto factor es la convergencia geopolítica, debido a la participación de grupos cuyos objetivos pueden ir más allá de la obtención de ganancias económicas.
“Ya no se trata únicamente de comprometer sistemas o robar números de tarjetas, sino de aprovechar la información disponible sobre las personas para construir ataques más dirigidos”, señaló.
Del dato financiero a la identidad
El desplazamiento hacia la identidad modifica la forma en que se construyen algunos ataques.
Los datos de una persona pueden combinarse para generar escenarios de ingeniería social más creíbles. Entre la información que puede resultar útil para los atacantes se encuentran fechas de nacimiento, teléfonos y correos electrónicos.
Tapia mencionó un universo de 99 millones de correos electrónicos como referencia de información expuesta y señaló que 41% de estos ataques se realizan mediante llamadas de voz y 35% mediante video, de acuerdo con los datos presentados.
La utilización de voz y video simulados agrega una nueva dimensión a la suplantación, pues permite construir interacciones digitales que pueden parecer legítimas para la víctima.
En este escenario, el atacante tampoco necesariamente necesita vulnerar directamente la infraestructura de una institución financiera. La información de la propia persona puede convertirse en el punto de entrada para intentar obtener dinero, información adicional o acceso a otros servicios.
La prevención empieza antes del fraude
Para Tapia, la respuesta no debería comenzar cuando el fraude ya ocurrió.
“El tema es: podemos bloquear la tarjeta y dar una nueva, pero la identidad sigue en internet”.
Esta situación plantea un reto tanto para las instituciones financieras como para los usuarios. Mientras las organizaciones incorporan controles y tecnologías de detección, los consumidores también participan en la prevención cuando reciben mensajes, llamadas, enlaces o solicitudes inusuales.
La protección, por tanto, requiere actuar antes de que la víctima entregue información, autorice una operación o interactúe con un atacante.
La regla de los dos segundos
Entre las recomendaciones planteadas por Tapia destaca la “regla de los dos segundos”: hacer una pausa antes de realizar una acción digital, revisar la solicitud y validar su legitimidad.
Las principales medidas son:
- No compartir contraseñas ni códigos de verificación.
- Validar por un segundo canal cualquier solicitud inusual de dinero o información.
- Descargar aplicaciones únicamente de tiendas oficiales.
- Mantener actualizados dispositivos y aplicaciones.
- Detenerse antes de hacer clic en enlaces o responder solicitudes inesperadas.
La lógica es sencilla: una pausa puede permitir detectar inconsistencias que, en una interacción apresurada, podrían pasar inadvertidas.
¿Qué puede vender el canal TI?
La evolución del fraude también amplía el campo de acción de integradores, MSP y proveedores de servicios de ciberseguridad. La oportunidad está en llevar la protección desde la infraestructura hacia la identidad, los usuarios y las transacciones digitales.
Entre los servicios que pueden integrarse a una propuesta comercial están:
Protección de identidad. Implementación de autenticación multifactor, gestión de accesos, protección de credenciales y controles de identidad.
Prevención de fraude. Tecnologías para identificar comportamientos anómalos, intentos de suplantación y posibles ataques mediante voz, video o contenido generado artificialmente.
Concientización. Capacitación, simulaciones de phishing y entrenamiento para reducir el impacto de la ingeniería social.
Seguridad de dispositivos. Administración de endpoints, actualización de equipos, protección móvil y control de aplicaciones.
Servicios administrados. Integración de identidad, seguridad, monitoreo y prevención de fraude bajo esquemas administrados.
Este escenario permite que el canal deje de abordar el fraude exclusivamente como un problema de infraestructura y lo incorpore como parte de una estrategia más amplia de gestión de identidad y riesgo digital.
Protección de riesgos digitales
La información fue presentada durante la exposición de Protección de Riesgos Digitales, una solución vinculada con cuentas de débito y crédito de Banco Azteca para respaldar a sus clientes ante distintas vulnerabilidades del entorno digital.
La propuesta contempla tres frentes:
- Fraude en línea: respaldo ante compras realizadas en sitios web apócrifos o mediante anuncios fraudulentos en redes sociales.
- Robo de identidad: cobertura ante el uso no autorizado de información personal para realizar cargos, abrir cuentas o efectuar trámites no reconocidos.
- Extorsión cibernética: protección ante amenazas o presión digital que exijan un pago, incluidos casos de chantaje o secuestro de información.
La identidad como superficie de riesgo
El cambio descrito por Mastercard coloca a la identidad en una posición distinta dentro de la estrategia de seguridad. Los datos personales que permanecen disponibles en internet pueden conservar utilidad para un atacante incluso después de que una tarjeta haya sido bloqueada o sustituida.
Para las instituciones, esto implica combinar tecnología, controles y educación. Para los consumidores, supone revisar con mayor cuidado qué información comparten y cómo responden ante interacciones digitales inesperadas.
Para el canal TI, el escenario abre una categoría de servicios que conecta identidad, ciberseguridad, prevención de fraude y protección del usuario, en un mercado donde la defensa ya no depende únicamente de proteger sistemas, sino también de reducir las posibilidades de que la información de una persona sea utilizada para hacerse pasar por ella.
