Fraudes bancarios: ¿Cómo obtienen y usan tus datos personales para engañarte?

¿Por qué una llamada fraudulenta parece tan real? Porque quien llama conoce tu nombre completo, número de tarjeta y otros datos personales. Con esa información, se hace pasar por empleado de tu banco y te pide abrir la aplicación. Después, bloquea tu acceso y comete el fraude.

Según Ricardo Darling Mata, especialista en ciberseguridad, los delincuentes tienen tres principales vías para obtener información personal para cometer fraudes, y dos de ellas, el principal filtro de seguridad es el propio usuario.

En México, 83% de los adultos estuvo expuesto a un intento de estafa en los últimos 12 meses, frente a 76% en 2025. En promedio, cada persona enfrentó 159 intentos al año, según el informe Estado de las estafas en México 2026, de Global Anti-Scam Alliance (GASA).

De quienes detectaron una estafa, 69% interactuó con al menos una y 24% perdió dinero o información personal. GASA estima pérdidas por 114,100 millones de pesos, con un promedio de 9,956 pesos por víctima.

Primera vía: brechas de seguridad en empresas e instituciones

Las personas comparten información con bancos, empresas de telecomunicaciones, comercios y otras organizaciones para contratar servicios o realizar operaciones. Si los sistemas que almacenan estos datos no cuentan con las medidas de seguridad robustas, los delincuentes pueden vulnerarlos y robarlos para cometer delitos.

Según Antono Fajer, presidente y fundador de Pentafon, empresa de centros de contacto y experiencia al cliente (CXSP), esta es una de las principales causas de filtraciones de sistemas propios o con proveedores de contact centers para enviar mensajes a sus clientes.

Las empresas carecen de las certificaciones de seguridad que garanticen la custodia de datos personales y financieros, como PCI DSS e ISO 27001.

"Si una empresa tiene millones de clientes y entrega su base de datos a alguien que no cuenta con todas las certificaciones está poniendo en riesgo esa información. Por eso existen en el mercado negro listas de clientes de bancos, números de tarjetas, cuentas de seguros y otros datos", dijo el presidente de Pentafon.

De acuerdo con Antonio Fajer, México está muy atrasado en procesos de certificación de seguridad, ya que son pocos los centros de contacto que cuentan con un nivel máximo de certificación, mientras que la mayoría operan en niveles inferiores y mayor vulnerabilidad a sufrir filtraciones de datos.

“De más de 500 centros de atención, la gran mayoría no tiene ninguna certificación. De los que tienen una certificación, menos de 10 tienen el máximo nivel de PCI y de ISO 27000”, afirmó el directivo.

Según ambos expertos, estas bases de datos pueden ser ocupadas por quienes las robaron, o venderlas a través de la dark web a defraudadores.

Segunda vía: infostealers o programas que roban información de los dispositivos

En estos casos, el usuario sí es el objetivo. De acuerdo con Ricardo Darling, una persona puede ser víctima de infostealers, un malware o un programa especializado en el robo de información sensible como credenciales y datos financieros.

Según el especialista en ciberseguridad, estos softwares pueden instalarse en los dispositivos mediante tácticas como phishing (correos falsos) o descargas de archivos infectados. Una vez implantado, puede acceder a información almacenada, como las contraseñas, cookies de navegación, correos electrónicos, y lo que una persona escribe.

"Este infostealer justamente puede robar la información que tú tienes en tu computadora o en tu dispositivo personal”, dijo Ricardo Darling.

Según ESET, durante el primer semestre de 2026, México estuvo expuesto a este tipo de malware como:

• Win/PSW.Amatera, caracterizado en la extracción masiva de credenciales de usuario, cookies de autenticación de sesión y datos de billeteras de criptomonedas. Concentró el 1.51% de las alertas de seguridad; y
• Win/Spy.Banker, que intercepta información financiera. Representó el 0.75% de las amenazas del país. Sin embargo, México absorbió el 96% de los casos en América Latina.

Tercera vía: phishing, el engaño para entregar tus datos

Los defraudadores suplantan la identidad de una institución o empresa para engañar a los usuarios mediante mensajes. Puede tratarse de un correo electrónico, un SMS u otro tipo de comunicación que incluya un enlace a una página falsa.

El sitio imita a un sitio legítimo y solicita datos personales, contraseñas u otra información sensible. Cuando el usuario los introduce, los delincuentes pueden obtenerlos y utilizarlos posteriormente.

Ricardo Darling advirtió que pueden aprovecharse datos que ya fueron robados previamente para hacer más convincente el engaño. Asimismo, Antonio Fajer detalló que los delincuentes utilizan inteligencia artificial para cruzar datos y crear perfiles más convincentes.

“Pueden hacer un envío personalizado y tú vas a creer que efectivamente con quien estás hablando es con la fuente real, porque te conoce. Y no porque lo sea, es porque usaron inteligencia artificial para conocerte”, dijo el presidente de Pentafon.

La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) alertó de este problema en febrero de este año, pero hasta el momento no se cuentan con registros generalizados que permitan dimensionar su magnitud.

¿Tienes dudas? Escribe tus comentarios a finanzas.personales@eleconomista.mx