Un mexicano está expuesto a 86 fraudes digitales cada año

Una persona adulta en México recibe en promedio 86 intentos de estafa al año, equivalentes a uno cada cuatro días, mientras las pérdidas ocasionadas por estos engaños superan los 139,000 millones de pesos. La cifra incluye llamadas, mensajes y contactos mediante plataformas digitales, aunque la mayoría de esas comunicaciones se detecta antes de que ocurra una transferencia. El 59% de los adultos fue víctima durante los doce meses analizados y 34% perdió dinero.

Los datos proceden del informe Estado de las estafas en México 2025, elaborado por la Global Anti-Scam Alliance (GASA) y Opinium mediante una encuesta en línea aplicada a 1,000 mayores de edad. El levantamiento se realizó entre el 26 de febrero y el 14 de marzo de 2025, con cuotas y ponderaciones por edad, género y región. El estudio calculó que cada víctima sufrió 1.8 estafas y perdió en promedio 4,562.50 pesos.

Un intento cada cuatro días

El 76% de las personas encuestadas encontró al menos un intento de estafa y 79% de los contactos ocurrió en plataformas que permiten intercambiar mensajes directos. La llamada telefónica apareció en 67% de los casos y los mensajes SMS alcanzaron 49%. WhatsApp fue la plataforma mencionada con mayor frecuencia, al concentrar 78% de las respuestas de quienes identificaron una aplicación utilizada por los estafadores.

“Estamos hablando de una problemática de tal magnitud que un solo sector no puede atenderla. Estas redes estudian el caso, invierten en tecnología y contratan expertos de acuerdo con las necesidades que tengan para cometer el delito”, dijo Sissi de la Peña, directora del capítulo mexicano de la Global Anti-Scam Alliance (GASA).

Las estafas de compras fueron las más frecuentes, con 55% de las menciones entre las personas contactadas. Los falsos esquemas de inversión alcanzaron 48%. Los delincuentes aprovechan una necesidad concreta y construyen una comunicación que parece proceder de una empresa conocida. Las herramientas de inteligencia artificial reducen el tiempo necesario para producir anuncios o páginas falsas y permiten automatizar conversaciones con un mayor número de destinatarios.

Víctor Manuel Merchand Benítez, coordinador de Información Tecnológica y Cibercrimen de la Oficina de las Naciones Unidas contra la Droga y el Delito en México, explicó que el contacto puede realizarse mediante sistemas automatizados o mensajes enviados de forma masiva, mientras el resultado depende de la capacidad para manipular las decisiones de la víctima.

“Buscan tener el primer contacto para encontrar la manera de que el engaño funcione. Funciona porque conocen algo de lo que nosotros necesitamos y explotan esa vulnerabilidad. Hablar de las emociones significa hablar de cualquier cosa que nos interese y que ellos van a querer utilizar”, dijo Merchand Benítez.

La guía de comunicación sobre fraude organizado de la UNODC divide el proceso entre la comunicación inicial y el momento posterior a la pérdida. Durante el acercamiento, los delincuentes intentan parecer confiables. Después introducen una solicitud que puede consistir en entregar una contraseña o autorizar un pago. Una vez obtenido el dinero, los recursos pueden pasar por cuentas receptoras abiertas para dispersarlos, mientras la información recopilada conserva valor para futuros ataques.

Los cargos deben reportarse de inmediato

Los registros de la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) muestran únicamente los casos que llegaron a esa autoridad. Entre enero y mayo de 2026 recibió 36,738 reclamaciones clasificadas administrativamente como posible fraude, 17.3% más que las 31,333 registradas durante el mismo periodo de 2025. Esas reclamaciones representaron 30.8% del total atendido.

Los consumos no reconocidos reunieron 16,922 reclamaciones y crecieron 31.8% anual. Las transferencias electrónicas no reconocidas sumaron 7,222 casos, un incremento de 21.4%. Otras 4,199 reclamaciones correspondieron a consumos por internet que el titular aseguró desconocer. Las dos primeras categorías explicaron la mayor parte del aumento registrado durante 2026.

Cuando aparece un cargo desconocido en una tarjeta, el usuario debe comunicarse inmediatamente con la institución financiera para bloquear el plástico o el medio de acceso comprometido y obtener un folio. La notificación limita la posibilidad de que se realicen nuevas operaciones y deja constancia de la fecha en que el banco fue informado. La llamada puede complementarse mediante la aplicación bancaria, aunque conviene conservar capturas de pantalla y los mensajes enviados por la institución.

El siguiente paso es presentar una solicitud de aclaración ante el banco o su Unidad Especializada de Atención a Usuarios. Condusef establece que el trámite puede iniciarse en una sucursal o mediante los canales digitales de la institución. El usuario debe guardar la solicitud, el folio y cualquier comprobante relacionado con la operación, debido a que esos documentos permiten acreditar cuándo se presentó el reclamo.

La regulación concede hasta 90 días naturales para objetar determinados cargos con tarjeta, contados desde la fecha de corte o desde que se realizó la operación, según el producto y el procedimiento aplicable. Esperar hasta el final del plazo reduce las posibilidades de impedir movimientos posteriores. El aviso inmediato también resulta relevante cuando el cargo ocurrió durante las 48 horas anteriores al reporte de robo o extravío de la tarjeta.

En los supuestos cubiertos por la regulación de tarjetas de débito, la institución debe realizar un abono provisional dentro de los dos días hábiles bancarios posteriores al reclamo. El banco puede revertirlo cuando demuestre que la operación fue autenticada conforme a los mecanismos establecidos. En tarjetas de crédito, la institución también debe dejar en suspenso el cobro del monto reclamado durante la investigación y abstenerse de generar intereses sobre esa cantidad.

La institución dispone generalmente de 45 días naturales para entregar un dictamen acompañado de la evidencia utilizada para atribuir la operación al cliente. La respuesta debe explicar cómo se autenticó el cargo y proporcionar los datos que permitan identificarlo. Si el banco carece de elementos suficientes o incumple el plazo, el abono provisional debe conservarse conforme a las reglas aplicables al producto.

Cuando el banco rechaza la aclaración, la persona puede acudir a Condusef mediante su Portal de Queja Electrónica o presentar la reclamación ante la comisión. Este procedimiento requiere el estado de cuenta donde aparece el cargo, la identificación del usuario y el folio generado por la institución. Una denuncia ante el Ministerio Público puede servir para documentar el hecho cuando existió robo de identidad o acceso ilícito, aunque la aclaración bancaria debe iniciarse sin esperar la investigación penal.

Los resultados disponibles muestran que la recuperación está lejos de ser automática. En los 36,655 expedientes de posible fraude concluidos entre enero y mayo de 2026, 36.5% obtuvo una resolución favorable, frente a 46% del resto de las reclamaciones. Los usuarios reclamaron 2,620 millones de pesos y recuperaron 316 millones, equivalentes a 12.1% del dinero disputado, según el procesamiento de Tec-Check sobre las bases de Condusef.

El engaño queda fuera de la clasificación

Las categorías de cargos desconocidos tampoco abarcan todo el fraude financiero. Cuando una persona transfiere dinero después de recibir una llamada falsa del banco, la operación puede aparecer en los sistemas como correctamente autenticada. La víctima utilizó su contraseña y confirmó el movimiento, aunque tomó la decisión a partir de información fabricada por los delincuentes.

Fiorentina García Miramón, directora ejecutiva de Tec-Check Organización de Consumidores en Línea, considera necesario que México reconozca los pagos autorizados mediante engaño dentro de sus mecanismos de protección financiera.

“Una cosa es que yo haya hecho el pago y otra que lo haya hecho porque me engañaron. Tenemos que discutir cuál será el papel del banco que envía el dinero y del banco que lo recibe mediante las cuentas utilizadas por los estafadores. Actualmente se mira solamente al banco emisor y se pierde una parte de la cadena”, dijo García Miramón.

Un cargo no reconocido implica que el titular desconoce haber realizado la operación. En un pago inducido por engaño, la persona reconoce la transferencia y disputa las condiciones bajo las cuales la autorizó. Las bases públicas de Condusef carecen de una categoría general equivalente al fraude mediante pago autorizado, por lo que resulta imposible medir cuántas reclamaciones corresponden a esa modalidad.

Reino Unido introdujo en octubre de 2024 un régimen que obliga a los proveedores participantes en Faster Payments a reembolsar la mayoría de los pagos autorizados mediante engaño. El costo se distribuye entre la institución que envió los recursos y la que recibió el dinero. Durante los doce meses terminados en marzo de 2026, las víctimas recuperaron 249.6 millones de libras y el porcentaje del dinero devuelto alcanzó 89% durante el primer trimestre de ese año.

En México, el usuario que realizó una transferencia después de ser manipulado también debe avisar inmediatamente a su banco y solicitar el rastreo de la operación. El comprobante electrónico de pago permite conocer la institución receptora y el estado de la transferencia. La recuperación depende de que los fondos continúen disponibles y de la cooperación entre las instituciones involucradas, debido a que un SPEI liquidado no puede cancelarse unilateralmente como si fuera una operación pendiente.

rodrigo.riquelme@eleconomista.mx