El vaciamiento de cuentas bancarias móviles en Sonora expone una transformación decisiva del fraude financiero: el objetivo principal ya no es romper una barrera tecnológica, sino convencer al titular de que abra la puerta. Jesús Mario Gastélum Rochín, director de la Unidad Cibernética de la Secretaría de Seguridad Pública estatal, explicó que existen reportes de personas cuyos recursos fueron transferidos después de recibir mensajes, llamadas o instrucciones aparentemente relacionadas con movimientos no reconocidos.
El dato central no es únicamente que los delincuentes utilicen enlaces falsos o programas de acceso remoto. Lo relevante es la secuencia completa: primero provocan alarma, después se presentan como una autoridad confiable y finalmente inducen a la víctima a entregar información, aprobar una operación o instalar una herramienta que permite tomar control del dispositivo. La estafa funciona porque combina tecnología con presión psicológica. El usuario no siempre es “hackeado” en el sentido tradicional; con frecuencia es manipulado para ejecutar las acciones que el atacante necesita.
El fraude comienza antes de entrar a la aplicación
Una modalidad descrita por la autoridad cibernética consiste en enviar un mensaje que advierte sobre un supuesto cargo no reconocido. El texto incluye una URL y solicita al destinatario ingresar a su banca electrónica para revisar o cancelar la operación. La página imita la imagen del banco y pide datos que pueden incluir el número de tarjeta, contraseñas, códigos de autenticación o información personal. Después, los defraudadores emplean esos datos para realizar cargos o transferencias que el titular desconoce.
Ese mecanismo corresponde al phishing, pero reducirlo a un simple “enlace malicioso” oculta su verdadera eficacia. El enlace es sólo la herramienta visible. La pieza decisiva es el contexto: una alerta de seguridad crea urgencia y disminuye la capacidad de la persona para verificar el remitente, revisar el dominio o cerrar la página. El atacante no necesita que la víctima crea durante mucho tiempo; le basta con que actúe durante los minutos en que siente que su dinero está en peligro.
La llamada telefónica eleva el nivel de persuasión. El delincuente puede presentarse como empleado bancario, mencionar un movimiento inexistente y guiar verbalmente a la persona dentro de la aplicación. De acuerdo con Gastélum Rochín, algunas instrucciones no corresponden a las opciones normales del menú y terminan en la instalación de un software de acceso remoto. Una vez concedido ese permiso, el criminal puede observar la pantalla, operar el teléfono y ejecutar movimientos hacia otras cuentas.
La falsa sensación de que “el celular se movió solo”
Una de las consecuencias más importantes de estos casos aparece después del fraude, cuando la víctima observa operaciones que no recuerda haber realizado. Es común que describa la escena como si el teléfono o la aplicación bancaria hubieran actuado por sí solos. La explicación ofrecida por la Unidad Cibernética es distinta: en muchos episodios, el dispositivo fue manipulado mediante ingeniería social y software de terceros autorizado por el propio usuario.
Esta diferencia tiene efectos prácticos y legales. Para el cliente, aceptar que instaló un programa o compartió un código puede resultar incómodo, especialmente si teme que el banco atribuya toda la responsabilidad a una supuesta negligencia. Para la institución financiera, en cambio, la operación puede aparecer como una sesión válida, realizada desde el dispositivo habitual y después de una autenticación aparentemente correcta. Allí surge una disputa compleja: el registro técnico puede mostrar credenciales legítimas, mientras la persona sostiene que actuó bajo engaño.
La autenticación por sí sola no resuelve este problema. Un código enviado por mensaje, una contraseña o una confirmación biométrica prueban que hubo una interacción con el sistema, pero no necesariamente que el consentimiento haya sido libre e informado. Si un estafador controla la conversación, el teléfono o la pantalla, el segundo factor de autenticación puede convertirse en una herramienta que legitima una operación inducida. La seguridad, por tanto, no depende sólo de añadir más pasos, sino de detectar cuándo esos pasos están ocurriendo bajo un patrón anómalo.
Tres conclusiones que el sector no puede ignorar
La primera conclusión es que el perímetro de seguridad bancaria se desplazó fuera del banco. Las instituciones invierten en cifrado, monitoreo de transacciones y autenticación, pero el ataque puede comenzar en una llamada convencional, una cuenta de mensajería o una red social. Esto amplía la superficie de riesgo a espacios donde el banco no controla la interacción. La prevención ya no puede limitarse a proteger servidores y aplicaciones; debe contemplar el recorrido completo que lleva al cliente a tomar una decisión financiera.
La segunda es que la velocidad del fraude favorece al atacante. Una persona alarmada puede actuar en pocos minutos, mientras que la aclaración de una transferencia requiere reportes, revisión de registros y, en ocasiones, intervención de varias instituciones. La asimetría es estructural: el criminal necesita una sola respuesta impulsiva y la víctima necesita reconstruir después toda la cadena de hechos. Cuanto más rápido se dispersan los fondos entre cuentas receptoras, más difícil se vuelve recuperarlos.
La tercera conclusión es que el comportamiento humano se está convirtiendo en un indicador de riesgo financiero tan importante como la dirección IP o el dispositivo. Una llamada que induce a instalar una aplicación, un cambio repentino de beneficiario, una transferencia inusual y el acceso remoto simultáneo forman una combinación que podría alertar a los sistemas bancarios. El desafío consiste en intervenir sin bloquear de manera indiscriminada a clientes legítimos. Si la protección sólo agrega fricción a todos, pero no identifica las operaciones inducidas, el costo se traslada al usuario sin resolver la amenaza.
El banco, el cliente y la responsabilidad disputada
La advertencia de la autoridad sonorense es clara: los bancos no deben comunicarse con sus clientes para solicitar información confidencial ni para ordenarles movimientos dentro de sus cuentas. Esa regla básica puede detener una parte significativa de los engaños, pero no elimina todas las zonas grises. Los bancos necesitan explicar con precisión qué nunca pedirán, cómo verificar una llamada y qué canales oficiales utilizarán para notificar una alerta. Un mensaje genérico sobre “cuidar sus datos” tiene menos valor que una instrucción concreta y repetida en el momento adecuado.
Las instituciones, a su vez, enfrentan un dilema operativo. Si bloquean toda transferencia que se aparta del comportamiento histórico, afectarán a personas que necesitan enviar dinero con urgencia, cambiar de teléfono o pagar una cantidad extraordinaria. Si dejan pasar las operaciones para evitar molestias, pueden facilitar pérdidas que el cliente considera injustificadas. La respuesta más razonable requiere medidas graduadas: pausas temporales para operaciones de alto riesgo, confirmaciones por un canal independiente, límites ajustables y contacto institucional que no dependa del número desde el cual llamó el supuesto empleado.
Los clientes también tienen obligaciones de protección, pero atribuirles toda la carga sería insuficiente. El fraude contemporáneo está diseñado para explotar miedo, confianza y desconocimiento técnico. Una persona puede conservar su contraseña y aun así perder el control de su cuenta si instala un programa remoto o comparte un código bajo presión. La educación digital reduce el riesgo, aunque no puede sustituir los controles de las entidades que administran el dinero y poseen la capacidad técnica para detener una operación sospechosa.
La controversia será especialmente relevante en las reclamaciones. Cuando una transferencia fue autorizada con credenciales correctas, el banco puede sostener que no existió una intrusión directa. El usuario puede responder que la autorización fue obtenida mediante suplantación y engaño. La solución exigirá revisar no sólo si se usó la contraseña correcta, sino también el contexto de la operación: cambios recientes de dispositivo, instalación de acceso remoto, llamadas reportadas, destinatarios nuevos, velocidad de los movimientos y comportamiento posterior de la cuenta.
Un riesgo adicional: las compras hechas desde el hogar
El director de la Unidad Cibernética señaló otra fuente de cargos no reconocidos: los cobros automáticos vinculados al correo electrónico y las aplicaciones que un menor puede descargar cuando utiliza el dispositivo de un adulto. Este fenómeno no es idéntico al phishing, pero comparte una debilidad: la cuenta está configurada para permitir pagos con poca fricción y el titular no siempre distingue entre una autorización deliberada y una compra accidental.
La recomendación de crear cuentas separadas para menores, con control parental, apunta a un principio importante de seguridad: los permisos deben corresponder al nivel de confianza. Un niño que necesita utilizar un teléfono no requiere acceso a las tarjetas, al correo principal ni a la banca móvil. Separar perfiles, exigir autenticación para compras y desactivar métodos de pago innecesarios puede limitar tanto los cargos accidentales como el daño producido si el dispositivo cae en manos de terceros.
Para los bancos y las plataformas digitales, estos casos muestran que la experiencia de usuario no puede medirse sólo por la cantidad de clics. La fricción es inconveniente cuando se paga una compra cotidiana, pero puede ser una barrera valiosa cuando se modifica una cuenta, se agrega un beneficiario o se habilita un acceso remoto. El diseño debe distinguir entre operaciones rutinarias y cambios que alteran de forma profunda el control financiero.
La siguiente fase será más personalizada
Los métodos descritos pueden evolucionar hacia ataques más convincentes mediante datos obtenidos de filtraciones, redes sociales y conversaciones previas. Un delincuente que conoce el nombre del banco, los últimos movimientos públicos de una persona o el horario en que suele contestar el teléfono puede construir un guion creíble. La inteligencia artificial también puede facilitar mensajes con mejor redacción, voces sintéticas y respuestas inmediatas a las dudas de la víctima. La amenaza no depende de que la tecnología sea sofisticada en todos los casos; basta con que haga más persuasiva la suplantación.
Otra tendencia probable es la fragmentación del dinero robado. Las transferencias pueden repartirse entre varias cuentas, billeteras digitales o servicios de pago para dificultar el rastreo y reducir el tiempo disponible para congelar los fondos. Eso obligará a mejorar la cooperación entre bancos, empresas tecnológicas, operadores telefónicos y autoridades. Una denuncia aislada sirve para documentar un caso, pero la detección de una campaña requiere relacionar números, dominios, aplicaciones, cuentas receptoras y patrones de llamadas.
La Unidad Cibernética de Sonora mantiene como canales de contacto el número 800-77-24-237 y el correo [email protected]. Reportar pronto puede ayudar a conservar evidencia y activar gestiones de bloqueo, aunque no garantiza la recuperación del dinero. La persona afectada debe conservar mensajes, números telefónicos, enlaces, comprobantes, capturas de pantalla y cualquier aplicación instalada durante el contacto. También debe avisar al banco por sus canales oficiales, bloquear el acceso comprometido, cambiar credenciales desde otro dispositivo confiable y revisar sesiones activas y beneficiarios registrados.
El riesgo más profundo no es que los usuarios desconozcan una palabra técnica como phishing. Es que la banca móvil ha convertido decisiones financieras complejas en acciones rápidas, y los delincuentes aprendieron a ocupar el espacio entre una alerta y una transferencia. La defensa eficaz tendrá que combinar educación, diseño de aplicaciones, análisis contextual y respuesta institucional veloz. Mientras esa combinación no se consolide, una llamada convincente seguirá siendo capaz de neutralizar controles que, en apariencia, fueron construidos para proteger la cuenta.
