To read this in English, click here.

Durante el último año, las instituciones financieras de Panamá, Costa Rica y Guatemala han visto cómo el fraude evoluciona de ataques aislados a cadenas de fraude coordinadas y de múltiples etapas.

Un evento típico ahora comienza con la exposición o captura de datos, continúa con la manipulación del cliente o el compromiso de credenciales, escala hacia la toma de control de cuentas (ATO, por sus siglas en inglés) o el fraude por pagos autorizados (APP), y termina con la dispersión de los fondos a través de redes de cuentas mula.

Captura de datos: El primer eslabón de esta cadena (la exposición de datos) ya no se limita a usar los datos de otra persona para abrir cuentas fraudulentas. Hoy, el robo de identidad en Centroamérica utiliza esos datos personales robados o expuestos para crear estafas más personalizadas. Los grupos delictivos ahora saben en qué banco tienen cuenta las posibles víctimas, qué tipo de cuentas tienen en esa institución y, muchas veces, sus nombres completos, edades y direcciones físicas.

Compromiso de credenciales: Los ataques suelen avanzar luego hacia el compromiso de credenciales, cuando grupos delictivos organizados utilizan mensajes SMS falsos, correos electrónicos y llamadas telefónicas para apoderarse de las credenciales de acceso de un titular de cuenta legítimo. En la banca corporativa, los atacantes suelen buscar credenciales de autorización que les permitan agrupar varios pagos a distintos destinatarios bajo un mismo código de autorización.

ATO y fraude APP: Si bien la rápida digitalización de los servicios bancarios y, en algunos casos, la adopción apresurada de canales remotos sin procesos de autenticación robustos ha dejado a las cuentas vulnerables a la toma de control de cuentas, los ataques de ingeniería social siguen siendo la amenaza más difícil de detectar. Los actores maliciosos manipulan cada vez más a las posibles víctimas para que inicien sesión de forma legítima en sus cuentas y transfieran su dinero por voluntad propia, lo que vuelve prácticamente inútiles a los sistemas de detección basados en reglas.

Redes de mulas: Toda transferencia fraudulenta necesita una cuenta mula que la reciba. Esa cuenta receptora luego dispersa los fondos a través de decenas de otras cuentas, muchas veces en distintas instituciones, antes de que el grupo delictivo organizado detrás del ataque pueda retirar el dinero robado o convertirlo en criptomonedas. Las organizaciones criminales de la región aprovechan la informalidad laboral, la pobreza y las falsas ofertas de empleo para reclutar mulas. La expansión del comercio electrónico y de las plataformas de pago digital facilita que los criminales muevan fondos con rapidez, mientras que las debilidades en los procesos de debida diligencia de los bancos y la limitada coordinación regional permiten que las redes de mulas operen con un riesgo mínimo de ser detectadas.

Regulación en camino

En respuesta a la creciente sofisticación de estos ataques, los países centroamericanos han comenzado a implementar cambios regulatorios que van desde requisitos de autenticación más estrictos hasta la posible imposición de sanciones o responsabilidad a las instituciones financieras cuando sus clientes son víctimas de estafas o robo de credenciales. Muchas de estas iniciativas buscan seguir el rastro del dinero, identificar hacia dónde se mueven los fondos obtenidos de forma fraudulenta y reconocer que, en muchos casos, estos ataques están impulsados por operaciones del crimen organizado.

En Costa Rica, los bancos ahora deben poder demostrar qué ocurrió y cómo protegieron al usuario. El aumento en las tasas de fraude en el país puede deberse, en parte, a un mayor nivel de denuncias impulsado por esta nueva regulación, a una percepción más sólida de la protección al consumidor y a la posibilidad de recuperar los fondos robados.

En Panamá, el foco está en fortalecer la persecución penal y construir casos probatorios más sólidos para los delitos digitales, desde la suplantación de identidad hasta las estafas habilitadas por medios cibernéticos. El país ha registrado un crecimiento significativo en estafas, tomas de control de cuentas de WhatsApp y compras fraudulentas, lo que se traduce en más casos y denuncias.

En Guatemala, los avances regulatorios están impulsando una visión más integrada, en la que el fraude no se trata de forma aislada, sino conectado con las cuentas mula y el lavado de dinero. El fraude de identidad sigue siendo una preocupación central en el país. La apertura de cuentas, el inicio de sesión, la toma de control de cuentas, el phishing, el smishing, el vishing, la suplantación de identidad, la actividad de cuentas mula y el abuso de los canales electrónicos continúan generando riesgos para bancos, fintechs, proveedores de pago y sus clientes.

Para cumplir con estas obligaciones y mantenerse a la vanguardia, las instituciones financieras centroamericanas deben implementar controles consistentes, recopilar evidencia auditable y garantizar una verdadera coordinación entre los equipos de fraude, ciberseguridad, cumplimiento, operaciones, legal y servicio al cliente.

Comportamiento y colaboración

Existen dos formas prácticas de fortalecer la prevención del fraude sin generar fricción excesiva para los usuarios de la banca digital.

La primera es el uso de inteligencia conductual para identificar anomalías de comportamiento y detectar el robo de credenciales antes de que el dinero salga de la cuenta de la posible víctima.

La segunda es complementar estos datos de comportamiento con un perfil de riesgo de la cuenta receptora, lo que permite a las instituciones emisoras detectar señales de riesgo del lado del beneficiario y actuar con visibilidad sobre ambos extremos de la transacción.

Esta cadena exige que las instituciones dejen atrás los controles fragmentados y avancen hacia modelos de prevención integrados que combinen identidad, dispositivo, comportamiento, transacción, beneficiario, riesgo de red de cuentas, educación al cliente y respuesta operativa.

—

Puntos clave:

• El fraude en Centroamérica sigue cada vez más cadenas organizadas que conectan datos personales robados, el compromiso de credenciales, la toma de control de cuentas o las estafas, y el movimiento de fondos robados a través de redes de mulas.
• Costa Rica, Panamá y Guatemala están fortaleciendo su regulación en materia de fraude, con un énfasis creciente en la protección al consumidor, la persecución penal, la rendición de cuentas y el rastreo de fondos ilícitos.
• Las instituciones financieras necesitan defensas integradas que conecten fraude, ciberseguridad, cumplimiento, operaciones, legal y servicio al cliente, en lugar de abordar cada etapa de un ataque por separado.
• La inteligencia conductual y el riesgo de la cuenta beneficiaria pueden darle a los bancos visibilidad sobre ambos lados de una transacción, ayudándolos a detectar el robo de credenciales y los pagos sospechosos antes de que el dinero llegue a manos de los criminales.

Recursos:

• Informe: Tendencias de fraude en la banca digital en América Latina 2026
• Banco de Guatemala: Resoluciones del Banco de Guatemala y la Junta Monetaria
• Consorcio Legal: Guatemala aprueba nueva ley integral contra el lavado de dinero y el financiamiento del terrorismo