El fraude ya no necesita robarte la contraseña: le basta con convencerte

Javier Sáez, Director of Business Banking Innovation (BBI), MST Holding

Imaginemos una llamada recibida a última hora de la tarde. Al otro lado escuchamos la voz de alguien de nuestra familia. Está nervioso, nos llama desde un número desconocido porque ha perdido el teléfono y necesita que hagamos una transferencia urgentemente. Reconocemos su manera de hablar, sus expresiones e incluso esa pequeña pausa que hace cuando está preocupado. La historia resulta coherente y la cantidad solicitada no es desproporcionada. Todo parece real. Excepto la persona.

Podríamos pensar que se trata de un supuesto demasiado sofisticado o lejano, pero la capacidad de clonar voces, manipular imágenes y construir identidades digitales convincentes ya está cambiando la naturaleza del fraude. El Instituto Nacional de Ciberseguridad viene alertando sobre la utilización de voces sintéticas para suplantar a familiares, responsables de empresas o representantes de entidades financieras. Europol también ha señalado el crecimiento de estas técnicas y su capacidad para facilitar nuevas formas de fraude, extorsión y robo de identidad.

Durante años hemos aprendido a protegernos frente a un delincuente que intentaba entrar en nuestra cuenta. Desconfiamos de los enlaces extraños, protegemos nuestras contraseñas, utilizamos sistemas de doble autenticación y evitamos facilitar códigos recibidos por SMS. Todo ello continúa siendo necesario, pero ya no es suficiente. El nuevo delincuente no siempre necesita vulnerar la seguridad tecnológica del banco. Puede resultarle más fácil conseguir que seamos nosotros mismos quienes abramos la puerta.

Ese es el cambio verdaderamente importante. El fraude ha empezado a desplazarse desde el acceso no autorizado hacia la manipulación de una decisión legítima. La operación puede realizarse desde nuestro teléfono, utilizando nuestra contraseña, validándose con nuestra huella y confirmándose mediante un código de seguridad. Desde un punto de vista estrictamente técnico, todo parecerá correcto. Sin embargo, nuestra voluntad habrá sido condicionada por una historia falsa.

El sistema habrá identificado adecuadamente quién está realizando la transferencia, pero no por qué la está haciendo.

Esta diferencia plantea uno de los mayores desafíos para la banca actual. La autenticación permite verificar que somos nosotros, pero no garantiza que comprendamos realmente la operación ni que estemos actuando libremente. Un pago puede estar correctamente autorizado y, al mismo tiempo, ser consecuencia de un engaño. La identidad es auténtica; la intención, no.

La ingeniería social siempre ha existido. El fraude tradicional ya utilizaba el miedo, la urgencia, la autoridad, la ambición o la confianza para provocar decisiones precipitadas. La novedad no está, por tanto, en el mecanismo psicológico, sino en la capacidad de la tecnología para hacerlo más preciso, creíble y escalable. Antes, un delincuente tenía que improvisar una historia y probarla de forma casi artesanal. Ahora puede analizar información pública, personalizar mensajes, reproducir voces, generar documentos y automatizar miles de intentos con un coste muy reducido.

Nuestra vida digital proporciona, además, una cantidad extraordinaria de contexto. En redes sociales compartimos relaciones familiares, viajes, lugares de trabajo, celebraciones, aficiones, cambios profesionales o fotografías de nuestro entorno. En plataformas laborales publicamos cargos, equipos, proveedores y conexiones empresariales. Una sola fuente quizá no revele demasiado, pero varias piezas combinadas permiten construir una historia convincente.

El estafador no necesita conocer toda nuestra vida. Le basta con conocer lo suficiente para que dejemos de cuestionar lo que nos cuenta.

Por eso, el fraude más eficaz no suele basarse en una falsificación perfecta, sino en una combinación inteligente de verdad y mentira. El nombre puede ser real. La empresa puede existir. El familiar puede estar efectivamente de viaje. El número de cuenta puede pertenecer a una entidad conocida. El correo puede reproducir correctamente la firma de un proveedor. Sobre esa base auténtica se introduce una única pieza falsa: la necesidad urgente de realizar el pago.

Cuanto más verdadero parece el contexto, menos examinamos la petición.

También tendemos a sobrevalorar nuestra capacidad para detectar una falsificación. Creemos que reconoceríamos una voz artificial, que una imagen manipulada tendría errores evidentes o que un correo fraudulento estaría mal escrito. Esa percepción procede de una etapa anterior de la tecnología. Los primeros intentos eran rudimentarios y fácilmente identificables, pero la calidad ha mejorado y, sobre todo, los delincuentes han aprendido que no necesitan mantener una conversación perfecta durante veinte minutos. En muchas ocasiones bastan unos segundos de confusión, una frase creíble y una urgencia emocional para impedir que pensemos con claridad.

No obstante, conviene evitar otro error: atribuir todos los fraudes sofisticados a la inteligencia artificial. En muchas estafas no existe una voz clonada ni un vídeo manipulado. Solo hay un delincuente bien informado que utiliza datos previamente robados o publicados. La IA amplifica el problema, pero el elemento decisivo continúa siendo la manipulación humana.

El fraude no triunfa necesariamente porque la tecnología consiga engañar a nuestros sentidos. Triunfa porque consigue controlar nuestro tiempo. Nos obliga a decidir antes de contrastar.

La urgencia es, probablemente, la señal más constante. La cuenta será bloqueada en diez minutos. La inversión desaparecerá hoy. El familiar necesita ayuda inmediatamente. El proveedor exige cambiar el número de cuenta antes de cerrar una operación. El supuesto responsable del banco nos pide actuar antes de que se ejecute un cargo. Todo está diseñado para reducir el intervalo entre la emoción y la acción.

Cuando una petición financiera incorpora urgencia, secreto o presión, el problema no es que debamos responder más deprisa, sino que debemos detenernos.

Esa pausa resulta especialmente importante porque los pagos son cada vez más rápidos. La inmediatez ofrece enormes ventajas al consumidor, pero también reduce el tiempo disponible para detectar, bloquear o recuperar una transferencia fraudulenta. En un sistema donde el dinero puede cambiar de cuenta en segundos y desplazarse después por distintas entidades o países, cada minuto posterior al fraude cuenta.

La banca se enfrenta así a una paradoja. Durante años ha trabajado para eliminar fricciones: menos pasos, validaciones más sencillas, transferencias instantáneas y contratación desde el móvil. El cliente exige rapidez y considera molestas muchas comprobaciones. Sin embargo, frente al nuevo fraude, cierta fricción puede convertirse en una medida de protección.

No se trata de recuperar procesos lentos ni de bloquear indiscriminadamente las operaciones. Se trata de introducir una fricción inteligente allí donde existan señales de riesgo. Una transferencia habitual a un destinatario conocido no debería recibir el mismo tratamiento que el envío de una cantidad elevada a una cuenta nueva, realizado desde un dispositivo distinto, después de cambiar credenciales o mientras el cliente mantiene una llamada telefónica.

Los grandes bancos están utilizando inteligencia artificial para analizar precisamente ese contexto. Ya no se observa únicamente el importe de una operación. Se combinan patrones de comportamiento, dispositivos, ubicaciones, beneficiarios, velocidad de las acciones, movimientos anteriores y conexiones con cuentas potencialmente utilizadas para recibir dinero fraudulento. El objetivo es detectar aquello que, sin ser imposible, resulta anómalo para un cliente concreto.

La misma tecnología que permite fabricar el engaño también puede ayudar a identificarlo.

Esta es, de hecho, una de las cuestiones que más ocupa hoy a quienes trabajamos liderando la transformación de procesos bancarios: integrar la prevención del fraude no como un control aislado situado al final de una operación, sino como una capacidad presente en todo el recorrido. Desde la identificación y el análisis documental hasta la automatización de alertas, la experiencia del cliente y la intervención especializada ante las excepciones. Esa visión transversal permite que la tecnología no se limite a detectar una anomalía, sino que ayude a interpretarla, priorizarla y actuar antes de que el daño se produzca.

Pero tampoco aquí existen soluciones perfectas. Si el banco eleva demasiado sus controles, bloqueará operaciones legítimas y generará frustración. Si los reduce, aumentará la exposición al fraude. Si analiza más información sobre el comportamiento del cliente, mejorará su capacidad preventiva, pero también deberá explicar con claridad qué datos utiliza, para qué los emplea y cómo los protege.

La seguridad financiera futura exigirá encontrar un equilibrio entre protección, privacidad y facilidad de uso.

Además, el banco nunca dispone de todo el contexto. Puede saber que estamos enviando dinero por primera vez a una cuenta, pero no necesariamente que llevamos una hora hablando con un supuesto familiar. Puede detectar una operación extraordinaria, pero no escuchar la conversación en la que alguien nos ha convencido de que nuestro dinero corre peligro. Puede emitir una advertencia, pero no impedir que la ignoremos porque creemos estar actuando correctamente.

Por eso las alertas también tendrán que evolucionar. Un mensaje genérico que el cliente ha visto decenas de veces termina perdiendo eficacia. Advertencias como “compruebe los datos antes de continuar” se aceptan casi de manera automática. La prevención útil debe ser específica, comprensible y aparecer en el momento adecuado.

No es lo mismo preguntar si queremos continuar que advertirnos de que nuestro banco nunca nos pedirá transferir el dinero a una supuesta cuenta segura. No es lo mismo mostrar un aviso legal que señalar que el nombre indicado no coincide con el titular real de la cuenta. No es lo mismo añadir otra pantalla que formular una pregunta capaz de romper el relato del estafador: “¿Está realizando esta operación porque alguien le ha llamado y le ha pedido actuar urgentemente?”.

Una buena advertencia no se limita a informar. Nos devuelve la capacidad de pensar.

El consumidor también necesita desarrollar nuevos hábitos. El primero es comprender que la identidad aparente ya no constituye una prueba suficiente. Reconocer una voz, ver una fotografía o recibir un mensaje desde una cuenta conocida no garantiza que la persona sea quien dice ser. En el nuevo entorno digital, confiar seguirá siendo necesario, pero habrá que verificar por un canal independiente.

Si un familiar solicita dinero desde un número distinto, debemos llamarlo al teléfono que ya conocemos. Si un proveedor comunica un cambio de cuenta, conviene confirmarlo utilizando un contacto previamente validado, no respondiendo al mismo correo. Si alguien afirma llamar desde el banco, debemos finalizar la conversación y contactar directamente a través de la aplicación o del número oficial. Y si un responsable de nuestra empresa solicita una operación excepcional, la jerarquía no debería eliminar los procedimientos de control.

La verificación debe realizarse fuera del escenario creado por quien nos contacta. De nada sirve comprobar una petición preguntando al mismo interlocutor que podría estar intentando engañarnos.

En el ámbito familiar puede resultar útil acordar una palabra o pregunta privada para situaciones urgentes. No es un sistema infalible, pero introduce una barrera adicional frente a la suplantación. En las empresas, los cambios de cuentas bancarias y pagos extraordinarios deberían requerir doble validación, especialmente cuando llegan acompañados de confidencialidad o presión. Ninguna urgencia comercial debería anular por completo un procedimiento diseñado para proteger a la organización.

También debemos desterrar la idea de que facilitar un código es la única forma de caer en un fraude. Podemos no compartir ninguna contraseña y, aun así, perder el dinero si realizamos personalmente la operación. Debemos leer el mensaje completo de validación, comprobar el importe y el beneficiario y desconfiar de cualquier persona que nos pida ignorar las advertencias de la aplicación.

Un banco no necesita que le revelemos un código que él mismo acaba de enviarnos. Tampoco nos pedirá que traslademos nuestros ahorros a una “cuenta segura”, instalemos un programa de control remoto o realicemos una transferencia para cancelar otra operación.

Hay una regla especialmente útil: cuando alguien nos contacte para proteger nuestro dinero y la solución que propone consista en moverlo inmediatamente, debemos detenernos.

Las estafas de inversión merecen una atención particular. Muchas ya no comienzan con una promesa claramente inverosímil. Empiezan con pequeñas cantidades, plataformas visualmente profesionales, supuestos expertos y rendimientos iniciales que parecen reales. La víctima puede incluso retirar una primera ganancia, lo que refuerza su confianza y la anima a invertir más. Cuando intenta recuperar el capital, aparecen impuestos, comisiones o nuevas exigencias de pago.

En estos casos, el engaño no se construye en una sola conversación, sino a través de una relación. El delincuente acompaña, asesora, felicita y genera una sensación de oportunidad compartida. No busca únicamente que la víctima crea en una inversión; busca convertirse en la persona a la que consulta sobre ella.

Algo parecido ocurre con las estafas sentimentales o de amistad. El fraude se introduce después de semanas o meses de confianza. Por eso resulta injusto reducir el problema a una supuesta ingenuidad de la víctima. Estos delitos explotan necesidades humanas universales: ayudar, confiar, pertenecer, evitar una pérdida o aprovechar una oportunidad.

La vergüenza es uno de los mayores aliados del delincuente. Muchas personas tardan en comunicar lo sucedido porque se sienten responsables, temen ser juzgadas o esperan recuperar el dinero por su cuenta. Ese retraso puede reducir las posibilidades de bloquear la operación y permite que el estafador continúe manipulándolas.

Ser víctima de un fraude no significa ser poco inteligente. Significa que alguien ha diseñado deliberadamente una situación para alterar nuestra percepción y nuestra capacidad de decidir.

Si la operación ya se ha realizado, la reacción debe ser inmediata. Hay que contactar primero con el banco a través de sus canales oficiales, explicar que se trata de un posible fraude y solicitar que intente detener o recuperar los fondos. También conviene bloquear las credenciales cuando exista riesgo de acceso, conservar mensajes, números de teléfono, correos, justificantes y cualquier otra prueba, y presentar la correspondiente denuncia.

En España, el Instituto Nacional de Ciberseguridad, INCIBE, mantiene el 017, un servicio público, gratuito y confidencial que ofrece orientación técnica, legal y psicosocial sobre problemas de ciberseguridad. Está disponible de 8:00 a 23:00 todos los días del año. No sustituye al banco ni a las Fuerzas y Cuerpos de Seguridad, pero puede ayudarnos a comprender lo sucedido, proteger nuestras cuentas y dispositivos y decidir correctamente los siguientes pasos.

No debemos seguir negociando con el delincuente ni realizar nuevos pagos bajo la promesa de recuperar lo perdido. Tampoco conviene borrar las conversaciones por vergüenza o enfado, ya que pueden ser relevantes para la investigación. La posibilidad de recuperar el dinero dependerá de las circunstancias, del tipo de operación y de la rapidez con la que se actúe, pero comunicarlo inmediatamente siempre será mejor que esperar.

La lucha contra el fraude no puede recaer únicamente en el consumidor. Pedir prudencia es necesario, pero insuficiente. Las entidades deben diseñar procesos que tengan en cuenta cómo se comportan realmente las personas bajo presión. La seguridad no puede consistir en presentar una advertencia genérica y considerar que la responsabilidad ha quedado trasladada al cliente.

Los bancos conocen los patrones de fraude, tienen capacidad para analizar redes de cuentas receptoras y pueden identificar comportamientos anómalos a una escala imposible para una persona. También deben mejorar la coordinación, porque el dinero suele atravesar varias cuentas antes de desaparecer. Una entidad puede detectar la salida sospechosa, mientras otra observa la llegada de múltiples transferencias desde clientes sin relación entre sí. La protección efectiva exige unir esas señales con rapidez.

Al mismo tiempo, habrá que preservar la intervención humana. Cuando una operación se bloquea o una cuenta queda limitada por sospecha de fraude, el cliente necesita encontrar a alguien capaz de comprender el contexto y resolver la situación. La automatización puede detectar la anomalía, pero una persona deberá explicar, revisar y decidir en los casos complejos.

La tecnología será especialmente valiosa cuando permita que los profesionales dediquen menos tiempo a revisar alertas irrelevantes y más a investigar las que realmente representan un riesgo. El futuro no consiste en sustituir equipos de fraude por algoritmos, sino en proporcionarles mejores herramientas para anticiparse.

También veremos una evolución de la responsabilidad. Hasta ahora, gran parte de la seguridad se ha centrado en acreditar quién autorizó una operación. En adelante será necesario comprender mejor en qué condiciones se produjo esa autorización. No bastará con confirmar que el cliente utilizó correctamente su huella, su clave o su teléfono. Habrá que preguntarse si existían señales razonables de que estaba siendo manipulado y si el proceso hizo lo suficiente para advertirle.

La próxima frontera de la seguridad bancaria no será solo autenticar identidades. Será proteger intenciones.

Esto cobrará todavía más importancia con la llegada de agentes de inteligencia artificial capaces de realizar tareas por nosotros. Si en el futuro autorizamos a un asistente para comparar productos, preparar pagos o ejecutar determinadas operaciones, habrá que definir límites muy precisos. Qué puede hacer, durante cuánto tiempo, con qué importe, en qué circunstancias y cuándo debe solicitar una confirmación adicional.

Los agentes pueden reducir errores y detectar riesgos, pero también amplían la superficie de ataque. Un delincuente ya no intentará únicamente engañar a una persona; podrá tratar de manipular las instrucciones, los datos o el contexto que utiliza su asistente digital. La seguridad tendrá que proteger al cliente, al sistema que actúa en su nombre y la relación entre ambos.

En este escenario, la confianza no puede basarse exclusivamente en que algo parezca auténtico. Una voz puede reproducirse, una imagen puede manipularse, una cuenta puede ser intervenida y un documento puede generarse en segundos. Tendremos que acostumbrarnos a una idea incómoda: ver y escuchar ya no siempre equivaldrá a comprobar.

Pero esto no significa que debamos vivir instalados en la sospecha. Significa que necesitamos trasladar la confianza desde la apariencia hacia el procedimiento. Podemos seguir confiando en las personas, siempre que las operaciones excepcionales se verifiquen. Podemos aprovechar la inmediatez de los pagos, siempre que una urgencia inesperada active una pausa. Podemos utilizar nuevos asistentes, siempre que mantengamos control sobre las decisiones relevantes.

La mejor protección no será desconfiar de todo. Será saber cuándo debemos dejar de confiar automáticamente.

Durante años nos han enseñado a crear contraseñas más complejas. Ahora tendremos que aprender también a reconocer historias diseñadas para que no pensemos. El nuevo fraude no siempre atacará nuestras cuentas; atacará nuestra percepción. No intentará necesariamente vencer la seguridad del banco; intentará convertirnos en parte del mecanismo que la supera.

Por eso siempre digo que quizá la pregunta más importante ante una solicitud urgente de dinero no sea “¿parece realmente esta persona?”, sino: “¿he comprobado esta petición fuera del canal por el que la he recibido?”.

La diferencia puede parecer pequeña, pero contiene toda una nueva cultura de seguridad.

La inteligencia artificial permitirá a los delincuentes fabricar engaños más convincentes, pero también proporcionará a los bancos herramientas más potentes para detectarlos. Entre ambas fuerzas seguirá estando la persona, con sus emociones, su confianza y su capacidad para detenerse.

En el futuro, el cliente más protegido no será necesariamente quien utilice la contraseña más difícil, sino quien sepa romper a tiempo el relato que alguien ha construido para él.

Después de tantos años vinculado a la banca, hay algo que hoy tengo especialmente claro: proteger nuestro dinero también exige impedir que otros utilicen nuestra prisa para decidir por nosotros.