Base de Conocimiento Antifraude

El atacante llama haciéndose pasar por el área de seguridad o servicio al cliente de la entidad. Menciona datos parciales reales del cliente (obtenidos de filtraciones o de la propia red social) para generar credibilidad, reporta una supuesta transacción no reconocida y pide al cliente 'confirmar su identidad' entregando el OTP, la clave dinámica o el código de retiro sin tarjeta. Suele preceder o acompañar una toma de cuenta en curso.

Aprovechando la adopción reciente del sistema de pagos inmediatos, el atacante envía SMS masivos notificando una consignación recibida que 'debe autorizar' o que 'será devuelta', o exigiendo registrar la llave a través de un enlace. Bre-B no requiere autorización del receptor: la premisa misma es falsa. El enlace acortado lleva a un sitio clonado con suplantación visual de la entidad donde la víctima entrega credenciales y OTP.

Correo o publicación con identidad visual de la entidad, un comercio o una plataforma, anunciando puntos por vencer, una devolución, un bloqueo de cuenta o una factura pendiente. El enlace conduce a un portal clonado que captura usuario, clave y OTP en tiempo real (adversary-in-the-middle), permitiendo al atacante iniciar sesión legítima mientras la víctima cree estar autenticándose.

Uso de documentos robados, alterados o de datos filtrados para abrir cuentas, solicitar créditos o vincular productos a nombre de un tercero real. La víctima descubre el fraude cuando aparece reportada en centrales de riesgo o recibe cobros. Es la fase de mayor exposición: la tasa de fraude en creación de cuentas es un orden de magnitud superior a la de transacción.

Construcción de un perfil que combina datos reales (a menudo de un tercero con poca huella crediticia) con datos falsos o generados, creando una identidad que no corresponde a ninguna persona pero que supera los controles de verificación. El perfil se 'cultiva' durante meses con comportamiento impecable para elevar cupos, y luego ejecuta un bust-out: consume todo el crédito disponible y desaparece.

Uso de video o audio generado con IA para superar verificación biométrica, aprobar transacciones por canal telefónico o autorizar operaciones internas suplantando a un directivo. Las técnicas van desde ataques básicos de presentación (foto impresa frente a la cámara) hasta inyección directa del stream de video, que evade la cámara del dispositivo por completo.

El atacante obtiene control de la cuenta digital del cliente mediante credenciales filtradas, phishing, malware, SIM swap o ingeniería social. Antes de transaccionar suele modificar datos de contacto, subir límites y desactivar alertas para retrasar la detección. La transferencia final va a cuentas mula que dispersan el dinero en minutos.

Se induce a la víctima a instalar una aplicación de 'soporte técnico', 'verificación' o de acceso remoto. El atacante observa la pantalla, captura credenciales mediante superposición de pantallas falsas (overlay) e incluso opera la banca desde el propio dispositivo de la víctima, lo que hace que la transacción parezca completamente legítima al motor de riesgo.

Sustitución física de la tarjeta del cliente por otra similar, aprovechando distracción o 'ayuda' en cajeros y puntos de pago. Ya no ocurre solo en cajeros: hay variantes con falsos empleados que visitan el domicilio para 'recoger la tarjeta bloqueada' o cambiarla, y con datáfonos alterados para cobros por aproximación.

El atacante solicita a la víctima el código de verificación de seis dígitos con un pretexto (encuesta, sorteo, 'me equivoqué de número'), toma control de la cuenta y desde ella pide dinero urgente a los contactos, explotando la confianza preexistente. Variante: pedir que agregue un número desconocido a contactos para pasar filtros.

Construcción acelerada de un vínculo afectivo con bombardeo de afecto, seguida de solicitudes de dinero por emergencias inventadas, viajes o 'inversiones conjuntas'. En la variante pig butchering el vínculo se usa para conducir a la víctima a una plataforma de inversión falsa. Puede derivar en sextorsión si se obtuvieron imágenes íntimas.

Plataformas con interfaz profesional prometen rentabilidades imposibles y muestran gráficas de ganancias fabricadas. Los primeros retiros pequeños se pagan para generar confianza; luego se induce a aportes mayores y el retiro se bloquea con excusas de 'impuestos' o 'comisiones'. Suele acompañarse de instalación de apps de control remoto y de captación sin autorización regulatoria.

Correos con logos oficiales de fiscalía, juzgados, DIAN o policía anuncian citaciones, multas o procesos, adjuntando PDF o enlaces con software malicioso. La variante telefónica exige el pago inmediato de una multa o el traslado del dinero a una 'cuenta segura del Estado' para evitar captura o embargo.

Sustitución o superposición de códigos QR en espacios públicos, facturas, parquímetros o puntos de pago, redirigiendo a un portal de pago falso o a la descarga de una aplicación maliciosa. El vector aprovecha que el destino no es legible a simple vista y que el usuario no verifica el dominio antes de pagar.

El cliente autoriza voluntariamente la transferencia, engañado sobre el destinatario o el propósito: pago a un proveedor cuya factura fue interceptada y alterada, compra de un bien inexistente, o traslado a una 'cuenta segura'. La transacción es técnicamente legítima —autenticación correcta, dispositivo conocido— lo que la hace invisible para controles centrados en la identidad. La irrevocabilidad de los pagos inmediatos elimina la ventana de recuperación.

Sociedades fachada o perfiles falsos ofrecen arriendos a precios muy por debajo del mercado, vehículos o propiedades sobre las que no tienen disposición, u ofertas de empleo que exigen un pago previo por 'examen', 'dotación' o 'reserva'. El pago se solicita por transferencia directa, fuera de cualquier plataforma con protección.

El titular legítimo desconoce una compra que sí realizó, para obtener el reembolso conservando el bien o servicio. Va desde el desconocimiento genuino por descripción confusa en el extracto, hasta el abuso deliberado y recurrente del mecanismo de contracargo. Es la única modalidad de la lista donde el defraudador es el propio cliente.

Se ofrece un crédito de aprobación inmediata sin estudio, dirigido a personas con acceso limitado al sistema financiero. Se exige un pago anticipado por 'estudio', 'seguro' o 'garantía' que nunca se devuelve y el crédito nunca se desembolsa. En la variante de gota a gota digital sí hay desembolso, pero con tasas usurarias, acceso abusivo a los contactos del teléfono y cobro mediante extorsión y difamación.

El objetivo deja de ser el cliente y pasa a ser el empleado. El atacante clona con IA la voz de un directivo o de un colega y llama a la mesa de ayuda, a tesorería o a un analista para obtener un restablecimiento de credenciales, la inscripción de un nuevo dispositivo MFA o la ejecución de un pago. Durante 2026 grandes gestoras de Wall Street sufrieron una oleada de este vector, acompañada de extorsión telefónica dirigida a firmas financieras.

Reclutamiento por mensajería o redes con la promesa de ingresos por microtareas simples (dar 'me gusta', calificar productos, completar pedidos). Las primeras comisiones se pagan de verdad para construir confianza. Luego se exige 'recargar' saldo propio para desbloquear tareas de mayor valor, y el retiro queda bloqueado tras excusas escalonadas. Combina fraude de inversión con reclutamiento laboral.

La tarjeta emitida es interceptada en la cadena de distribución —mensajería, portería, buzón— y activada por un tercero que ya cuenta con datos del titular obtenidos por otra vía. El titular descubre el fraude al recibir cobros de un plástico que nunca tuvo en sus manos. Es un fraude de la cadena de suministro, no del canal digital.

Bajo el pretexto de una instalación gratuita, una promoción o una encuesta, se obtienen los datos bancarios del cliente y su firma o autorización verbal, que luego se usan para constituir débitos automáticos recurrentes o cargos únicos no consentidos. El cliente lo detecta semanas después, cuando el débito ya se ha repetido.

La cuenta mula es el eslabón que convierte el fraude en dinero disponible. El defraudador no retira desde la cuenta de la víctima: la transfiere a cuentas de terceros — reclutados con falsas ofertas de trabajo desde casa o de gestor de cobros, o titulares de identidades sintéticas — que dispersan el saldo en minutos hacia otras cuentas, efectivo o cripto. La IA automatiza el reclutamiento en varios idiomas y genera la documentación de apertura, y la proyección del sector es que agentes autónomos construyan identidades completas sin mulero humano. Con pagos inmediatos la ventana de retención se mide en minutos, no en días.