El desarrollo acelerado de la inteligencia artificial, junto al interés de los ciberdelincuentes por lanzar ataques informáticos contra las instituciones bancarias de México, se están convirtiendo en un problema serio para el sector financiero del país, el cual ya ha sufrido afectaciones multimillonarias por este tipo de incidentes durante los últimos años, de acuerdo con los reportes que han recolectado las autoridades federales competentes.
- Los registros que posee en esta materia la Comisión Nacional Bancaria y de Valores (CNBV), del Gobierno de México, proporcionados mediante los mecanismos de transparencia, muestran que en los últimos años, los bancos privados del país han sufrido al menos 35 ciberataques que lograron vulnerar sus sistemas informáticos, causándoles, por tanto, un cuantioso daño económico.
En efecto, las propias instituciones bancarias privadas de México le notificaron a la CNBV que estos ciberataques perpetrados en el periodo comprendido desde 2019 hasta la actualidad, les generaron afectaciones que han sido estimadas en mil 955.8 millones de pesos, lo que evidencia que el ámbito de la ciberseguridad se está volviendo cada vez más crítico para el buen funcionamiento del sector financiero del país.
La descripción de estos ciberataques que lograron penetrar los sistemas de ciberseguridad con que cuentan los bancos privados del país, muestra que los ciberdelincuentes están utilizando distintos métodos y técnicas para alcanzar sus objetivos ilícitos, aunque el panorama para el sector financiero mexicano luce verdaderamente desafiante, ahora que a nivel mundial comienzan a darse a conocer nuevos modelos de inteligencia artificial con capacidades inéditas para la detección y explotación de las vulnerabilidades que ocultan los programas informáticos.
- Un ciberataque perpetrado en mayo de 2019 contra un banco cuyo nombre fue omitido por la Comisión Nacional, al considerar que se trataba de información confidencial, por ejemplo, pero que generó afectaciones estimadas en 462 millones de pesos, fue descrito de esta manera: “Fraude ejecutado por personal de terceros que laboraba al interior de la institución, mediante la inyección de operaciones apócrifas de depósito de intereses a cuentas de cheques mediante un archivo para carga por lote desde un ambiente de desarrollo. Esta acción se repitió en tres días (folio 340008000044726)”.
- Un poco antes, en marzo de 2019 la Comisión Nacional tuvo conocimiento de otro ciberataque que causó daños para la institución bancaria por 260 millones de pesos, y que quedó plasmado de esta manera: «Los atacantes aprovecharon vulnerabilidades en la infraestructura de Cajeros Automáticos del Banco, para que múltiples cajeros en todo el país dispensaran efectivo”.
Otro ciberataque relevante lanzado contra un banco en México aconteció en marzo de 2021, provocando daños económicos valuados en 474.40 millones de pesos. De acuerdo con los registros entregados por la Comisión Nacional, se trató de un “ataque al servicio de transferencias a través de sucursales de una Institución de Crédito y su casa de bolsa”.
Hacia el cierre de 2024 se registraron dos ciberataques contra instituciones bancarias en México que, de acuerdo con la descripción de los incidentes, presentaron características similares. El primero ocurrió en noviembre y representó pérdidas por 161.99 millones de pesos para la institución afectada. El ataque fue clasificado como una “vulneración informática del servicio de transferencias”. Un mes después, en diciembre, se reportó un segundo incidente bajo la categoría “vulneración informática del servicio de transferencias. Transferencias electrónicas que provee a sus clientes”, cuyo impacto económico fue todavía mayor, al alcanzar los 204.12 millones de pesos.
Tienen catálogo’ de técnicas para robar dinero
Los ciberataques que se perpetran utilizando virus capaces de secuestrar bases de datos así como otros componentes informáticos que requieren los bancos del país para su funcionamiento diario también han arrojado afectaciones multimillonarias para las instituciones bancarias. En febrero de 2026 se registró, por ejemplo, un ciberataque mediante la infección con código malicioso de tipo ransomware, de acuerdo con los registros disponibles, que generó pérdidas estimadas en 91.76 millones de pesos.
Previamente, en abril de 2024, otro incidente de características similares afectó tanto canales electrónicos como sucursales de una institución financiera, con un impacto económico calculado en 16.38 millones de pesos.
Otros métodos que han utilizado los ciberdelincuentes para vulnerar las medidas de ciberseguridad de los bancos en México son estos, según las varias decenas de casos que ha registrado la Comisión Nacional Bancaria y de Valores en estos años:
«Los atacantes aprovecharon vulnerabilidades en la infraestructura de Cajeros Automáticos del Banco, para permitir retiros de efectivo»; y también: “Robos de efectivo en cajeros automáticos. La afectación no impactó a clientes y se realizó mediante alteración física y lógica de los cajeros (instalación de hardware y software no autorizado)”.
Otro de los métodos identificados consistió en el uso de credenciales sustraídas a clientes para acceder a dispositivos móviles y, posteriormente, evadir los controles de seguridad de las aplicaciones bancarias con el objetivo de realizar transferencias por encima de los límites establecidos.
- En otro caso, los atacantes explotaron una vulnerabilidad en los sistemas de corresponsalía para efectuar numerosas transferencias con cargo a la cuenta ómnibus de un corresponsal, hasta agotar por completo los recursos disponibles.
- Las metodologías que siguieron los ciberdelincuentes en otros casos fueron estas: «Ataque a aplicativo de transferencias de fondos para retiro de efectivo de una Institución de Crédito»; “Vulneración informática del servicio de transferencias a través de un código malicioso. Transferencias electrónicas que provee a sus clientes”; así como esta: “Los atacantes lograron originar transferencias desde cuentas válidas de un procesador de pagos en las que se generaban formatos que provocaban malfuncionamiento del sistema del banco”.
Omiten nombres de bancos afectados
La Comisión Nacional Bancaria y de Valores, no obstante, argumentó así su determinación por clasificar como información confidencial los nombres de los bancos que fueron afectados por estos ciberataques, pese a que se trataba de unos de los datos que habían sido requeridos como parte de la solicitud que fue tramitada con los mecanismos de transparencia:
“Referente al nombre de las instituciones financieras que reportan los incidentes, se informa que dicha información es confidencial, en virtud de que la información de las instituciones fue entregada con ese carácter, y que les corresponde la titularidad de la información, por lo que, con fundamento en los artículos 40, fracción II, 103 fracción I y 115, párrafos primero y cuarto de la LGTAIP, en correlación con el Trigésimo Octavo, fracción II de los Lineamientos generales en materia de clasificación y desclasificación de la información, así como para la elaboración de versiones públicas, el Comité de Transparencia de la Comisión Nacional Bancaria y de Valores, en la Décima Primera Sesión Ordinaria, celebrada el 18 de junio del año en curso, confirmó la clasificación como confidencial de la información señalada”.
Inteligencia Artificial aumenta los riesgos
El Banco de México alerta en su portal que los ciberataques contra las instituciones del sector financiero se están incrementando a nivel global, lo que profundiza los riesgos que enfrentan provenientes del ámbito virtual y, por si ello no fuera suficiente, el mundo apenas comienza a familiarizarse con la llegada de modelos de inteligencia artificial con capacidades nunca antes vistas para la detección de las vulnerabilidades que alojan los sistemas informáticos de toda índole.
“En años recientes se ha observado a nivel mundial un incremento sostenido de ciberataques al sector financiero, en especial en contra de instituciones bancarias, bancos centrales y sistemas de pagos para operaciones internacionales.
“En años recientes se ha observado a nivel mundial un incremento sostenido de ciberataques al sector financiero, en especial en contra de instituciones bancarias, bancos centrales y sistemas de pagos para operaciones internacionales.
«Dichas entidades están particularmente expuestas al riesgo cibernético debido a su alto grado de automatización, complejidad de procesos y la cantidad de recursos financieros que gestionan”.
- La institución también precisa que la materialización de riesgos cibernéticos puede causar a las instituciones financieras daños de tres tipos: “disrupciones de las tecnologías de la información que utilizan y la consecuente indisponibilidad de sus servicios; afectación a la integridad, confidencialidad y disponibilidad de la información que gestiona la institución, incluida la de sus clientes; y pérdidas económicas a las propias instituciones o a sus clientes.
Así lo expone el Banco de México, para luego complementar: “En particular, un ciberataque a una institución de relevancia sistémica, un banco central o una Infraestructura de los Mercados Financieros, podría afectar de manera importante la estabilidad financiera. Independiente de la relevancia sistémica de una institución, el impacto de un ciberataque a ésta tiene el potencial de volverse sistémico por el grado de interconexión y dependencias que hay entre los participantes en el sistema, y con terceros”.
El nuevo riesgo de la IA para la ciberseguridad
Apenas en abril de 2026, se dio a conocer oficialmente el programa de inteligencia artificial denominado Claude Mythos Preview, diseñado por la empresa Anthropic, que ha sorprendido por sus habilidades para descubrir y explotar los puntos débiles y fallas existentes en los software, causando, inclusive, que el Gobierno estadounidense emitiera un decreto donde señala que las empresas del ramo deberán otorgarle acceso exclusivo a los nuevos modelos de inteligencia artificial durante algunos días previos a su lanzamiento.
- El medio especializado en tecnología, Xataka México, publicó al respecto el 22 de abril de 2026: “en ausencia de pruebas externas, tenemos lo que dice Anthropic: Mythos posee un nivel de comprensión de código tan profundo que puede identificar y, lo que es peor, explotar vulnerabilidades de día cero —fallos en la arquitectura de un software que los propios creadores originales aún desconocen— en los sistemas operativos y navegadores web más utilizados”.
Y agrega que el primero en detectar una de estas vulnerabilidades obtiene una ventaja prácticamente total, ya que no puede existir una defensa frente a una falla cuya existencia aún se desconoce. Identificar una sola puede demandar meses de análisis especializado y, una vez descubierta, alcanzar un valor de millones de dólares en mercados clandestinos.
La propuesta de Anthropic es que Mythos sea capaz de localizar este tipo de vulnerabilidades de manera automatizada y a gran escala./Agencias-PUNTOporPUNTO
Recibe nuestro boletín informativo, suscríbete usando el formulario
