Por Equipo #EnResumen
El 42% de las principales instituciones financieras no aplica el nivel más alto de autenticación de correo, mientras las reclamaciones por cargos no reconocidos suben 18%.
Entre enero y julio de 2026, los usuarios de la banca presentaron 42 mil 791 reclamaciones por cargos o transferencias no reconocidas, 18.1% más que en el mismo periodo de 2025, según la Condusef. En paralelo, un análisis de Proofpoint sobre 54 instituciones financieras que operan en México encontró que 42% presenta rezagos en medidas básicas de seguridad de correo electrónico. El dato no es menor: el correo sigue siendo el canal preferido para suplantar a un banco y extraer credenciales.
El protocolo DMARC existe precisamente para impedir que un delincuente envíe mensajes haciéndose pasar por una institución. Tiene tres niveles. El más alto —Reject— bloquea el correo fraudulento antes de que llegue al usuario. El 91% de las instituciones ya usa algún nivel de DMARC. Solo el 58% aplica Reject. El resto, el 42%, deja la puerta abierta. Casi una de cada diez no usa el protocolo.
Esa brecha coincide con el auge de malware, sobre todo en Android, y de mensajes por SMS, WhatsApp y redes sociales que inducen a instalar aplicaciones o archivos. Una vez comprometido el dispositivo, el atacante opera con credenciales legítimas y códigos de verificación interceptados. Para el banco, la transacción puede parecer auténtica. Para el cliente, el cargo no reconocido se convierte en un trámite de reclamación.
La respuesta institucional ha sido la alerta conjunta de la Asociación de Bancos de México y la Condusef: instalar antivirus, no abrir enlaces, no compartir NIP ni códigos, descargar solo de tiendas oficiales y verificar cada transferencia. Son recomendaciones correctas. También son la evidencia de un diseño que coloca la última línea de defensa en el usuario, no en el perímetro de la institución que concentra los datos y el dinero.
El sector financiero digitaliza a velocidad de mercado. La protección mínima de identidad corporativa avanza a otra velocidad. Mientras el 42% de las principales instituciones no cierra el nivel más básico de autenticación de correo, las quejas crecen y el costo —tiempo, dinero, desconfianza— lo absorbe quien menos capacidad técnica tiene para detectar una suplantación sofisticada.
La supervisión no ha impuesto ese estándar como condición de operación. Mientras no lo haga, las alertas seguirán llegando al cliente y las brechas permanecerán en el banco.
