Suplantación y robo de información: el reto que abre la nueva Ley de Economía Digital para las pymes

El decreto no se limita a promover transferencias o pagos con tarjeta, pues su artículo 19 permite que el Banco de México impulse herramientas para facilitar las transferencias electrónicas y establece disposiciones para que las entidades que ofrecen terminales punto de venta puedan recibir pagos mediante códigos QR compatibles con las especificaciones técnicas que determine el banco central.

Además, l os artículos 5 al 9 incorporan mecanismos de identificación digital para contratar servicios financieros. La CURP Digital podrá utilizarse como medio de identificación, a elección del usuario, mientras que el Expediente Digital Ciudadano permitirá consultar y compartir documentos para estos trámites cuando la persona lo solicite.

Estas disposiciones buscan facilitar las operaciones, pero también hacen relevante la protección de la identidad de los usuarios, pero María Isabel Manjarrez, investigadora de Seguridad de Kaspersky, explica a Expansión que los delincuentes recurren a la suplantación de identidad y al uso de información personal para convencer a las personas de ingresar a páginas falsas, proporcionar datos o realizar operaciones.

La especialista dice que, cuando se digitalizan servicios y trámites, los usuarios necesitan identificar claramente los canales oficiales. De lo contrario, los atacantes pueden aprovechar la confusión para crear sitios que aparentan pertenecer a instituciones o empresas legítimas.

En el caso de la nueva ley, esto no significa que ya se hayan detectado campañas de fraude relacionadas directamente con su implementación, sino que el riesgo señalado por la investigadora es que los cambios en los servicios digitales pueden convertirse en pretextos para nuevos engaños.

La disposición no implica que todos los comercios deban dejar de recibir efectivo de inmediato, sino que las autoridades correspondientes tendrán que emitir reglas para cada sector y establecer mecanismos de transición gradual.

Claudio Martinelli, director general de Kaspersky para las Américas, coincide en que la expansión de las operaciones digitales también generará nuevas oportunidades para la delincuencia informática. Los pagos electrónicos, las redes sociales y las compras por internet figuran entre las actividades que los atacantes buscan aprovechar.

Los ataques que más afectan a los mexicanos

México registró un promedio de 312,000 intentos de phishing bloqueados al día durante el periodo analizado por Kaspersky y, en números absolutos, fue el segundo país con más detecciones de América Latina, detrás de Brasil, que acumuló 583 millones.

Los sitios falsos no son la única amenaza para quienes utilizan servicios financieros digitales, también existen los troyanos, los cuales pueden intentar obtener credenciales bancarias, interceptar información o facilitar operaciones no autorizadas, dependiendo de sus capacidades.

Entre septiembre de 2025 y septiembre de 2026, Kaspersky bloqueó 189,000 intentos de ataque de este tipo en México, un incremento de 70% frente al periodo anterior y a diferencia del phishing, que busca engañar a las personas para que entreguen sus datos, los troyanos pueden operar mediante software instalado en sus dispositivos.

La preparación tecnológica tampoco es uniforme entre los negocios mexicanos pues de acuerdo con los Censos Económicos 2024 del INEGI, solo 23.5% de los micronegocios utilizaba internet, frente a 82.1% de las pequeñas empresas y 90.9% de las medianas. Aunque estas cifras no miden directamente la aceptación de pagos digitales, muestran las diferencias existentes en la incorporación de tecnología.

Por su parte, Manjarrez agrega que la seguridad debe considerarse desde el momento en que un negocio decide incorporar una aplicación o plataforma a sus operaciones. “Esta aplicación tiene que ser segura”, explicó al señalar la importancia de identificar dónde se introducen y almacenan los datos.

El informe de Kaspersky también muestra que el comercio minorista y mayorista representó 15.01% de la distribución de detecciones de ciberataques por sector en México. Además, la compañía bloqueó 372,000 intentos de ransomware en el país, 57% más que en el periodo anterior.

Sin embargo, los riesgos para los comercios no se limitan a los ataques contra sus sistemas informáticos porque también pueden aparecer durante las propias transacciones, cuando un delincuente utiliza mecanismos de engaño para apropiarse del dinero de una operación.

En ese contexto, Claudio Martinelli, Director General de Kaspersky para las Américas, menciona que “el vendedor también es víctima de un defraudador en el medio de este camino”.

Al respecto, la nueva legislación establece que los proveedores de bienes y servicios que implementen pagos electrónicos deberán habilitar infraestructura, informar a los usuarios sobre los medios disponibles y contemplar medidas ante contingencias que impidan recibirlos. También permite el uso de efectivo o cheque cuando una contingencia imposibilite aceptar pagos digitales en los sectores sujetos a estas disposiciones.

Así, la expansión de los pagos electrónicos en México dependerá no solo de las reglas que emitan las autoridades, sino también de la capacidad de consumidores y negocios para utilizar las nuevas herramientas de forma segura.

Pix muestra cómo pueden cambiar los hábitos de pago

La experiencia de Brasil ofrece un antecedente sobre la adopción de pagos instantáneos. Pix, el sistema desarrollado por el Banco Central de ese país, permite realizar transferencias y pagos entre cuentas mediante las entidades participantes.

Durante una entrevista con Expansión, Roberto Reboucas, Gerente General de Kaspersky, dice a Expansión que Pix contribuyó a ampliar el acceso a los pagos electrónicos y modificó la manera en que consumidores y comercios realizan transacciones.

“Acabó democratizando bastante”, dice al referirse a la expansión del sistema. Sin embargo, Pix también obligó a Brasil a enfrentar problemas de seguridad, pues de acuerdo con información del Banco Central de ese país presentada ante el Tribunal de Cuentas de la Unión, durante los periodos de 2024 y 2025 analizados se registraron 17.9 millones de solicitudes mediante el Mecanismo Especial de Devolución (MED), una herramienta creada para atender operaciones presuntamente fraudulentas. De ellas, alrededor de 2.26 millones concluyeron con una devolución efectiva, equivalente al 13%.

Para enfrentar el problema, el Banco Central implementó mecanismos que permiten bloquear recursos en cuentas sospechosas, compartir información sobre posibles defraudadores entre instituciones financieras y solicitar la recuperación del dinero. Hasta junio de 2025, estas medidas habían permitido devolver aproximadamente 1,400 millones de reales a los usuarios afectados.

No obstante, la respuesta también tuvo que evolucionar. Las autoridades brasileñas identificaron que los delincuentes movían rápidamente el dinero entre distintas cuentas, lo que dificultaba recuperarlo haciendo que el gobierno aprobara modificaciones para ampliar el rastreo de las transferencias fraudulentas y permitir que las instituciones financieras busquen los recursos más allá de la primera cuenta receptora.

El caso muestra que la adopción de un sistema de pagos digitales no depende únicamente de su facilidad de uso, sino también de la capacidad de las autoridades para detectar fraudes, responder a nuevas estrategias delictivas y proteger la confianza de los usuarios.

México ya cuenta con SPEI y CoDi, entre otros mecanismos de pago electrónico, por lo que la nueva ley busca promover su utilización y facilitar otras formas de pago, aunque su implementación no solo dependerá de las disposiciones que emitan las autoridades sino también de la capacidad de consumidores y negocios para utilizar las nuevas herramientas de forma segura.