CDMX.- La Condusef y la Asociación de Bancos de México salieron el 10 de septiembre a advertir lo que en la calle ya se padece: hay malware que se instala en el celular, captura claves, intercepta códigos y, en algunos casos, toma el control del aparato para mover dinero como si fueras tú. Lo dijeron claro: el golpe casi nunca empieza dentro de la app del banco, sino con un SMS, un correo, una llamada o un enlace que pide “actualizar”, “desbloquear” o instalar un programa de acceso remoto.

El problema no es que falte un folleto. Es que la alerta llega cuando el modelo ya está industrializado y las cifras no bajan. Entre enero y mayo de 2026, las reclamaciones por posible fraude en banca múltiple subieron 18%; entre enero y julio, Condusef registró 42 mil 791 quejas por cargos, consumos y transferencias no reconocidos. Firmas de ciberseguridad han documentado campañas concretas contra banca mexicana —kits de phishing como servicio, troyanos con control remoto y superposición de pantallas— que hacen exactamente lo que ahora “alertan”: operar desde el dispositivo del cliente, con credenciales y códigos reales. Cuando el ladrón usa tu teléfono, tu IP y tu autenticación, el banco tarda en ver un fraude y el usuario se queda explicando que “sí autorizó”, aunque lo que autorizó fue un engaño.

Repetir “no descargues apps, instala antivirus y llama por canales oficiales” no es estrategia: es descargar la culpa. El comunicado admite que el atacante opera con mecanismos de autenticación ya comprometidos y que eso “dificulta” detectar el origen de la operación. Mientras Condusef y la banca no asuman que el diseño de sus validaciones —SMS, llamadas de “seguridad”, permisos remotos— es parte del delito, y no un accidente del usuario despistado, el aviso sirve para el titular del día. El dinero, entretanto, sigue saliendo del celular de quien sí contestó.

Condusef y bancos alertan por malware que…