El “Phishing como Servicio” democratiza el fraude y obliga a la banca latinoamericana a redefinir su defensa
La irrupción de plataformas capaces de eludir la autenticación multifactorial, convierte la suplantación de identidad en un negocio masivo al alcance de cualquiera por solo $120 dólares.
Las opiniones expresadas por los colaboradores de Entrepreneur son personales.
Conclusiones Clave
- Con kits de phishing a $120 dólares, cualquiera puede montar un fraude bancario sin saber programar.
- Los bancos ya no pueden esperar a que el cliente inicie sesión para detectarlo. La defensa tiene que empezar afuera.
El panorama del fraude digital ha cambiado drásticamente desde la llegada de la inteligencia artificial (IA). Actualmente se comercializan sistemas y skills que antes requerían de conocimientos avanzados en programación e infraestructura compleja.
Esta es la realidad del Phishing-as-a-Service (PhaaS), un modelo de negocio criminal que está democratizando el ciberdelito y multiplicando exponencialmente las amenazas para las instituciones financieras de América Latina.
Plataformas especializadas, como Tycoon2FA, encabezan esta nueva ola de ataques. Surgida en agosto de 2023 e intervenida este año por las autoridades, esta herramienta ejemplifica la evolución del phishing: ha dejado de ser un simple método de robo de credenciales para dar paso a ataques de tipo “adversario en el medio” (AiTM). Estos son capaces de interceptar en tiempo real no solo contraseñas, también códigos de autenticación multifactor (MFA) y cookies de sesión.
Esto permite a los atacantes superar las barreras de seguridad tradicionales y tomar el control de las cuentas bancarias sin ser detectados.
La accesibilidad es la clave de su éxito. Estos kits de phishing se comercializan abiertamente en canales de mensajería encriptada como Telegram y Signal, con precios que rondan los $120 dólares por un periodo de servicio.
Un ciberdelincuente con escasos conocimientos técnicos puede, por este costo, lanzar una campaña de fraude a gran escala utilizando plantillas preconfiguradas que imitan a la perfección la imagen de marcas de confianza, páginas de inicio de sesión falsas, sistemas anti-bot y paneles de control para monitorizar a las víctimas en tiempo real.
Relacionado: Ciberataques en América Latina: el riesgo invisible que las startups aún subestiman
La frontera del fraude se desplaza
Esta nueva realidad plantea un desafío fundamental para bancos, cooperativas de crédito y fintechs de la región. Las estrategias de defensa tradicionales, enfocadas en detectar actividades sospechosas una vez que el usuario ha iniciado sesión, han demostrado que no son suficientes.
Los ataques de PhaaS ahora tienen su inicio en el exterior del entorno bancario, a través de correos electrónicos maliciosos, SMS, redes sociales y sitios web falsos.
“Cuando una campaña de phishing suplanta a una institución financiera, el daño va mucho más allá de la credencial robada”, explica Manuel Giraldo, Senior Manager de Prevención de Fraude para América Latina de AppGate. “Los clientes no siempre distinguen entre un sitio falso y la institución real. Desde su perspectiva, la marca de su banco fue utilizada para engañarlos. Cada página de phishing, aplicación móvil falsa, suplantación en redes sociales o dominio fraudulento erosiona la confianza en la institución”.
Para el cliente, la experiencia en un sitio falso puede ser indistinguible de la real. Ingresa sus credenciales, completa los pasos de autenticación y, sin saberlo, está entregando al atacante toda la información necesaria para acceder a su cuenta legítima. En ese momento, el delincuente ya puede tener sus credenciales, tokens de sesión y datos personales para ejecutar un ataque de toma de cuenta sin que el banco pueda prevenirlo en su propio sistema.
Relacionado: Fraude digital: el enemigo silencioso que va a rebasar a quienes no escriban su código antifraude antes de 2026
Una nueva línea de defensa
Ante esta amenaza, los expertos subrayan la necesidad de que las instituciones financieras de América Latina adelanten su línea de defensa. La protección debe comenzar antes del inicio de sesión, en la “superficie de confianza digital”. Esto implica monitorear y desactivar las amenazas en su origen, en lugar de esperar a que impacten en el cliente.
La solución pasa por una estrategia de defensa integral que combine la autenticación adaptativa con controles basados en riesgo a lo largo de todo el recorrido del cliente. Esto permite detectar y bloquear amenazas desde el momento en que aparecen fuera del banco, fortaleciendo la protección cuando el usuario intenta acceder a su cuenta o realizar una transacción.
“El PhaaS ha cambiado la economía del fraude digital. Los atacantes ya no necesitan ser expertos: compran un kit, lanzan la campaña y esperan resultados”, concluye Giraldo. En una región donde la banca digital avanza a pasos agigantados, las instituciones financieras deben adaptarse rápidamente y anticiparse a este tipo de prácticas que ganan terreno entre los ciberdelincuentes.
Conclusiones Clave
- Con kits de phishing a $120 dólares, cualquiera puede montar un fraude bancario sin saber programar.
- Los bancos ya no pueden esperar a que el cliente inicie sesión para detectarlo. La defensa tiene que empezar afuera.
El panorama del fraude digital ha cambiado drásticamente desde la llegada de la inteligencia artificial (IA). Actualmente se comercializan sistemas y skills que antes requerían de conocimientos avanzados en programación e infraestructura compleja.
Esta es la realidad del Phishing-as-a-Service (PhaaS), un modelo de negocio criminal que está democratizando el ciberdelito y multiplicando exponencialmente las amenazas para las instituciones financieras de América Latina.
Plataformas especializadas, como Tycoon2FA, encabezan esta nueva ola de ataques. Surgida en agosto de 2023 e intervenida este año por las autoridades, esta herramienta ejemplifica la evolución del phishing: ha dejado de ser un simple método de robo de credenciales para dar paso a ataques de tipo “adversario en el medio” (AiTM). Estos son capaces de interceptar en tiempo real no solo contraseñas, también códigos de autenticación multifactor (MFA) y cookies de sesión.
Esto permite a los atacantes superar las barreras de seguridad tradicionales y tomar el control de las cuentas bancarias sin ser detectados.
La accesibilidad es la clave de su éxito. Estos kits de phishing se comercializan abiertamente en canales de mensajería encriptada como Telegram y Signal, con precios que rondan los $120 dólares por un periodo de servicio.
Un ciberdelincuente con escasos conocimientos técnicos puede, por este costo, lanzar una campaña de fraude a gran escala utilizando plantillas preconfiguradas que imitan a la perfección la imagen de marcas de confianza, páginas de inicio de sesión falsas, sistemas anti-bot y paneles de control para monitorizar a las víctimas en tiempo real.
Relacionado: Ciberataques en América Latina: el riesgo invisible que las startups aún subestiman
La frontera del fraude se desplaza
Esta nueva realidad plantea un desafío fundamental para bancos, cooperativas de crédito y fintechs de la región. Las estrategias de defensa tradicionales, enfocadas en detectar actividades sospechosas una vez que el usuario ha iniciado sesión, han demostrado que no son suficientes.
Los ataques de PhaaS ahora tienen su inicio en el exterior del entorno bancario, a través de correos electrónicos maliciosos, SMS, redes sociales y sitios web falsos.
“Cuando una campaña de phishing suplanta a una institución financiera, el daño va mucho más allá de la credencial robada”, explica Manuel Giraldo, Senior Manager de Prevención de Fraude para América Latina de AppGate. “Los clientes no siempre distinguen entre un sitio falso y la institución real. Desde su perspectiva, la marca de su banco fue utilizada para engañarlos. Cada página de phishing, aplicación móvil falsa, suplantación en redes sociales o dominio fraudulento erosiona la confianza en la institución”.
Para el cliente, la experiencia en un sitio falso puede ser indistinguible de la real. Ingresa sus credenciales, completa los pasos de autenticación y, sin saberlo, está entregando al atacante toda la información necesaria para acceder a su cuenta legítima. En ese momento, el delincuente ya puede tener sus credenciales, tokens de sesión y datos personales para ejecutar un ataque de toma de cuenta sin que el banco pueda prevenirlo en su propio sistema.
Relacionado: Fraude digital: el enemigo silencioso que va a rebasar a quienes no escriban su código antifraude antes de 2026
Una nueva línea de defensa
Ante esta amenaza, los expertos subrayan la necesidad de que las instituciones financieras de América Latina adelanten su línea de defensa. La protección debe comenzar antes del inicio de sesión, en la “superficie de confianza digital”. Esto implica monitorear y desactivar las amenazas en su origen, en lugar de esperar a que impacten en el cliente.
La solución pasa por una estrategia de defensa integral que combine la autenticación adaptativa con controles basados en riesgo a lo largo de todo el recorrido del cliente. Esto permite detectar y bloquear amenazas desde el momento en que aparecen fuera del banco, fortaleciendo la protección cuando el usuario intenta acceder a su cuenta o realizar una transacción.
“El PhaaS ha cambiado la economía del fraude digital. Los atacantes ya no necesitan ser expertos: compran un kit, lanzan la campaña y esperan resultados”, concluye Giraldo. En una región donde la banca digital avanza a pasos agigantados, las instituciones financieras deben adaptarse rápidamente y anticiparse a este tipo de prácticas que ganan terreno entre los ciberdelincuentes.
