La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef) emitió en septiembre de 2026 una advertencia urgente dirigida a todos los usuarios de banca en México: una nueva ola de fraudes digitales, operada a través de mensajes de texto, correo electrónico, WhatsApp y redes sociales, está utilizando aplicaciones falsas para tomar el control de los teléfonos celulares y acceder a información personal y financiera de las víctimas. El organismo pidió a la población extremar precauciones ante este tipo de comunicaciones, que en muchos casos simulan provenir de instituciones bancarias legítimas.
Esta modalidad de fraude ha cobrado especial relevancia porque no depende únicamente de que la víctima entregue voluntariamente sus datos, como ocurría con el phishing tradicional. En este caso, el propio dispositivo móvil se convierte en la puerta de entrada, ya que la instalación de una aplicación maliciosa puede otorgar a los delincuentes un control amplio sobre el teléfono, lo que facilita el acceso a aplicaciones bancarias, contraseñas guardadas y códigos de verificación.
A continuación se explica, con base en la información oficial disponible, cómo opera este fraude, qué señales permiten identificarlo a tiempo y qué medidas recomienda la propia Condusef para proteger el patrimonio familiar.
¿Qué advirtió exactamente la Condusef?
De acuerdo con el comunicado difundido por la Condusef a inicios de septiembre de 2026, la comisión pidió a la población no descargar aplicaciones desde enlaces recibidos por SMS, correo electrónico, WhatsApp, redes sociales u otros servicios de mensajería. El organismo explicó que estos enlaces pueden dirigir a sitios inseguros que ofrecen aplicaciones falsas, las cuales, una vez instaladas en el dispositivo, permiten a los delincuentes obtener información personal y financiera para cometer fraudes.
Mónica Montero Cuéllar, titular de las Unidades de Atención a Usuarios de la Condusef, señaló que uno de los principales riesgos de este esquema es que los mensajes suelen aparentar provenir de una institución financiera conocida, lo que reduce la desconfianza inicial de quien los recibe. La funcionaria fue enfática en un punto central de la alerta: no se deben abrir estos enlaces aunque parezcan legítimos, y siempre conviene verificar la información directamente con la institución financiera antes de tomar cualquier acción.
Es importante distinguir entre lo confirmado por la autoridad y lo que corresponde a interpretación periodística. Lo que la Condusef ha confirmado oficialmente es el mecanismo del fraude: mensajes con enlaces, descarga de aplicaciones falsas y obtención no autorizada de información personal y financiera. El organismo no ha publicado cifras oficiales específicas sobre montos totales sustraídos durante este mes en particular, por lo que cualquier dato de ese tipo debe tomarse con reserva hasta que la propia comisión lo confirme de manera puntual.
Cómo opera este fraude paso a paso
Entender la mecánica completa del engaño es la mejor forma de anticiparse a él. Con base en la información difundida por la Condusef, el fraude suele desarrollarse en las siguientes etapas.
El mensaje que despierta la alarma
Todo comienza con un mensaje que busca generar una reacción emocional inmediata: miedo, urgencia o curiosidad. Los ganchos más frecuentes incluyen avisos de una supuesta actualización de seguridad, notificaciones de bloqueo de cuenta, alertas de movimientos no reconocidos o, en algunos casos, promociones y oportunidades exclusivas. El objetivo es que la persona actúe antes de detenerse a verificar la autenticidad del mensaje.
El enlace fraudulento
El mensaje incluye un enlace que, al ser presionado, no lleva al sitio oficial de la institución financiera, sino a una página diseñada para imitar su apariencia. Estos sitios suelen estar alojados fuera de las tiendas oficiales de aplicaciones, lo que representa en sí mismo una señal de alerta, ya que las instituciones financieras legítimas distribuyen sus aplicaciones exclusivamente a través de Google Play o App Store.
La aplicación maliciosa
Desde ese sitio falso se ofrece la descarga de una aplicación que aparenta ser la app oficial del banco o de otro servicio financiero. Al instalarla, el usuario puede estar otorgando, sin saberlo, permisos que van mucho más allá de lo necesario para una aplicación bancaria legítima, incluyendo en algunos casos accesos que permiten a terceros operar el dispositivo de forma remota.
El robo de información y dinero
Una vez que la aplicación maliciosa está instalada, los delincuentes pueden capturar contraseñas, números de tarjeta, códigos de verificación enviados por SMS y otra información sensible. Con estos datos es posible intentar transacciones no autorizadas, transferencias o retiros desde las cuentas de la víctima, lo que explica por qué este tipo de fraude puede traducirse en pérdidas significativas de los ahorros si no se detecta a tiempo.
Por qué este fraude resulta tan efectivo
Varios factores explican por qué esta modalidad ha logrado engañar a un número creciente de usuarios en México durante los últimos meses.
En primer lugar, la suplantación visual es cada vez más sofisticada: los delincuentes reproducen con precisión logotipos, colores y formatos de comunicación de instituciones financieras reconocidas, lo que dificulta distinguir a simple vista un mensaje legítimo de uno fraudulento. En segundo lugar, el volumen de mensajes enviados es masivo, ya que los estafadores utilizan sistemas automatizados capaces de distribuir millones de comunicaciones en poco tiempo, aumentando la probabilidad estadística de encontrar víctimas. Finalmente, la presión psicológica que generan estos mensajes —el temor a perder acceso a la cuenta o a sufrir un cargo no reconocido— provoca que muchas personas actúen de forma impulsiva, sin pasar por el filtro de verificación que normalmente aplicarían.
Señales de alerta para identificar un mensaje fraudulento
La siguiente tabla resume las características más comunes que distinguen a un mensaje fraudulento de una comunicación legítima de una institución financiera.
| Señal de alerta | Por qué debe generar sospecha |
|---|---|
| El mensaje pide descargar una app desde un enlace | Las instituciones financieras no distribuyen sus aplicaciones por SMS, correo o WhatsApp |
| Genera urgencia extrema | Busca que actúes sin verificar, antes de pensar con calma |
| Solicita contraseñas, NIP o códigos de verificación | Ninguna institución financiera pide estos datos por mensaje |
| Remitente desconocido o número no oficial | Los canales oficiales suelen identificarse claramente |
| Ofrece beneficios, devoluciones o premios inesperados | Es un gancho clásico para captar la atención de la víctima |
| El enlace no corresponde al dominio oficial del banco | Suele tener errores tipográficos o extensiones inusuales |
| La app se descarga fuera de Google Play o App Store | Las tiendas oficiales aplican filtros de seguridad que estos enlaces evitan |
Recomendaciones oficiales de la Condusef para protegerte
De acuerdo con el comunicado del organismo, existen medidas concretas que cualquier usuario puede aplicar de inmediato para reducir el riesgo de caer en este tipo de fraude.
Descarga aplicaciones únicamente desde tiendas oficiales. Google Play y App Store cuentan con procesos de revisión que dificultan, aunque no eliminan por completo, la distribución de aplicaciones maliciosas. Nunca se debe instalar una app financiera desde un enlace recibido por mensaje.
Verifica que la aplicación sea la oficial de tu institución. Antes de instalar cualquier app bancaria, conviene confirmar el nombre exacto del desarrollador, el número de descargas y las reseñas de otros usuarios dentro de la propia tienda de aplicaciones.
No sigas enlaces sospechosos. Si recibes un mensaje que dice tener relación con tu cuenta, lo más seguro es no abrir el enlace y, en su lugar, ingresar directamente a la aplicación bancaria que ya tienes instalada o escribir la dirección oficial del sitio web por cuenta propia.
Comunícate por canales oficiales. Ante cualquier duda sobre un mensaje recibido, la recomendación es contactar al banco o institución financiera a través de los números telefónicos o canales de atención publicados en su sitio web oficial, nunca a través de los datos de contacto incluidos en el mensaje sospechoso.
Nunca compartas información sensible por mensaje. Contraseñas, NIP, códigos de verificación de un solo uso y números completos de tarjeta jamás deben proporcionarse a través de SMS, correo electrónico o aplicaciones de mensajería, sin importar cuán legítimo parezca el remitente.
Actúa de inmediato si ya instalaste una aplicación dudosa. Contactar al banco a la brevedad permite bloquear cuentas o tarjetas antes de que se concreten operaciones no autorizadas.
Qué hacer si ya diste clic o instalaste la aplicación
Si una persona sospecha que ya fue víctima de este esquema, la Condusef recomienda actuar con rapidez siguiendo estos pasos generales:
En primer lugar, contactar de inmediato al banco o institución financiera correspondiente a través de sus canales oficiales de atención, para reportar la situación y solicitar el bloqueo preventivo de cuentas, tarjetas o accesos digitales. En segundo lugar, desinstalar la aplicación sospechosa del dispositivo tan pronto como sea posible y, de ser necesario, realizar un restablecimiento de fábrica del teléfono para eliminar cualquier acceso remoto que se haya podido otorgar. En tercer lugar, cambiar las contraseñas de las aplicaciones financieras y de correo electrónico desde otro dispositivo que no haya estado comprometido. Finalmente, presentar la denuncia correspondiente ante la propia Condusef y, en caso de que ya se hayan realizado cargos no reconocidos, iniciar el proceso de aclaración formal ante la institución financiera afectada.
El contexto: un repunte de fraudes financieros en México
La alerta sobre aplicaciones falsas no es un hecho aislado, sino parte de una tendencia que la propia Condusef ha documentado durante 2026. Óscar Rosado Jiménez, presidente del organismo, ha señalado en distintas presentaciones públicas un incremento sostenido en las reclamaciones presentadas ante la comisión en contra de bancos, sociedades financieras de objeto múltiple (Sofomes) y sociedades financieras populares (Sofipos), muchas de ellas relacionadas con intentos de fraude mediante llamadas telefónicas y mensajes SMS.
De acuerdo con declaraciones del propio Rosado Jiménez, entre enero y abril de 2026 las reclamaciones totales recibidas por la Condusef en contra de bancos, Sofipos y Sofomes sumaron más de 55 mil, lo que representó un incremento superior al 20 por ciento respecto al mismo periodo del año anterior. El funcionario explicó que este repunte responde, en parte, a un cambio en el modus operandi de los delincuentes: ante la creciente costumbre de los usuarios de no contestar llamadas de números desconocidos, los estafadores han migrado hacia el envío masivo de mensajes de texto y comunicaciones a través de servicios de mensajería instantánea.
Esta cifra corresponde específicamente al periodo enero-abril de 2026 y no debe confundirse con datos exclusivos del mes en curso, ya que la Condusef no ha publicado, hasta el momento de esta redacción, una cifra oficial desglosada de reclamaciones asociadas específicamente al fraude de aplicaciones falsas reportado en septiembre.
Otras modalidades de fraude señaladas recientemente por la Condusef
Además de la alerta sobre aplicaciones falsas, la Condusef ha difundido en meses recientes advertencias sobre otras formas de suplantación que conviene tener presentes, ya que suelen combinarse entre sí para aumentar su efectividad.
Una de ellas es la suplantación de identidad de instituciones financieras legítimas, mediante el uso indebido de nombres comerciales, denominaciones sociales y logotipos, con modificaciones mínimas en letras, colores o formas para aparentar autenticidad. Esta práctica se presenta tanto en medios físicos, como folletos, como en medios digitales, incluyendo páginas de internet, redes sociales y aplicaciones móviles.
Otra modalidad documentada por el organismo es la suplantación de sus propios empleados. La Condusef ha alertado sobre casos de personas que se identifican falsamente como representantes de la comisión y contactan a las víctimas por teléfono o WhatsApp para informarles que se ha recuperado dinero de una financiera en situación irregular y que dicho monto les será devuelto. Al respecto, la propia comisión ha sido enfática al aclarar que no realiza recuperación de dinero ni bonificaciones, y que no cuenta con gestores, representantes o empleados que realicen trámites de devolución de recursos por esta vía.
En ambos casos, la recomendación oficial coincide con la emitida para el fraude de aplicaciones falsas: no compartir información personal ni bancaria con quien contacte por estos medios, y verificar cualquier comunicación directamente a través de los canales oficiales de la institución o de la propia Condusef.
La importancia de consultar el registro oficial antes de contratar
Como medida preventiva adicional, la Condusef recuerda de forma constante a los usuarios la conveniencia de consultar su Sistema de Registro de Prestadores de Servicios Financieros, conocido como SIPRES, antes de contratar cualquier producto o servicio financiero. Esta herramienta permite verificar si una institución se encuentra debidamente registrada y autorizada para operar en el país, lo que representa una barrera adicional frente a esquemas de suplantación que ofrecen productos o beneficios financieros falsos.
Asimismo, el organismo insiste en un principio general que aplica a distintos tipos de fraude financiero: ninguna institución legítima solicita el pago anticipado de comisiones para otorgar un crédito, ya que este tipo de cobros, cuando corresponden, ya están considerados dentro de los pagos regulares del producto contratado y no se cobran por adelantado.
Conclusión: la prevención como primera línea de defensa
El fraude por mensajería que ha alertado la Condusef durante septiembre de 2026 confirma una tendencia que las propias autoridades financieras han venido documentando a lo largo del año: los delincuentes ajustan constantemente sus estrategias para explotar los hábitos digitales de la población, y las aplicaciones falsas distribuidas por SMS, correo electrónico y WhatsApp representan hoy uno de los vectores de ataque más peligrosos, precisamente porque pueden otorgar a terceros un control amplio sobre el dispositivo móvil de la víctima.
Ante este panorama, la recomendación central de la Condusef es clara y aplicable de inmediato: desconfiar de cualquier enlace recibido por mensaje que invite a descargar una aplicación financiera, descargar únicamente desde tiendas oficiales, verificar siempre de forma directa con la institución correspondiente y nunca compartir contraseñas, NIP o códigos de verificación por estos medios. Mantenerse informado sobre las alertas oficiales publicadas por el organismo, y actuar con rapidez ante cualquier sospecha de compromiso, sigue siendo la herramienta más eficaz para proteger los ahorros frente a un tipo de fraude que evoluciona con la misma velocidad que la tecnología que dice imitar.