- Vishing en América Latina: cuando la voz se convierte en vector de ataque financiero
- Cifras alarmantes en México, Chile y Colombia
- Gracias a la IA, esta forma de fraude llega a ser un esquema escalable
El fraude telefónico evoluciona hacia esquemas de ingeniería social asistidos por inteligencia artificial. Bancos y fintechs enfrentan una amenaza que ya no distingue entre usuarios finales y equipos corporativos.
La llamada llega desde un número que parece legítimo. La voz al otro lado conoce el nombre completo del interlocutor, el banco donde opera y los últimos cuatro dígitos de su tarjeta. En menos de tres minutos, el atacante habrá obtenido el código de verificación necesario para completar una transferencia no autorizada. Este es el guion del vishing —contracción de voice phishing— y se replica a escala industrial en toda la región.
Lo que hasta hace poco se entendía como un riesgo acotado al usuario de banca retail tiene hoy implicaciones directas para los equipos de cumplimiento, prevención de fraude y atención al cliente de cualquier institución financiera en América Latina. El canal de voz no es residual: es, según los datos más recientes, el vector donde más dinero se pierde.
El canal donde más se pierde dinero
El reporte H1 2026: Principales Tendencias de Fraude de TransUnion, que cruza encuestas a consumidores con datos de su red global antifraude, ofrece uno de los diagnósticos más precisos disponibles para la región. Entre los colombianos que declararon haber perdido dinero a causa de fraudes digitales durante el último año, una cuarta parte —el 25%— señaló que el vishing fue la causa de sus pérdidas, posicionándolo como el canal donde mayor daño económico se concentra.
El mismo reporte subraya un patrón que ya no es exclusivo de mercados menos bancarizados: los consumidores colombianos se enfrentan a ataques coordinados, basados en la identidad y desplegados a través de múltiples canales, similares a los observados en economías digitales maduras, con el fraude infiltrándose en las interacciones digitales cotidianas.
La escala del problema en Colombia tiene además una dimensión de infraestructura: en 2024 se identificaron más de 1.100 millones de llamadas spam en ese país, muchas de ellas asociadas a intentos de fraude donde los atacantes se hacían pasar por bancos y entidades financieras.
México y el volumen sin precedentes
México concentra la mayor densidad de casos registrados en la región. Entre finales de 2024 y el inicio de 2026, el fraude bancario digital creció 324%, y solo entre 2025 y lo que va de 2026 se contabilizaron más de 7,2 millones de denuncias por fraudes bancarios, cifra que representa el 72% de todas las quejas presentadas.
Durante 2025 se registraron más de 108.000 denuncias de fraude digital en el país, en un contexto donde la rápida digitalización financiera, capacidades insuficientes de detección y un marco regulatorio aún en evolución convirtieron a México en uno de los principales objetivos del crimen financiero organizado en América Latina.
Entre las modalidades más comunes en México destacan las llamadas telefónicas fraudulentas, en las que los delincuentes se hacen pasar por empleados bancarios o del SAT. Un dato que dimensiona la sofisticación del fenómeno: en 2024 se registraron más de 6 millones de fraudes cibernéticos en México, con pérdidas económicas que superaron los 20 mil millones de pesos.
Chile y el vector de la autenticación móvil
En Chile, la alerta fue formalizada por la Asociación de Bancos e Instituciones Financieras (ABIF) y el SERNAC ante el incremento sostenido de ataques. Los delincuentes llaman directamente a los usuarios simulando ser ejecutivos de cuentas, personal de soporte técnico o incluso funcionarios policiales para robar contraseñas y claves de transferencias.
Un vector técnico específico ganó protagonismo en 2026: la estafa del código *21, en la que los atacantes solicitan a la víctima marcar ese código desde su teléfono, lo que permite desviar llamadas e interceptar códigos de verificación y autorizaciones bancarias. El mecanismo es relevante para cualquier institución que opere autenticación por SMS o llamada de retorno: el atacante no necesita vulnerar la plataforma, sino redirigir el canal de comunicación.
El fenómeno ha aumentado en Chile debido a la expansión de la digitalización financiera y al uso del teléfono móvil como eje central de autenticación bancaria. Chile se destaca contradictoriamente por ser uno de los países más adelantados en materia de ciberseguridad y, al mismo tiempo, por ser el tercer país de la región con mayores reportes de ataques de phishing.
El factor IA: automatización e imitación de voz
Reportes de ciberseguridad de 2026 advierten sobre el uso incipiente de inteligencia artificial para imitar tonos de voz institucionales y automatizar llamados masivos. Este es el salto cualitativo que transforma el vishing de un fraude de alto esfuerzo —donde cada llamada requería un operador humano— a un esquema escalable.
La capacidad de clonar voces o replicar el tono de un centro de atención al cliente con herramientas de síntesis generativa tiene implicaciones directas para los equipos de prevención de fraude: el análisis tradicional basado en patrones de comportamiento humano resulta insuficiente cuando el atacante puede sostener una conversación estructurada, adaptativa y sin acentos atípicos. La IA amplifica esa credibilidad al eliminar las fricciones que históricamente permitían a un receptor alerta identificar una llamada fraudulenta.
El déficit de detección en la banca
Más allá del impacto en el usuario final, los datos apuntan a una brecha crítica en las propias instituciones. Un análisis global sobre 150 bancos realizado en 2025 muestra que el 35% de las instituciones mantienen niveles de detección preventiva inferiores al 60%, y solo el 31% alcanzan tasas de detección superiores al 80%.
El 70% de los bancos incrementaron sus presupuestos antifraude en los últimos tres años, pero la misma proporción reportó un aumento en las pérdidas. El problema no es de inversión, sino de arquitectura de detección: las herramientas orientadas a fraude en canal digital no están calibradas para interceptar la ingeniería social que ocurre fuera de la plataforma.
Ante este escenario, el mercado latinoamericano de soluciones antifraude alcanzará un valor estimado de USD 2.100 millones en 2026 y mantendrá una tasa de crecimiento anual compuesta cercana al 20% hasta 2034.
Tres guiones, un objetivo
| Guion | Modalidad | Pretexto utilizado | Qué solicita el atacante |
|---|---|---|---|
| 1. Alerta de fraude falsa | El operador simula ser del área de seguridad del banco | Supuesta compra de alto monto o inicio de sesión sospechoso | Código de verificación por SMS o autorización en la app para «cancelar» el cobro |
| 2. Emergencia familiar | El atacante se hace pasar por Carabineros, policía o un hospital | Accidente grave, detención o problema legal de un familiar cercano | Transferencia inmediata de dinero para «evitar el calabozo» o cubrir gastos urgentes |
| 3. Falso ejecutivo de beneficios | Se presenta como ejecutivo del banco o de una empresa de telecomunicaciones | Rebaja en el plan de telefonía o beneficio bancario disponible por tiempo limitado | Confirmación de datos bancarios confidenciales como condición para «activar» el beneficio |
| Denominador común: urgencia inducida. El atacante comprime el tiempo de decisión para evitar que la víctima contraste la información o llame por canales propios al banco. |
|||
El vishing, para las instituciones financieras, implica revisar al menos tres dimensiones operativas:
Autenticación fuera de banda. Cualquier flujo que combine llamada entrante con código enviado por SMS o notificación push crea una superficie de ataque explotable. El modelo de desvío de llamadas (call spoofing y call forwarding) permite al atacante interceptar el segundo factor sin acceder a la plataforma.
Capacitación de equipos internos. Los ataques de vishing también se dirigen a empleados de instituciones financieras para obtener acceso a sistemas internos, revertir bloqueos o extraer información de cuentas. La ingeniería social sobre call centers propios es un vector subestimado.
Marcos regulatorios y responsabilidad. Bajo la normativa de la Ley de Fraudes en Chile, las instituciones están obligadas a mantener canales de bloqueo disponibles las 24 horas y tienen plazos legales para responder y restituir montos afectados. En mercados como México y Colombia, el debate sobre quién asume la pérdida cuando el fraude ocurre en un canal no digital está aún en construcción regulatoria.
Proyección de amenaza. Con la Copa del Mundo 2026 como catalizador, se proyectan picos de hasta 55 millones de ataques mensuales en México, con fraudes que aprovecharán el entusiasmo colectivo para crear nuevos pretextos de llamada. Los eventos masivos siempre generan ventanas de ingeniería social de alto volúmen.
