Los estafadores no atacan solo cuentas bancarias y datos personales: bajo el golpe están presupuestos publicitarios, redes de afiliados y embudos de marketing. El fraude ha penetrado en cada canal digital.

Mientras los equipos de seguridad corporativa tapan agujeros en la infraestructura, los atacantes hace tiempo que pasaron a un eslabón más débil: la identidad digital y la psicología humana. Según Juniper Research, para 2026 las pérdidas globales por fraude online superarán los 362 000 millones de dólares. Y ya no se trata de cuán bien protegidos están los servidores: los ataques se parecen cada vez más a acciones del todo legítimas de los propios usuarios.

Abajo, cinco esquemas dominantes que exigen revisar ya la estrategia corporativa de protección.

1. Fraude APP: cuando la víctima pulsa «Enviar» ella misma

Authorized Push Payment (APP) fraud — uno de los tipos de fraude más insidiosos precisamente porque, en lo técnico, todo ocurre bien. La víctima autoriza ella misma la transferencia: introduce el PIN, pasa la biometría, confirma la operación en la app. El banco ve una transacción legítima desde un dispositivo de confianza y no la bloquea.

El esquema funciona por presión y engaño: una llamada del «servicio de seguridad del banco», un mensaje de actividad sospechosa, urgencia, y la persona transfiere el dinero ella misma mientras el estafador la mantiene en la línea.

¿Por qué es tan difícil detenerlo? Impugnar ese pago por chargeback es casi imposible: la autorización fue voluntaria. En el Reino Unido, donde el fraude APP está especialmente extendido, las pérdidas superaron 460 millones de libras solo en el primer semestre de 2024, y la tendencia sigue al alza.

Qué funciona de verdad en 2026: el paso del control de transacciones a la biometría conductual. Los sistemas de nueva generación analizan micropatrones: velocidad atípica de swipes, hora inusual del día, una llamada entrante activa durante la transferencia, temblor de manos al introducir el importe. Si el comportamiento se desvía de la norma del usuario, la transacción se pausa para una verificación extra.

2. Identidades sintéticas: el cliente que no existe

Imagine al prestatario ideal: historial crediticio limpio, dirección estable, un número real de seguridad social. El banco comprueba los datos: todo cuadra. Un problema: esa persona no existe.

Synthetic ID fraud — es la creación de «identidades Frankenstein». Los estafadores toman un identificador real (número de pasaporte, СНИЛС, SSN) — a menudo de un niño, un pensionista o una persona fallecida — y lo combinan con un nombre, dirección y biografía ficticios. Sale un personaje sintético que empieza a vivir su «vida digital».

El esquema bust-out funciona en varias etapas:

• Los primeros meses la cuenta se comporta de forma ejemplar: compras pequeñas, pagos a tiempo, subida del rating crediticio.
• A los 6–18 meses el «cliente» pide el crédito máximo o contrata una financiación grande (BNPL).
• Recibido el dinero, desaparece. La cuenta queda abandonada y la deuda se da de baja como incobrable.

La amenaza para el fintech y el retail es especialmente alta: los modelos de scoring tradicionales confirman en parte esas solicitudes porque parte de los datos es real y está en las bases de los burós de crédito. Según estimaciones de Forbes Advisor, el fraude de ID sintético cuesta a la industria financiera de EE. UU. más de 20 000 millones de dólares al año.

Ayuda a plantarle cara la verificación a través de varias fuentes independientes y el análisis de la «huella digital» — comportamiento en la red, dispositivos, geolocalización — en conjunto, no por separado.

3. Toma de cuentas (ATO): su cuenta ya no es suya

Account Takeover — no es una amenaza nueva, pero en 2026 se volvió un fenómeno masivo a escala industrial. Los hackers ya no irrumpen en las cuentas a mano: compran herramientas listas y bases de fugas en marketplaces clandestinos.

Dos herramientas principales:

• Credential Stuffing — sustitución masiva de pares login/contraseña de fugas de otros servicios. La gente reutiliza las mismas contraseñas: si la suya se filtró de un foro vulnerado, un script la probará automáticamente en 500 otros sitios en unas horas.
• Phishing-as-a-Service — alquiler de kits de phishing listos. Por 50–200 dólares al mes el estafador obtiene una copia exacta de la interfaz de un banco o marketplace, un panel de gestión de víctimas y un envío automático. No se requieren conocimientos técnicos.

Las consecuencias para el negocio van más allá de las pérdidas financieras directas: las cuentas comprometidas se usan para sacar puntos de bonus, robar tarjetas vinculadas, devoluciones fraudulentas y blanqueo. El daño reputacional y la fuga de clientes a menudo cuestan más que el propio hurto.

4. IA en manos de estafadores: la democratización del ciberdelito

La IA generativa hizo el fraude profesional accesible a aficionados, y esa es, quizá, la tendencia principal de 2026.

• Phishing sin errores. Antes los correos fraudulentos se delataban por erratas y formulaciones torpes. Hoy los modelos LLM generan textos impecables en cualquier idioma, con el tono correcto, personalización para un destinatario concreto y el estilo corporativo de la empresa objetivo.
• Deepfakes en tiempo real. Muchos servicios de verificación usan pruebas de liveness: «gire la cabeza», «parpadee», «diga una palabra». En 2025–2026 las redes neuronales aprendieron a eludir esas pruebas, superponiendo una imagen de vídeo sintética sobre el flujo real de la cámara. El procedimiento KYC pasa — pero detrás de la pantalla no hay nadie.
• Automatización de ataques. Bots basados en agentes de IA prueban los sistemas de protección, eligen métodos de elusión y escalan ataques sin participación humana.

Qué significa esto para el negocio

Proteger la infraestructura corporativa en 2026 no son medidas puntuales, sino una estrategia multicapa donde cada nivel complementa al otro:

• Analítica conductual en lugar de reglas estáticas — sistemas que conocen el patrón «normal» de cada usuario.
• Modelos ML de detección en el onboarding — las anomalías se pillan más fácil en el registro que tras la primera transacción.
• Monitoreo cross-canal — el fraude a menudo empieza en un canal y se concreta en otro.
• Actualización de procedimientos KYC teniendo en cuenta las amenazas deepfake: interacción en vivo y verificación documental a través de fuentes independientes.

Los estafadores se adaptan rápido. La única forma de ir un paso por delante es construir sistemas de protección que aprendan con la amenaza, no que reaccionen a posteriori.

5. Fraude AdTech: pérdidas invisibles de presupuestos publicitarios

Mientras el negocio protege datos de pago y cuentas de clientes, los presupuestos publicitarios se escapan por otro agujero, y a menudo sin verse. Según Juniper Research, en 2026 las pérdidas de la industria por fraude publicitario superarán los 172 000 millones de dólares. El dinero se carga, los informes se ven bien, pero detrás de ese tráfico no hay clientes reales.

Fraude AdTech — es un ecosistema de esquemas para imitar actividad publicitaria legítima: clics, impresiones, instalaciones, conversiones. Desglosamos las clave.

Fraude de clics y bootclicking (Click Fraud)

El esquema más extendido. Bots o granjas de dispositivos reales hacen clic en anuncios, imitando el interés de la audiencia. El anunciante paga por cada clic, y paga por el vacío.

Las botnets modernas saben reproducir comportamiento humano: pausas aleatorias, scroll de página, movimiento del ratón. Una comprobación simple por IP o User-Agent ya no sirve. Se las detecta solo con análisis de patrones de conducta a nivel de sesión: tiempo en el sitio, profundidad de vista, mapas de calor de clics.

SDK spoofing e instalaciones falsas (Mobile Ad Fraud)

Una amenaza crítica para el marketing móvil. Los estafadores interceptan señales de instalaciones legítimas de apps reales y las usan para «atribuirse» conversiones que ocurrieron de forma orgánica o por otro canal.

El anunciante ve excelentes métricas de la campaña CPI, paga la comisión, pero el tráfico se compró a otra fuente o llegó solo. Son especialmente vulnerables el e-commerce y las apps de gaming con pagos altos por instalación.

Suplantación de dominio (Domain Spoofing)

El estafador vende impresiones publicitarias, haciendo pasar tráfico barato de sitios de baja calidad por inventario de medios premium. En los metadatos de la puja figura, por ejemplo, forbes.com, pero el anuncio se muestra de verdad en un sitio anónimo con audiencia inflada.

Esto golpea dos parámetros a la vez: la marca obtiene una colocación en un contexto no deseado y paga a tarifas de un medio top.

Fraude en redes de afiliados (Affiliate Fraud)

Socios deshonestos imitan acciones objetivo: solicitudes, registros, leads. Técnicamente el formulario está relleno, el píxel disparó, el CRM recibió un registro, pero detrás no hay una persona viva con intención de comprar. Especialmente actual para ofertas financieras y e-commerce con pago por lead.

Por qué el fraude AdTech es más difícil de pillar que el financiero

El fraude financiero deja rastro en las transacciones: se puede impugnar o rastrear. El fraude publicitario se disfraza de métricas normales: CTR en rango, Geography en la región correcta, los dispositivos parecen smartphones reales. Sin un análisis especializado del tráfico a nivel de sesiones sueltas, señales fingerprint y patrones entre campañas, las pérdidas siguen invisibles.

Por eso la detección del fraude publicitario exige un instrumental aparte, no un añadido sobre sistemas antifraude estándar.

«El ecosistema publicitario exige atención aparte: el fraude AdTech está sistemáticamente infravalorado en las evaluaciones de riesgo corporativas, aunque precisamente aquí las pérdidas suelen ser las más previsibles y eliminables, si hay las herramientas de detección correctas».