Fábricas de fraude: el auge de las redes criminales en 2026

Tabla de contenidos

Crecen las fábricas de fraude en el sector financiero

Fraude digital a escala industrial
En 2026, el fraude digital en finanzas se parece cada vez menos a “casos sueltos” y más a operaciones repetibles: insumos (identidades, documentos, rostros), un proceso (onboarding a escala) y una salida (cuentas funcionales para mover dinero). La señal que más delata esa escala industrial no siempre es un malware sofisticado, sino patrones que se repiten: fondos idénticos en selfies, lotes de intentos concentrados en ventanas cortas y rotación rápida de “rostros” para seguir probando.
En reportes públicos recientes también se describe esta lógica de estandarización y volumen: por ejemplo, Adyen (2026) documenta el uso de scripts para “card testing” y abuso de promociones a escala, y Recorded Future (2025) señala que el phishing sigue siendo un vector de entrada frecuente en la región, ahora amplificado por automatización.

  • Las redes criminales operan ya “a escala industrial” para producir identidades adulteradas, abrir cuentas y mover dinero ilícito.
  • Se observan patrones repetidos en verificaciones (mismos fondos en imágenes), indicio de operaciones coordinadas.
  • Reclutan “rostros descartables” —personas vulnerables— para sortear controles de identidad.
  • El reto para bancos y fintechs: reforzar validación sin elevar fricción y sin perder conversión.

Metodología para el análisis de fábricas de fraude

Ruta práctica de análisis integral
Ruta práctica de análisis (de “caso” a “fábrica”)
1) Agrupa intentos por similitud (onboarding): busca repetición de fondos/escenarios, metadatos similares, y picos de intentos en periodos cortos.

  • Checkpoint: si el patrón aparece en múltiples identidades “distintas”, deja de ser anomalía individual.

2) Valida la hipótesis de estandarización: identifica si hay “paquetes” repetibles (mismo tipo de documento adulterado, mismas poses/ángulos, mismas fallas de liveness).

  • Fallo típico: revisar caso por caso sin consolidar señales compartidas.

3) Mapea insumos (cadena de abastecimiento): separa qué proviene de datos (correo/teléfono), qué proviene de documentos y qué proviene de rostros.

  • Checkpoint: si el insumo “rostro” rota rápido, el bloqueo por identidad aislada pierde efectividad.

4) Sigue el ciclo completo (post-alta): conecta el alta con el uso: primeras transacciones, contrapartes, dispersión, cash-out.

  • Checkpoint: una cuenta que “nace débil” y opera como puente de terceros eleva sospecha de cuenta mula.

5) Añade señales de baja fricción: rastro digital (antigüedad de correo/teléfono, consistencia de huella) para subir certeza sin castigar conversión.

El fenómeno de las “fábricas de fraude” se entiende mejor cuando se analiza como un sistema: una operación repetible, con insumos, procesos y salidas. En 2026, el punto de partida para investigarlas no es un caso aislado de suplantación, sino la identificación de patrones que se repiten en múltiples intentos de onboarding digital y en flujos transaccionales posteriores.

Una primera capa de análisis se centra en la evidencia operativa: intentos masivos de suplantación y documentos adulterados que aparecen de forma recurrente. En ese terreno, un indicador clave es la repetición de señales visuales durante la verificación: imágenes con los mismos fondos o escenarios, que sugieren ubicaciones físicas compartidas y procesos estandarizados. Cuando una entidad detecta que distintos “usuarios” presentan selfies o fotos documentales con elementos idénticos, la hipótesis deja de ser “fraude oportunista” y pasa a ser “producción organizada”.

La segunda capa es el enfoque de “cadena de abastecimiento”: rastrear de dónde provienen los insumos del fraude. Aquí entran las identidades (datos, documentos) y, cada vez más, los rostros. El análisis no se limita a si un dato fue robado; también considera si fue “obtenido” y reutilizado por una organización, lo que cambia la naturaleza del riesgo.

La tercera capa es el seguimiento del ciclo completo: desde el alta (KYC/onboarding) hasta el uso de la cuenta. En el momento en que una identidad fraudulenta supera controles, el análisis debe migrar a señales de comportamiento y a la posible conversión de esa cuenta en cuenta mula, con implicaciones de monitoreo transaccional, lavado de activos y cumplimiento.

En este contexto, una cuenta mula es una cuenta utilizada para recibir y transferir dinero obtenido de forma ilícita en beneficio de terceros.

Finalmente, una metodología práctica incorpora señales complementarias de baja fricción —como el análisis del rastro digital— para evaluar consistencia y antigüedad, especialmente cuando elevar controles biométricos podría afectar la conversión.

Estructuras de redes criminales en la producción de identidades adulteradas

Cadena de Abastecimiento del Fraude
Modelo mental: “cadena de abastecimiento” de una fábrica de fraude

  • Captación de insumos: datos (correo/teléfono), documentos (plantillas/edición) y rostros (reclutamiento/pago por imagen).
  • Producción: armado de identidad “presentable” (documento + selfie + narrativa mínima) y estandarización de captura (mismo set/fondo).
  • Ejecución: intentos masivos de onboarding, prueba A/B de fricción (dónde pasa y dónde no) y rotación de identidades.
  • Monetización: venta/uso de cuentas, conversión a cuentas mulas, dispersión y cash-out.
  • Resiliencia: reemplazo rápido de rostros/cuentas bloqueadas y ajuste de playbooks.

Pista útil: cuando ves especialización (unos “consiguen”, otros “abren”, otros “mueven”), normalmente estás frente a red, no a actor aislado.

En 2026, la industrialización del fraude no se explica solo por mejores herramientas, sino por mejores organizaciones. Las redes criminales han construido estructuras dedicadas a producir identidades adulteradas y a ejecutar intentos masivos de suplantación. La lógica se parece a la de una operación “en serie”: estandarización, repetición y capacidad de escalar.

Un rasgo central es la existencia de cadenas de abastecimiento. Para operar a escala, estas redes requieren insumos constantes: identidades, documentos y rostros. De acuerdo con lo observado por Sovos, los atacantes ya no dependen únicamente de datos robados; buscan “rostros descartables” para alimentar procesos de apertura de cuentas y suplantación. Ese cambio es crucial: la identidad se convierte en un recurso que puede ser obtenido, administrado y reemplazado.

La estructura también se apoya en la reutilización y el descarte. En lugar de apostar todo a una identidad, los atacantes “van descartando rostros y utilizando nuevas personas para seguir operando”. Esto sugiere una operación con inventario humano y rotación, diseñada para reducir el impacto de bloqueos y listas internas.

La evidencia de ubicaciones físicas compartidas —por ejemplo, fondos repetidos en imágenes de verificación— apunta a células operativas que trabajan desde puntos concretos, con procedimientos repetibles. No es solo “alguien” intentando abrir una cuenta: es un equipo que produce material, lo prueba, lo ajusta y lo vuelve a intentar.

El ecosistema criminal se beneficia de la disponibilidad de servicios “llave en mano” en el mercado clandestino, lo que reduce barreras para actores menos sofisticados. En ese contexto, la sofisticación no siempre está en cada individuo, sino en la red: una división de tareas donde unos consiguen insumos, otros ejecutan aperturas y otros monetizan mediante movimiento de fondos.

El resultado para bancos y fintechs es un adversario que aprende rápido, replica playbooks y opera con incentivos económicos claros.

Identificación de fábricas de fraude: testimonios y evidencias

Señales de operación coordinada
Señales operativas que suelen aparecer juntas cuando hay “fábrica” (no solo fraude oportunista)

  • Repetición visual: mismos fondos/escenarios en selfies o fotos documentales en múltiples altas.
  • Estandarización de captura: iluminación/ángulos muy similares, “set” constante, variación mínima entre intentos.
  • Volumen y cadencia: oleadas de registros en ventanas cortas (intentos masivos), con reintentos tras rechazos.
  • Rotación de identidades/rostros: cambian personas, pero se mantienen patrones de set, dispositivos o narrativa.
  • Conexión post-alta: cuentas nuevas que rápidamente reciben y dispersan fondos (posible cuenta mula).

En el caso descrito por Sovos, la pista inicial fue visual (fondos repetidos) y se conectó con documentos adulterados e intentos masivos.

La identificación de fábricas de fraude suele comenzar con una anomalía pequeña: un conjunto de registros que “se parecen demasiado”. En el caso descrito por Sovos, la señal fue concreta y visual: patrones repetidos en las imágenes usadas durante procesos de verificación, con los mismos fondos. Esa señal, en un entorno donde se espera diversidad (personas, hogares, oficinas, calles), se convierte en un marcador de operación coordinada.

«Hemos identificado verdaderas fábricas de fraude. Comparten ubicaciones físicas y muestran patrones repetidos en las imágenes utilizadas durante los procesos de verificación, donde aparecen los mismos fondos».
Tomás Castañeda, director senior de Desarrollo de Productos de Sovos.

El testimonio también aporta otra evidencia: la existencia de operaciones dedicadas a crear documentos adulterados y a ejecutar intentos masivos de suplantación de identidad. La palabra “industrializado” no es retórica; describe un salto de escala y de método. Cuando la falsificación deja de ser artesanal y pasa a ser repetible, el volumen de intentos puede presionar los motores de prevención y elevar el costo operativo de revisar casos.

«Hemos visto que se ha industrializado la forma de fabricar documentos de identidad falsos».
Tomás Castañeda, Sovos.

En la práctica, estas evidencias se conectan: documentos adulterados + imágenes repetidas + intentos masivos. Juntas, dibujan un patrón de “línea de producción” donde se generan identidades, se empaquetan para pasar controles y se despliegan en campañas de alta.

Otra pieza del rompecabezas es el reclutamiento de personas vulnerables. Si una red puede pagar por el uso de una imagen, obtiene un insumo difícil de bloquear con reglas simples. No se trata de un rostro “robado” de internet, sino de alguien que participa —a veces por necesidad— en el proceso. Eso complica la detección, porque la biometría puede confirmar que el rostro es real, pero no que la intención sea legítima.

Para el sector financiero, la identificación temprana depende de conectar señales: repetición de escenarios, consistencia de datos, comportamiento en onboarding y, después, el uso transaccional. La fábrica se revela cuando el patrón se repite.

Mecanismos de suplantación y apertura de cuentas fraudulentas

Etapa del ataque (onboarding) Qué busca lograr la red Señales típicas (ejemplos) Controles/contramedidas que suelen ayudar
Preparación de identidad Armar un “paquete” que pase requisitos formales Documento adulterado “limpio”, datos recién creados, inconsistencias leves Forense documental, validaciones de consistencia, reglas de calidad de imagen
Captura biométrica/selfie Probar que “hay una persona real” Fondos repetidos, set constante, patrones de captura Detección de repetición visual, liveness pasivo/activo, detección de deepfake cuando aplique
Envío masivo de intentos Encontrar el camino de menor resistencia Oleadas, reintentos, variación mínima entre intentos Rate limiting, device intelligence, listas internas por patrón (no solo por identidad)
Apertura y activación Obtener una cuenta funcional Activación rápida, cambios de datos, múltiples altas similares Controles escalonados por riesgo, verificación adicional solo en casos de mayor riesgo
Uso inicial (post-alta) Convertir la cuenta en infraestructura Recepción y dispersión temprana, contrapartes repetidas Monitoreo transaccional conectado al riesgo de alta, alertas por “primeros días”

Las fábricas de fraude atacan el punto más sensible del sistema financiero digital: el onboarding. Ahí se decide quién entra, con qué identidad y bajo qué nivel de confianza. En 2026, el mecanismo central es la suplantación de identidad a escala, apoyada por documentos adulterados y por la disponibilidad de rostros que pueden “pasar” controles.

El proceso suele iniciar con la construcción de una identidad capaz de superar validaciones básicas. Sovos reporta evidencias de operaciones dedicadas a crear documentos adulterados, lo que sugiere que el documento —o su imagen— se prepara para cumplir con requisitos formales. A esto se suma la captura de selfies o pruebas visuales que, en algunos casos, muestran patrones repetidos de fondo, señal de que se producen en un mismo lugar o bajo condiciones controladas.

Una vez que la identidad supera el filtro, el objetivo inmediato es abrir una cuenta funcional. Esa cuenta puede ser el producto final (para venderla o usarla) o un eslabón para mover dinero. El riesgo para bancos y fintechs no se limita al fraude directo: una cuenta abierta con identidad falsa puede convertirse en vehículo para actividades posteriores, elevando exposición operativa y de cumplimiento.

En este punto aparece una tensión estructural: reforzar controles reduce el riesgo, pero puede elevar fricción. Según lo descrito por Castañeda, algunas billeteras digitales evitan incorporar biometría más robusta por temor a afectar la conversión Incluso pedir una foto del DNI o una selfie puede percibirse como un freno a la apertura de cuentas.

Esa tensión es explotada por los atacantes: buscan los caminos de menor resistencia y prueban a escala. Si una plataforma endurece, migran a otra. Por eso, el mecanismo no es solo técnico; es también económico: el atacante optimiza su tasa de éxito frente a controles y fricción.

En respuesta, algunas organizaciones complementan la validación documental con señales adicionales —como el rastro digital de correos y teléfonos— para elevar certeza sin añadir pasos visibles al usuario legítimo.

Cuentas mulas: un recurso para el movimiento de dinero ilícito

Señales de Alerta en Cuentas Mulas
Señales de alerta frecuentes en cuentas mulas (para revisar en conjunto, no aisladas)

  • Actividad temprana intensa: la cuenta recién abierta recibe fondos y los dispersa en poco tiempo.
  • Patrón “puente”: muchas entradas y salidas, con poco saldo final (la cuenta “no se queda” con el dinero).
  • Contrapartes repetidas o en red: varias cuentas nuevas interactúan con los mismos destinos.
  • Inconsistencia con el perfil declarado: comportamiento transaccional que no encaja con ocupación/uso esperado.
  • Cambios rápidos post-alta: actualización de datos, dispositivos o accesos en los primeros días.
  • Señales débiles en el registro: correo/teléfono de baja antigüedad o huella digital poco consistente.

Punto práctico: si el alta fue “limpia” pero el uso es de dispersión, el riesgo se mueve del KYC al monitoreo transaccional.

Cuando una identidad fraudulenta logra pasar el onboarding, el problema cambia de forma: ya no es solo “apertura indebida”, sino el uso de la cuenta como infraestructura para mover recursos. En ese terreno, las cuentas mulas se vuelven un componente central de las fábricas de fraude: cuentas utilizadas para recibir y transferir dinero obtenido de forma ilícita en beneficio de terceros.

La presión para bancos y fintechs aparece en dos niveles. El primero es evidente: el fraude como pérdida directa o como daño operativo. El segundo es más amplio: las cuentas mulas abren riesgos potencialmente asociados al lavado de activos, al monitoreo transaccional y al cumplimiento regulatorio. Una cuenta que “parece” legítima al nacer puede convertirse en un canal de dispersión de fondos, fragmentando montos y dificultando el rastreo.

Según Tomás Castañeda, estas redes criminales comercializan cuentas entre personas que no pueden acceder fácilmente al sistema financiero formal. En particular, menciona la venta de cuentas a personas en situación irregular en un país. Esto revela un mercado: la cuenta bancaria o de billetera como producto, con valor para quien necesita operar fuera de los canales tradicionales.

El fenómeno también conecta con la lógica de cadena de abastecimiento: si la red puede producir identidades y abrir cuentas, puede abastecer un inventario de cuentas listas para usarse o venderse. Y si además recluta “rostros descartables”, puede reemplazar rápidamente cuentas bloqueadas.

Para las entidades, la detección no puede quedarse en el alta. Requiere observar el comportamiento posterior: patrones de recepción y transferencia, señales de uso por terceros y consistencia entre el perfil declarado y la actividad real. En ese contexto, Sovos señala que algunas organizaciones complementan la validación con análisis del rastro digital de correos o teléfonos usados en el registro, buscando señales de legitimidad o temporalidad.

La cuenta mula, en suma, es el puente entre la suplantación y la monetización.

Impunidad y crecimiento de las redes criminales en el fraude

Impunidad y costos operativos crecientes
Por qué la impunidad acelera la “industrialización” (y qué costo traslada a las entidades)

  • Incentivo económico: si el beneficio esperado supera el costo esperado, la red invierte en estandarizar y escalar.
  • Efecto “tiempo en operación”: más tiempo sin interrupción permite reclutar, asegurar insumos y perfeccionar playbooks.
  • Costo trasladado: cuando la persecución no escala, el sector privado absorbe más carga (más monitoreo, más revisiones, más fricción selectiva).
  • Trade-off inevitable: endurecer controles reduce fraude, pero puede aumentar falsos positivos y fricción; relajar controles mejora conversión, pero abre la puerta a campañas masivas.

La salida práctica suele ser controles escalonados por riesgo: fricción fuerte solo cuando las señales lo justifican.

La expansión de las fábricas de fraude no se explica solo por tecnología; también por incentivos. En América Latina, la impunidad aparece como un factor que permite que el fraude digital crezca y se profesionalice. La lógica es simple: si el beneficio económico supera con creces el costo esperado (probabilidad de captura por sanción), el “negocio” se vuelve atractivo y escalable.

Tomás Castañeda lo plantea de forma directa: hay mucha impunidad ante el fraude digital en la región. En su descripción, los procesos judiciales suelen requerir altos niveles de evidencia y las penas continúan siendo relativamente bajas frente al beneficio económico que obtienen los delincuentes. Ese desbalance empuja a las redes a invertir en métodos más sofisticados, porque el retorno potencial sigue siendo alto.

«En Latinoamérica hay mucha impunidad ante el fraude digital».
Tomás Castañeda, Sovos.

La consecuencia para bancos y fintechs es un entorno donde la defensa no depende únicamente de mejorar motores de prevención. También pesan factores regulatorios, judiciales y de cooperación entre actores del ecosistema. Si la persecución es limitada, la carga de contención recae más en el sector privado: más controles, más monitoreo, más costos operativos.

Además, la impunidad alimenta la industrialización: si una red puede operar durante más tiempo sin interrupción, puede estandarizar procesos, reclutar personal, asegurar insumos y perfeccionar playbooks. En otras palabras, el tiempo sin castigo se convierte en ventaja competitiva criminal.

Castañeda también apunta a una dificultad práctica: a las policías les cuesta perseguir este tipo de delito. En un entorno digital, donde los intentos pueden ser masivos y transnacionales, la investigación requiere capacidades técnicas y coordinación. Si eso no escala al ritmo del fraude, las fábricas encuentran espacio para crecer.

El resultado es un círculo: más impunidad, más inversión criminal, más volumen de ataques; y, del lado defensivo, más presión por reforzar controles sin romper la experiencia del usuario.

Desafíos para bancos y fintechs en la prevención del fraude

Presión crítica Qué cambia en la práctica Impacto típico en operación Respuesta común (sin “romper” conversión)
Cadenas de abastecimiento (identidades/rostros) La identidad deja de ser solo “dato robado” y pasa a ser insumo gestionado Más intentos “creíbles” y rotación rápida Detección de patrones (repetición visual), inteligencia por campaña
Cuentas mulas El riesgo se mueve del alta al uso de la cuenta Mayor exposición operativa y de cumplimiento Monitoreo transaccional conectado al riesgo de onboarding
Impunidad Menor disuasión, más tiempo para perfeccionar playbooks Aumento sostenido de volumen y sofisticación Cooperación/compartición de patrones, automatización defensiva
Fricción Más controles pueden bajar conversión Trade-off directo entre seguridad y crecimiento Controles escalonados por riesgo + señales pasivas

El auge de las fábricas de fraude coloca a bancos y fintechs frente a cuatro presiones críticas que, en conjunto, redefinen el riesgo en el onboarding y en la operación diaria. Este encuadre retoma lo descrito por Sovos a partir de las observaciones compartidas por Tomás Castañeda.
La primera es la aparición de cadenas de abastecimiento: las organizaciones criminales construyen mecanismos para conseguir identidades y rostros que luego usan en aperturas de cuentas y suplantación. Esto eleva la complejidad porque la identidad deja de ser solo un dato robado; puede ser un recurso obtenido, administrado y reutilizado.

La segunda presión es la proliferación de cuentas mulas. Una vez que una identidad fraudulenta supera controles, la cuenta resultante puede usarse para recibir o movilizar dinero en beneficio de terceros. Para las entidades, el problema trasciende el fraude: se conecta con riesgos de lavado de activos, monitoreo transaccional y cumplimiento.

La tercera presión es la impunidad. Si los procesos judiciales exigen altos niveles de evidencia y las penas son bajas, el fraude se vuelve un negocio lucrativo. En ese escenario, la prevención se convierte en una carrera desigual: los atacantes iteran rápido y el castigo no siempre llega.

La cuarta presión es la fricción. Reforzar controles suele implicar más pasos para el usuario. Castañeda describe que algunas billeteras digitales evitan biometría robusta por temor a afectar conversión. Incluso pedir foto del DNI o selfie puede percibirse como un freno a la apertura de cuentas. Pero si no se refuerza, el onboarding se vuelve una puerta de entrada para operaciones industrializadas.

En paralelo, el contexto tecnológico amplifica el desafío. La industrialización del fraude se apoya en automatización y en herramientas que permiten escalar ataques y probar defensas. Esto obliga a las entidades a pensar en capas: no basta un control único, porque el atacante puede adaptarse.

Por eso, algunas organizaciones exploran mecanismos complementarios para validar identidades sin comprometer la experiencia digital, como el análisis del rastro digital (digital footprint) de correos y teléfonos, y variables como la antigüedad del correo. El desafío, en síntesis, es elevar certeza sin elevar fricción.

Impacto de la tecnología en la validación de identidades

Validación de identidad por capas
Defensa por capas en validación de identidad (sin depender de “una sola prueba”)

  • Capa documental: calidad/forense del documento + consistencia de datos.
  • Capa biométrica (cuando aplique): selfie + liveness; y, si el riesgo lo amerita, detección de manipulación/deepfake.
  • Capa de señales pasivas: rastro digital (antigüedad de correo/teléfono, consistencia de huella), device intelligence.
  • Capa de comportamiento: coherencia entre lo declarado y lo que hace la cuenta (primeros días, contrapartes, dispersión).

Contexto 2026: fuentes del sector (p. ej., Shufti, 2026) describen un aumento del uso de IA para suplantación y deepfakes, lo que vuelve frágil cualquier verificación “standalone”.

La tecnología está en el centro de una carrera armamentista: habilita tanto la industrialización del fraude como nuevas defensas. En 2026, el impacto más visible para el sector financiero es que la validación de identidad ya no puede descansar en un solo elemento (documento, selfie o verificación manual), porque los atacantes han profesionalizado la producción de insumos.

Del lado ofensivo, Sovos reporta evidencias de operaciones dedicadas a crear documentos adulterados y a ejecutar intentos masivos de suplantación. Esto sugiere que la tecnología y los procesos permiten generar material “suficientemente bueno” para pasar filtros básicos, y hacerlo muchas veces. Además, la repetición de fondos en imágenes de verificación apunta a procesos controlados, donde la captura se estandariza para maximizar tasa de éxito.

Del lado defensivo, el reto es doble: mejorar la precisión y mantener la experiencia. Castañeda describe que algunas organizaciones temen que mecanismos biométricos más robustos reduzcan conversión. Esa preocupación es especialmente relevante para fintechs y billeteras digitales, donde el crecimiento depende de un onboarding rápido.

En ese contexto, gana relevancia el uso de señales pasivas o complementarias. Sovos menciona el análisis del rastro digital como una vía para validar identidades sin fricción: evaluar señales que una persona deja en su actividad digital para determinar si la identidad es consistente con un usuario legítimo o con un perfil temporal usado para fraude. Variables como la antigüedad del correo —uno creado hace años frente a uno creado minutos antes— funcionan como indicios adicionales.

La tecnología, entonces, no solo “endurece” controles; también permite diseñar defensas menos invasivas. La clave es combinar señales: documentales, biométricas cuando sea viable, y de comportamiento digital. En un entorno donde los atacantes buscan “rostros descartables” y rotan identidades, la consistencia a lo largo del tiempo y del ecosistema se vuelve un activo.

En términos prácticos, el impacto es que la validación deja de ser un evento (el alta) y se convierte en un proceso continuo de evaluación de riesgo.

Estrategias para mitigar el riesgo de fraude en el sector financiero

Plan por fases antifraude y monetización
Plan accionable por fases (para reducir alta fraudulenta y limitar monetización)

  • Pre-onboarding (antes del alta):

1) Define umbrales de volumen (picos) y reglas de campaña (repetición visual, reintentos).
2) Prepara respuesta rápida: bloquear por patrón/campaña, no solo por identidad.

  • Onboarding (momento de verificación):

3) Aplica controles escalonados por riesgo: más fricción solo cuando señales lo justifican.
4) Complementa documento/selfie con señales pasivas (rastro digital, antigüedad de correo/teléfono) para subir certeza sin pasos extra.
Checkpoint: si sube el rechazo de legítimos, revisa falsos positivos antes de “endurecer para todos”.

  • Post-onboarding (primeros días y uso):

5) Conecta el riesgo del alta con monitoreo transaccional (alertas tempranas de dispersión/cash-out).
6) Revisa clusters de contrapartes y redes de cuentas nuevas.
Checkpoint: si detectas cuentas mulas, retroalimenta señales al onboarding (patrones, dispositivos, fondos repetidos).

Mitigar el riesgo frente a fábricas de fraude exige asumir que el adversario opera con escala, repetición y capacidad de adaptación. En ese marco, las estrategias más efectivas no son “un control más”, sino un enfoque por capas que reduzca la probabilidad de alta fraudulenta y, si ocurre, limite la capacidad de monetización mediante cuentas mulas.

La primera estrategia es fortalecer la validación de identidad sin depender de un único factor. Sovos describe cómo algunas organizaciones complementan la validación documental con señales adicionales, como el análisis del rastro digital de correos electrónicos o números telefónicos usados durante el registro. Este enfoque busca elevar certeza sin añadir pasos visibles al usuario, lo que ayuda a equilibrar seguridad y conversión.

La segunda estrategia es tratar el onboarding como un punto de riesgo dinámico. Si los atacantes “van descartando rostros y utilizando nuevas personas”, la defensa debe detectar patrones repetidos: por ejemplo, fondos idénticos en imágenes de verificación o señales de intentos masivos. La identificación de ubicaciones físicas compartidas, cuando existe, permite bloquear campañas completas, no solo cuentas individuales.

La tercera estrategia es integrar el riesgo de cuentas mulas desde el diseño. Dado que estas cuentas pueden implicar riesgos asociados a lavado de activos y cumplimiento, el monitoreo transaccional debe conectarse con señales del alta. Una cuenta que nace con señales débiles y luego muestra patrones de recepción y transferencia para terceros merece un tratamiento distinto.

La cuarta estrategia es gestionar la fricción con precisión. Castañeda advierte que algunas billeteras evitan biometría robusta por temor a afectar conversión. La respuesta no tiene por qué ser “todo o nada”: se puede reservar controles más fuertes para casos de mayor riesgo, apoyándose en señales pasivas para la mayoría.

Finalmente, hay una estrategia que excede lo técnico: cooperación. El propio diagnóstico de Sovos subraya que, además de tecnología, pesan factores regulatorios, judiciales y de colaboración entre actores. En un entorno de impunidad, compartir aprendizajes sobre patrones (como fondos repetidos o campañas masivas) puede ser tan importante como mejorar un motor interno.

La mitigación, en suma, requiere combinar validación inteligente, monitoreo posterior y decisiones de fricción basadas en riesgo.

Fábricas de fraude: un desafío inminente para el sector financiero

La evolución del fraude digital en 2026

En 2026, el fraude digital deja de parecer una suma de incidentes y se consolida como una operación industrial. La evidencia de “fábricas de fraude” —ubicaciones físicas compartidas, patrones repetidos en verificaciones, producción de documentos adulterados e intentos masivos de suplantación— muestra un cambio de escala. A esto se suma la construcción de cadenas de abastecimiento: identidades y, cada vez más, rostros obtenidos para alimentar el onboarding.

El fenómeno también evoluciona por incentivos. La impunidad, los altos requisitos de evidencia y las penas relativamente bajas frente al beneficio económico crean un terreno fértil para que las redes inviertan, aprendan y se expandan. Y, del lado de las entidades, el dilema se agudiza: reforzar controles puede elevar fricción y afectar conversión, especialmente en billeteras digitales y fintechs que compiten por crecimiento.

La respuesta que se perfila no es un “control milagro”, sino una combinación: validación por capas, señales complementarias como el rastro digital, y una lectura más amplia del riesgo que conecte el alta con el uso posterior de la cuenta.

Impacto en la confianza del consumidor y la economía

El impacto de las fábricas de fraude no se limita a pérdidas directas. Cuando una identidad puede ser adulterada y una cuenta puede abrirse para mover dinero ilícito, la confianza en los canales digitales se erosiona. Para consumidores y comercios, el daño se traduce en más fricción, más rechazos y más sospecha; para el sistema, en mayores costos operativos y de cumplimiento.

Además, las cuentas mulas amplifican el problema: convierten el fraude de identidad en infraestructura para mover recursos, con implicaciones de monitoreo transaccional y riesgos asociados a lavado de

Este análisis se elaboró desde el enfoque editorial de PAGORALIA, centrado en cómo estas dinámicas impactan el onboarding, la conversión y la gestión de riesgo en cobros digitales y físicos para comercios y pymes en México.

Este texto se basa en información pública disponible a la fecha de redacción sobre patrones y prácticas observadas en el sector financiero en 2026. Dado que las tácticas y los controles cambian con rapidez, algunos detalles pueden quedar desactualizados o requerir ajustes en semanas o meses. Si vas a diseñar procesos de onboarding o monitoreo, conviene contrastar estas señales con tus propios datos y con el marco regulatorio y operativo de tu país.