La expansión de la banca y los servicios financieros digitales está cambiando también la forma en que se cometen los fraudes. Mientras los usuarios realizan cada vez más operaciones desde sus celulares, los ciberdelincuentes han desplazado su foco hacia uno de los activos más difíciles de proteger: la identidad digital.
Según la SBS, al cierre de 2025, el 67% de los adultos en Perú ya contaba con una cuenta o billetera digital, frente al 42% registrado en 2020. Solo en diciembre se realizaron 1.255 millones de operaciones mediante billeteras digitales y aplicativos móviles. A esto se suma que el Banco Central de Reserva del Perú (BCRP) reportó 665 pagos digitales por adulto durante 2025. Este crecimiento también amplía los puntos de exposición para las instituciones financieras, que ahora deben determinar en tiempo real si quien accede a una cuenta o realiza una operación es realmente su titular.
“Durante años, la respuesta corporativa al riesgo digital fue apilar capas de control. Si había fraude, se sumaban tokens, formularios extensos, validaciones por SMS y contraseñas más complejas. Hoy sabemos que esa estrategia es insostenible. Cada barrera adicional castiga las métricas de conversión comercial. El desafío actual ya no es elegir entre blindar la infraestructura o facilitar el negocio, sino lograr ambas mediante la invisibilidad de los controles”, señala Pablo Garcia, BDM Cyber de TIVIT Latam.
CUANDO EL ATACANTE BUSCA HACERSE PASAR POR EL USUARIO
Las nuevas modalidades de fraude han convertido a la identidad digital en uno de los principales puntos de atención. Los atacantes pueden obtener credenciales, manipular procesos de identificación o asumir el control de una cuenta legítima, haciendo que los mecanismos tradicionales de KYC ya no sean suficientes por sí solos.
Entre las amenazas que deben considerar las instituciones financieras están la evasión biométrica y los deepfakes, que pueden utilizar IA generativa para manipular imágenes y videos durante procesos de identificación; las identidades sintéticas, creadas combinando información real y ficticia; y el Account Takeover, mediante el robo de credenciales, secuestro de sesiones o tácticas de fatiga de autenticación multifactor.
SEGURIDAD BASADA EN EL RIESGO, NO EN MÁS BARRERAS
Frente a este escenario, la autenticación está evolucionando de un mecanismo concentrado en el inicio de sesión hacia un proceso continuo, capaz de evaluar el riesgo durante toda la interacción digital.
“Para cumplir con las normativas de la SBS sin asfixiar la agilidad del negocio, las organizaciones financieras deben migrar hacia arquitecturas de gestión de identidades y accesos de clientes (CIAM)”, sostiene Pablo García.
Este enfoque permite que la seguridad opere en segundo plano y que la autenticación adicional se active únicamente cuando existan señales de riesgo. Para ello, las instituciones pueden apoyarse en tres mecanismos:
- Validación de identidad: integrar procesos de onboarding con fuentes oficiales, como RENIEC, para fortalecer la identificación desde el inicio de la relación con el cliente.
- Biometría conductual: analizar señales pasivas, como la forma de interactuar con el dispositivo, la cadencia de tipeo o los patrones de navegación, para identificar comportamientos inusuales sin exigir pasos adicionales.
- Autenticación basada en riesgos: evaluar cada operación en tiempo real. Una transferencia habitual desde un dispositivo conocido puede completarse sin fricción, mientras que una operación inusual desde un equipo desconocido puede activar automáticamente una validación adicional.
Así, el reto para el sector financiero ya no es simplemente sumar controles, sino hacer que la seguridad sea proporcional al riesgo. La combinación de gestión de identidad, análisis de comportamiento y autenticación continua permite proteger al usuario y al negocio sin convertir cada operación digital en una barrera.