Las dos medidas buscan resolver problemas distintos, pero juntas muestran algo importante: la identidad financiera en México depende cada vez más de una combinación de documentos oficiales, datos biométricos, contraseñas, dispositivos y números telefónicos. Eso puede hacer más sofisticados los procesos de validación, pero no necesariamente más resistentes a los ataques que hoy utilizan los delincuentes.
El punto más delicado está en el teléfono.
No significa que todos los bancos vayan a identificarte por SMS
La Comisión Nacional Bancaria y de Valores publicó el 1 de septiembre de 2026 una modificación a las Disposiciones de carácter general aplicables a las instituciones de crédito. La reforma entró en vigor al día siguiente.
Es importante precisar que esta modificación no obliga a todos los bancos a identificar a sus clientes mediante mensajes de texto. La medida se refiere específicamente a los llamados comisionistas de base tecnológica, es decir, terceros que pueden ofrecer determinados servicios en nombre de una institución bancaria mediante sus propias aplicaciones o páginas de internet.
Dentro de este esquema pueden realizarse operaciones como la apertura de determinadas cuentas, algunas transferencias, créditos limitados, pagos y consultas de saldos y movimientos.
La reforma amplía los mecanismos que pueden utilizarse para entregar un segundo factor de autenticación. Entre las opciones aparecen el correo electrónico, la mensajería instantánea cifrada y ahora también los mensajes SMS.
La decisión tiene una lógica evidente. Prácticamente cualquier teléfono puede recibir un SMS, no es necesario instalar otra aplicación y el mecanismo puede utilizarse incluso en equipos antiguos. Desde una perspectiva de inclusión financiera, resulta sencillo y accesible.
El problema aparece cuando esa facilidad se interpreta como si también representara un alto nivel de seguridad.
El doble factor ayuda, pero no elimina el phishing
Utilizar dos factores de autenticación sigue siendo mejor que proteger una cuenta únicamente con una contraseña. Si un delincuente obtiene esa contraseña, todavía tendría que superar otra barrera.
Sin embargo, no todos los segundos factores ofrecen el mismo nivel de protección.
El Instituto Nacional de Estándares y Tecnología de Estados Unidos, NIST, una de las referencias internacionales más importantes en identidad digital, distingue entre los mecanismos que simplemente agregan otro factor y aquellos que además son resistentes al phishing.
Un código que llega por SMS y que posteriormente debe ser introducido manualmente por el usuario no es resistente al phishing.
La razón es relativamente sencilla: el atacante no necesita interceptar el mensaje. Puede conseguir que la propia víctima le entregue el código.
Supongamos que una persona recibe un mensaje aparentemente enviado por su banco. El texto advierte sobre un movimiento sospechoso e incluye un enlace para verificar la cuenta. La página luce exactamente igual que la del banco y la víctima introduce su usuario y contraseña.
El delincuente utiliza inmediatamente esas credenciales en el sitio verdadero. El banco detecta el intento de acceso y envía un código legítimo al teléfono del cliente.
Hasta ese momento nadie ha interceptado ningún SMS ni ha vulnerado la infraestructura bancaria. El mensaje llegó correctamente a su destinatario.
El problema aparece cuando la página falsa solicita ese mismo código para continuar. La víctima lo escribe y el atacante lo utiliza en el banco verdadero.
El segundo factor funcionó técnicamente como estaba diseñado, pero el usuario fue engañado para utilizarlo en beneficio del delincuente.
Ésa es precisamente una de las limitaciones señaladas por NIST para este tipo de autenticación.
El número telefónico también puede ser atacado
Existe además otro riesgo conocido: el SIM swapping.
En este fraude, el atacante intenta conseguir que el número de la víctima sea transferido o activado en otra tarjeta SIM. Si lo logra, el teléfono original puede quedarse sin servicio mientras el delincuente comienza a recibir llamadas y mensajes destinados a ese número.
Entre esos mensajes pueden encontrarse códigos de autenticación.
No se trata de una amenaza teórica ni exclusiva de otros países. El propio Instituto Federal de Telecomunicaciones publicó un estudio sobre SIM swapping en México y analizó tanto el fenómeno como las medidas utilizadas para combatirlo.
Esto no significa que cualquier código enviado por SMS vaya a ser robado. Significa que el control de un número telefónico no debería considerarse por sí mismo una prueba infalible de identidad.
Consultar movimientos también puede tener valor para un atacante
La reforma introduce además una excepción interesante. Para determinadas operaciones consideradas de menor riesgo, como la consulta de saldos y movimientos, podría utilizarse únicamente uno de los factores de autenticación contemplados por la regulación.
La lógica es comprensible: consultar información no permite directamente transferir o retirar dinero.
Sin embargo, desde el punto de vista de la ingeniería social, conocer los movimientos de una persona puede ser muy útil.
Un atacante podría conocer cantidades, fechas de depósitos, servicios pagados, comercios utilizados o instituciones financieras con las que la víctima tiene relación. Con esa información puede construir llamadas o mensajes mucho más convincentes.
No es lo mismo recibir una llamada genérica diciendo que existe un cargo sospechoso que escuchar a alguien mencionar una cantidad real, una fecha correcta o un comercio que efectivamente aparece en la cuenta.
La información financiera también puede convertirse en herramienta para preparar un fraude posterior.
¿Dónde entran los datos biométricos?
Mientras se modifica la autenticación mediante estos comisionistas, la CNBV también ha realizado cambios relacionados con el uso de datos biométricos por parte de las instituciones financieras.
Otra resolución permite, bajo determinadas condiciones, que los bancos conformen bases propias de información biométrica de sus clientes. Las disposiciones contemplan mecanismos como huella dactilar y reconocimiento facial, con verificaciones iniciales contra fuentes oficiales autorizadas.
Es importante no confundir ambas medidas. La regulación biométrica y la relacionada con SMS no son la misma reforma ni significan que los bancos vayan a utilizar necesariamente ambos mecanismos juntos.
Lo relevante es observar la dirección general: el sistema financiero mexicano está construyendo procesos cada vez más complejos para comprobar quién está detrás de una cuenta.
Y ahí aparece una diferencia importante entre identificación y autenticación.
La biometría puede ayudar a comprobar quién eres. Una contraseña o un código pueden ayudar a comprobar que tienes acceso a determinadas credenciales o dispositivos. Pero ninguna de esas cosas elimina automáticamente la posibilidad de que una persona sea engañada.
Los delincuentes ya no necesitan romper el banco
Éste es uno de los cambios más importantes en el fraude digital.
Durante años imaginamos al atacante tratando de vulnerar directamente los sistemas de una institución financiera. Hoy, en muchos casos, resulta más fácil convencer al usuario de que entregue voluntariamente lo necesario para entrar.
Una página falsa puede obtener una contraseña. Una llamada puede conseguir un código. Un mensaje puede llevar a la víctima al sitio equivocado. En otros casos, el atacante intenta apoderarse del propio número telefónico.
La tecnología del banco puede funcionar perfectamente y aun así producirse el fraude.
Por eso la seguridad moderna no debería depender únicamente de capacitar al usuario para reconocer cada posible engaño.
Existen mecanismos que reducen este problema
Tecnologías como FIDO y las passkeys fueron diseñadas precisamente para evitar algunos de estos ataques.
Su ventaja no consiste solamente en agregar otra barrera. También pueden vincular criptográficamente la autenticación con el sitio legítimo, de manera que una página falsa no pueda simplemente capturar un código y reutilizarlo.
Eso cambia de forma importante el modelo de seguridad, porque deja de depender exclusivamente de que el usuario identifique correctamente cada página, mensaje o enlace.
No todos los mecanismos pueden implementarse igual en todos los contextos, y el SMS sigue teniendo ventajas importantes de accesibilidad. Pero si existen tecnologías más resistentes al phishing, la discusión regulatoria debería incluir claramente cuándo utilizar unas y cuándo otras.
Entonces, ¿usar SMS es un error?
No necesariamente.
Un código enviado por SMS puede proporcionar más seguridad que una contraseña sola y puede ser una solución práctica para personas que no utilizan mecanismos más modernos.
El problema sería tratarlo como si resolviera por completo la autenticación.
Sabemos que los códigos pueden ser obtenidos mediante ingeniería social. Sabemos que existe SIM swapping. Sabemos que los usuarios pueden ser dirigidos a páginas falsas y sabemos también que existen tecnologías diseñadas específicamente para reducir esos riesgos.
Por eso la pregunta no debería limitarse a cómo facilitar que más personas puedan autenticarse. También debería analizarse cómo evitar que un usuario pueda completar correctamente una autenticación dentro de un fraude.
Qué puede hacer el usuario
Hay algunas precauciones sencillas que siguen siendo especialmente importantes.
Si recibes un mensaje relacionado con tu banco, evita entrar a tu cuenta mediante el enlace incluido en el propio mensaje. Abre directamente la aplicación oficial o escribe tú mismo la dirección del banco.
Nunca proporciones por teléfono un código que acaba de llegar por SMS, incluso si la persona que llama parece conocer información sobre tu cuenta.
También conviene prestar atención si tu teléfono pierde repentinamente la señal sin una explicación clara. Si esto ocurre al mismo tiempo que recibes avisos sobre recuperación de cuentas o movimientos financieros, hay que contactar inmediatamente al operador telefónico y al banco.
Y cuando una institución permita utilizar mecanismos de autenticación más resistentes al phishing, vale la pena considerarlos.
La seguridad no debería depender de que todos seamos expertos
Éste es probablemente el punto más importante.
Una persona no tendría que saber qué significa OTP, SIM swapping, WebAuthn o FIDO para mantener seguro su dinero.
La inclusión financiera exige sistemas fáciles de utilizar, pero la facilidad no debería conseguirse trasladando buena parte de la responsabilidad de seguridad al usuario.
Si un mecanismo funciona correctamente sólo cuando la persona identifica todos los mensajes falsos, distingue perfectamente un sitio legítimo de uno clonado y entiende cuándo un código debe o no debe introducirse, seguimos dependiendo demasiado del eslabón que los delincuentes llevan años intentando explotar.
La tecnología financiera puede ser cada vez más sofisticada. La verdadera mejora llegará cuando también sea capaz de proteger al usuario en el momento en que se equivoca.