NOTICANTO
Nacional — Reporte 260809-01
Sección: Finanzas
Ciudad de México, 9 de septiembre de 2026.
La Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (CONDUSEF) publicó el 8 de septiembre el Comunicado 111: “¡Alerta! No descargues aplicaciones desde enlaces que recibas por mensajes SMS o correos electrónicos”. En él advierte que los enlaces enviados por SMS, correo, WhatsApp o redes sociales pueden conducir a sitios inseguros y a aplicaciones capaces de obtener información personal y financiera. Sus recomendaciones son directas: no abrir esos enlaces, descargar aplicaciones desde tiendas oficiales, comprobar que pertenezcan a la institución financiera y confirmar cualquier mensaje por los canales oficiales.[1]
La advertencia es pertinente. El problema no está en pedir cautela ante un enlace inesperado, sino en presentar la “tienda oficial” como si fuera el único criterio para distinguir una aplicación legítima de una fraudulenta. En seguridad digital, el canal de distribución es una señal importante, pero no una garantía absoluta.
Tres situaciones distintas bajo una misma palabra
El comunicado utiliza el término aplicación para escenarios técnicamente diferentes:
una app falsa promovida mediante un mensaje no solicitado;
un archivo ejecutable —por ejemplo, un APK de Android— instalado desde fuera de una tienda; y
una aplicación web progresiva (PWA) instalada desde el navegador y desde el dominio legítimo de una organización.
No tienen el mismo nivel de riesgo. Google informó que más de 95% de las instalaciones asociadas con familias importantes de malware que explotan permisos sensibles vinculados al fraude financiero provinieron de fuentes de instalación lateral en internet, como navegadores, mensajería o administradores de archivos.[2] Ese dato respalda el consejo práctico de CONDUSEF para la mayoría de las personas: no instalar archivos recibidos mediante enlaces inesperados.
Sin embargo, una PWA no es un APK enviado por WhatsApp. Es una aplicación web que puede instalarse desde un navegador compatible, sin que el desarrollador tenga que entregar al usuario un paquete ejecutable. Para ser instalable debe servirse mediante HTTPS —salvo en entornos locales de desarrollo— y cumplir los criterios del navegador.[3][4] Esto no vuelve segura a cualquier PWA: HTTPS protege la conexión y acredita el dominio visitado, pero no certifica la honestidad de quien opera el sitio. La verificación del dominio oficial sigue siendo indispensable.
También conviene evitar el extremo contrario: aparecer en una tienda reduce el riesgo, pero no lo elimina. En 2022, Check Point Research documentó seis aplicaciones que se hacían pasar por antivirus en Google Play y distribuían el malware bancario SharkBot; Google las retiró después del reporte.[5] La propia Google explicó en junio de 2026 que algunos atacantes superan la revisión inicial con una aplicación aparentemente legítima y activan después funciones maliciosas mediante actualizaciones.[6]
La regla técnicamente más precisa, por tanto, no es “tienda oficial igual a segura”, sino esta:
Nunca instales una aplicación desde un enlace inesperado. Localiza por tu cuenta el sitio o la ficha oficial de la institución, verifica el dominio y el desarrollador, revisa permisos y alertas del dispositivo y, ante cualquier duda, confirma con la institución por un canal independiente.
El mandato sí es financiero; la redacción pudo ser más precisa
La Ley de Protección y Defensa al Usuario de Servicios Financieros establece que CONDUSEF protege y defiende a las personas usuarias frente a las instituciones financieras y que debe impulsar programas de cultura financiera.[7] Por eso, advertir sobre aplicaciones falsas que buscan datos bancarios sí corresponde a su mandato.
La observación crítica debe centrarse en la comunicación, no en una supuesta falta de competencia legal. Aunque el título y parte del texto hablan de “aplicaciones” en general, el comunicado vuelve repetidamente al banco o institución financiera, a los datos financieros y a las operaciones fraudulentas.[1] El contexto es inequívocamente financiero; la imprecisión consiste en no diferenciar las modalidades legítimas de distribución ni explicar que una tienda es una capa de protección, no un certificado infalible.
Las cifras exigen distinguir universos
El problema que motiva la alerta es real, pero las estadísticas disponibles no deben mezclarse como si midieran lo mismo.
Entre enero y marzo de 2026, el Buró de Entidades Financieras registró 1 millón 515 mil reclamaciones por posibles fraudes presentadas por clientes ante los bancos, 31.5% más que en el mismo periodo de 2025.[8] Esa cifra corresponde a los registros de las propias instituciones bancarias.
En cambio, entre enero y julio de 2026, CONDUSEF recibió directamente 103 mil 417 reclamaciones por distintos motivos, 16.8% más que un año antes. Dentro de ese universo, 42 mil 791 correspondieron a cargos, consumos o transferencias no reconocidas, 18.1% más que en 2025.[9] No hay contradicción entre ambos totales: proceden de canales y universos de registro diferentes.
Otro indicador aporta contexto sobre el resultado de las reclamaciones. Un procesamiento de Tec-Check sobre bases de CONDUSEF reportó que, entre enero y mayo de 2026, se concluyeron 36 mil 655 expedientes clasificados como posible fraude; 36.5% obtuvo resolución favorable. Se reclamaron 2,620 millones de pesos y se recuperaron 316 millones, equivalentes a 12.1% del monto disputado.[10] Al tratarse de un cálculo de una organización externa sobre datos públicos, debe presentarse como tal y no como una tasa oficial publicada por CONDUSEF.
La vulnerabilidad tampoco pertenece a una sola edad. En ese mismo periodo, las reclamaciones por posible fraude crecieron 17.3% entre personas de 60 a 69 años; no obstante, la propia Comisión señaló que los incrementos más significativos se observaron entre población en edad productiva y personas jóvenes.[11] La prevención debe ser accesible para adultos mayores, pero también útil para una población conectada que recibe intentos de engaño de forma constante.
El informe Estado de las estafas en México 2025, elaborado por Global Anti-Scam Alliance y Opinium mediante una encuesta representativa en línea a mil personas adultas, estimó un promedio de 86 encuentros con intentos de estafa por persona al año, aproximadamente uno cada cuatro días.[12] Es una estimación de encuesta, no un conteo administrativo de denuncias, pero ayuda a dimensionar la presión cotidiana del fraude.
De la advertencia a la verificación
CONDUSEF ya dispone de herramientas valiosas, entre ellas el Sistema de Registro de Prestadores de Servicios Financieros (SIPRES), el Portal de Fraudes Financieros y el Portal de Queja Electrónica.[13] El siguiente paso podría ser conectarlas con la realidad de las aplicaciones mediante acciones concretas:
Incorporar al SIPRES un directorio verificable de aplicaciones financieras, con enlaces oficiales de descarga, dominio autorizado, nombre exacto del desarrollador e identificador del paquete.
Distinguir en futuras alertas entre enlaces no solicitados, instalación lateral de ejecutables y PWA, sin convertir esa explicación en una invitación a abrir enlaces desconocidos.
Añadir una lista breve de comprobaciones posteriores a la tienda: desarrollador, permisos solicitados, número de descargas, historial de actualizaciones, dominio de soporte y alertas de seguridad del dispositivo.
Publicar periódicamente resultados comparables, separando reclamaciones ante instituciones, asuntos tramitados por CONDUSEF, resoluciones favorables y montos efectivamente recuperados.
Coordinar un mecanismo rápido de reporte y retiro con instituciones financieras, Google, Apple, empresas de telecomunicaciones y autoridades de ciberseguridad.
Una alerta necesaria que puede ser mejor
El Comunicado 111 acierta en su instrucción principal: un mensaje inesperado que pide instalar una aplicación bancaria debe tratarse como una señal de fraude. Para una campaña masiva, una regla simple puede proteger más que una explicación llena de excepciones.
Pero la simplicidad no debería convertirse en una equivalencia falsa. Una tienda oficial reduce riesgos; no garantiza seguridad. Una instalación desde el navegador no es necesariamente una descarga clandestina; puede ser una PWA legítima. Y un candado HTTPS protege la conexión; no certifica la buena fe del sitio.
La mejor educación financiera digital no obliga al usuario a escoger entre confiar ciegamente y desconfiar de todo. Le ofrece una ruta comprobable para verificar.
Referencias
CONDUSEF. (8 de septiembre de 2026). ¡Alerta! No descargues aplicaciones desde enlaces que recibas por mensajes SMS o correos electrónicos, Comunicado 111.
Google. (29 de enero de 2025). How we kept the Google Play & Android app ecosystems safe in 2024.
MDN Web Docs. Making PWAs installable.
Check Point Research. (7 de abril de 2022). Google is on guard: sharks shall not pass!.
Google. (8 de junio de 2026). Our latest fraud and scams advisory.
Cámara de Diputados del H. Congreso de la Unión. Ley de Protección y Defensa al Usuario de Servicios Financieros, artículos 1, 4 y 5; última reforma publicada el 14 de noviembre de 2025.
El Universal. (6 de julio de 2026). Suben quejas por fraudes; bancos devuelven 24%. Datos del Buró de Entidades Financieras.
La Jornada. (7 de septiembre de 2026). Suben más de 15% quejas por cargos y consumos no reconocidos: CONDUSEF.
El Economista. (27 de agosto de 2026). Un mexicano está expuesto a 86 fraudes digitales cada año. Procesamiento de Tec-Check sobre bases de CONDUSEF.
CONDUSEF. (18 de junio de 2026). CONDUSEF y SEPROBAN unen esfuerzos para fortalecer el combate al fraude financiero y proteger a las personas usuarias, Comunicado 90.
Global Anti-Scam Alliance. (3 de noviembre de 2025). Scam encounters every four days: Mexico’s financial toll.
CONDUSEF. Portal Único de Registros — SIPRES y Buró de Entidades Financieras y Portal de Queja Electrónica.
Nota editorial: esta pieza distingue hechos comprobables, estimaciones de encuesta, análisis de terceros y opinión de NOTICANTO Nacional. Las propuestas incluidas no representan recomendaciones emitidas por CONDUSEF.
Autor y créditos editoriales
Luis Bardullas es fundador de SINFIN.MX, creador y editor de NOTICANTO, proyecto independiente que convierte asuntos de actualidad, tecnología y cultura en noticias cantadas acompañadas por información de contexto. Trabaja en tecnologías de información desde 1985 y desarrolla proyectos de transformación digital, comunicación, marketing y producción multimedia desde Colima, México.
- Concepto, investigación base, análisis y dirección editorial: Luis Bardullas.
- Proyecto y publicación: NOTICANTO / SINFIN.MX.
- Contraste documental, estructuración y asistencia de redacción: OpenAI — ChatGPT.
La responsabilidad editorial y la selección final de enfoques, argumentos y fuentes corresponden al autor.