Un mensaje del banco. Un supuesto cargo. Una promoción. Una cuenta que debe actualizarse. Todo puede parecer cotidiano hasta que aparece una instrucción: abre este enlace.
El mecanismo funciona lo suficiente como para haber alcanzado a millones de personas. Pero no todas las víctimas sufrieron el mismo daño. De los 13.5 millones de internautas que The Competitive Intelligence Unit (The CIU) estima que habían sido víctimas de phishing, 23.1% reportó pérdidas económicas. Eso equivale a aproximadamente 3.12 millones de personas. Hagamos cuentas
The CIU reportó una pérdida promedio de 8,750 pesos entre quienes resultaron afectados económicamente. Si aplicamos ese promedio a los 3.12 millones de víctimas que habrían perdido dinero:
13.5 millones × 23.1% = 3,118,500 personas
3,118,500 × $8,750 = $27,286,875,000
Es decir: ≈ $27,300 MILLONES DE PESOS
El monto es una estimación de Excélsior elaborada a partir de los datos publicados por The CIU, no una cifra oficial de pérdidas contabilizadas por las autoridades. Tampoco corresponde exclusivamente a 2025: los 13.5 millones representan personas que habían sido víctimas al 2025, sin que la fuente establezca que todos los casos ocurrieron durante ese año.
Hay otra medida de la exposición: 34% de los internautas mexicanos había recibido mensajes sospechosos solicitando información personal y una tercera parte se sentía poco o nada segura de poder identificar y evitar un intento de phishing.
La coyuntura volvió a encender las alarmas este septiembre. El día 8, la CONDUSEF pidió no descargar aplicaciones desde enlaces recibidos por SMS, correo, WhatsApp o redes sociales, incluso cuando aparenten provenir de una institución financiera. Dos días después alertó sobre intentos recientes de fraude mediante malware en dispositivos móviles.
Abrir un enlace, sin embargo, no significa automáticamente que el teléfono haya sido infectado. El riesgo depende de lo que ocurre después: descargar un archivo o aplicación, conceder permisos, proporcionar información confidencial o permitir que un tercero tenga acceso al dispositivo.
Y el engaño no tiene por qué comenzar dentro de una aplicación bancaria.
La Secretaría de Seguridad y Protección Ciudadana ha advertido que programas maliciosos pueden esconderse detrás de productos aparentemente cotidianos. Por eso importa observar la relación entre lo que una aplicación promete hacer y los accesos que solicita.
Un editor de fotografías puede necesitar acceder a imágenes. Eso no significa que necesite indiscriminadamente contactos, ubicación, micrófono y otros datos. El permiso debe tener sentido para la función.
Pero existe un momento todavía más delicado: cuando el engaño deja de buscar permisos y comienza a pedir directamente las llaves.
CONDUSEF incluye entre sus señales de alerta las solicitudes de contraseñas, NIP, códigos de verificación y datos de tarjetas, así como las instrucciones para instalar aplicaciones o permitir acceso remoto.
Pero también existe el riesgo de irse al extremo contrario y atribuir cualquier anomalía al malware. Un teléfono puede calentarse, consumir batería rápidamente o funcionar con lentitud por muchas razones. Ninguna de esas señales aislada demuestra una infección.
La pregunta útil no es sólo qué está haciendo ahora el teléfono, sino qué ocurrió antes.
El contexto cambia el significado de una anomalía. Un comportamiento extraño después de haber recibido un mensaje sospechoso, descargado una aplicación, concedido permisos o entregado información confidencial merece una reacción distinta a un teléfono que simplemente funciona lento.
Cuando varias piezas de esa secuencia coinciden, la prioridad ya no es seguir experimentando con el dispositivo. Es interrumpir la cadena y proteger las cuentas.
La prevención ocurre unos pasos antes. Descargar aplicaciones únicamente desde tiendas oficiales, revisar quién las desarrolla, comprobar los permisos que solicitan, mantener actualizado el sistema operativo y utilizar mecanismos adicionales de autenticación reduce la exposición.
Pero hay una defensa todavía más sencilla: romper la urgencia. Un supuesto cargo, una cuenta bloqueada o una promoción pueden esperar el tiempo necesario para abrir por nuestra cuenta la aplicación oficial, escribir directamente la dirección del servicio o llamar al número que ya conocemos.
El phishing necesita tecnología, pero también algo mucho más cotidiano: unos segundos de confianza. Cuando el mecanismo ha alcanzado a millones de personas, detenerse durante esos segundos puede valer mucho más que un clic.
