En Colombia el fraude digital dejó de ser un episodio aislado, algo lejano que le pasaba al vecino o a un conocido, para convertirse en un peligro real que miles de personas padecen a diario. El inicio de este año coincide con un escenario propicio, pues en plena temporada de viajes, aumento del comercio electrónico, mayor uso de pagos inmediatos y una dependencia creciente del celular como llave de acceso a servicios financieros, laborales y personales, los delincuentes ya no buscan romper sistemas de seguridad, buscan convencer a sus víctimas.
Así lo demuestra una alerta reciente de la empresa de ciberseguridad ESET. En plena temporada de vacaciones, especialistas advirtieron sobre el aumento de correos falsos que suplantan reconocidas plataformas de alojamiento como Booking.com.
Los mensajes que envían estas bandas alertan sobre supuestos problemas con reservas o reembolsos pendientes e incluyen enlaces maliciosos que conducen a una cadena de engaños cuyo objetivo final es que la propia persona instale en sus dispositivos un programa que roba su información. La campaña fue analizada por el equipo de Securonix y se apoya en una técnica conocida como ClickFix.
El mecanismo funciona así: un correo fraudulento utiliza la estética y el lenguaje de Booking.com, lo que lo hace difícil de distinguir de uno legítimo. Ante la urgencia de resolver un inconveniente con una reserva, el usuario hace clic en el enlace incluido en el mensaje y es redirigido a un sitio falso que imita a la plataforma original.
Allí, el navegador muestra un mensaje que simula un error crítico del sistema. Al presionar el botón de recarga, el navegador pasa a pantalla completa y despliega una falsa pantalla azul de Windows.
A diferencia de una pantalla real, esta incluye instrucciones para que el usuario ejecute comandos en PowerShell o en la ventana Ejecutar de Windows, con la excusa de solucionar el supuesto problema técnico. Al seguirlas, la víctima desencadena una serie de acciones maliciosas que incluyen la descarga de un proyecto .NET, la instalación de un troyano de acceso remoto, desactivación de defensas como Windows Defender y la obtención de persistencia en el sistema.
“Los cibercriminales ya no necesitan vulnerar el sistema directamente: les alcanza con convencer al usuario de que lo haga por ellos. Por eso, campañas como ClickFix muestran que la educación y la atención frente a mensajes urgentes siguen siendo una de las principales barreras de protección”, explica a EL COLOMBIANO Martina López, especialista en Seguridad Informática de ESET Latinoamérica.
El último reporte ESET Threat revela cifras preocupantes. Durante el primer trimestre de 2025, esa técnica creció más del 500 % en detecciones, convirtiéndose en el segundo vector de ataque más frecuente después del phishing.
El fraude como servicio
El cambio en los ciberfraudes no se limita a los correos electrónicos. En Colombia, delitos que antes requerían semanas de preparación, actores humanos y cadenas de ingeniería social hoy se compran como un servicio en foros y grupos de chat clandestinos. Allí se ofrecen clonación de voz para autorizar pagos, videollamadas falsas de directivos e identidades sintéticas capaces de engañar procesos de validación digital.
“Lo que antes era un fraude aislado hoy puede adquirirse en foros clandestinos como un servicio a bajo costo”, explica a este diario Edwin Sabogal Rojas, Cyber Regional Manager para Latinoamérica en AON, firma especializada en gestión de riesgos cibernéticos.
Según datos del Ministerio de las TIC, en el último año Colombia registró cerca de 36.000 millones de intentos de ciberataque. La Global Risk Management Survey 2025 de AON confirma que los ciberataques y las filtraciones de datos ya son el principal riesgo empresarial del presente y del futuro inmediato. En América Latina, los incidentes crecieron en promedio un 25 % anual durante la última década y Colombia concentra el 8 % de los ataques de la región, solo por detrás de Brasil y México.
En ese contexto, los deepfakes (suplantación de identidad a través de videos) encontraron terreno fértil para expandirse. Los sectores más apetecidos por atacantes son los mismos que reportan mayor madurez digital: instituciones financieras, transporte y pymes. El volumen de transacciones los convierte en blancos atractivos.
El impacto de estas estafas no se limita a las pérdidas directas, “el efecto real está en la confianza”, dice Sabogal. Las consecuencias incluyen interrupciones operativas, sanciones regulatorias, demandas y afectaciones reputacionales que pueden traducirse en fuga de clientes y cancelación de contratos.
“Cuando una organización sospecha que fue víctima de un deepfake, cada minuto cuenta”, señala el especialista. Por eso recomienda actuar en tres frentes: contención, preservación de evidencia y activación de protocolos de notificación, lo que incluye suspender transacciones, bloquear accesos comprometidos y alertar a equipos financieros y legales.
Voces clonadas: de la ciencia ficción a la realidad
La clonación de voz con inteligencia artificial se consolidó como una de las modalidades de fraude con mayor crecimiento. Un informe del programa de Ingeniería de Sonido de la Universidad de San Buenaventura advierte que estas estafas crecieron 30 % en diciembre y entrega pautas prácticas para protegerse.
“La voz genera confianza inmediata y por eso es tan atractiva para los estafadores”, apunta Marcelo Herrera, docente de Ingeniería de Sonido de la USB en entrevista con EL COLOMBIANO.
Las cifras internacionales refuerzan esa alerta. El Fall 2025 Threat Report de Ironscales reveló que el 85 % de las empresas sufrió al menos un incidente con deepfakes en el último año. Gartner informó que el 62 % de las compañías enfrentó intentos similares y McAfee señaló que una de cada diez personas fue blanco directo de una estafa con voz clonada.
En Colombia ya hay datos preocupantes. A diciembre, la Policía Nacional reportó 64 denuncias por extorsión en Bolívar, de las cuales 24 están asociadas a modalidades digitales que incluyen voces clonadas. En ese mismo periodo, el GAULA registró 36 capturas relacionadas con estos casos. La Estrategia Nacional de Seguridad Digital advierte que el país concentró el 17 % de los intentos de afectación regionales en 2025.
¿Pero cómo actúan los estafadores? Comienzan con un mensaje corto que imita la voz de un familiar o un superior, usando fragmentos extraídos de redes sociales, estados de WhatsApp o grabaciones antiguas. Con apenas unos segundos de audio entrenan modelos capaces de replicar timbre y ritmo con mucha fidelidad.
“El delincuente sabe que el cerebro reacciona distinto cuando cree escuchar a alguien cercano en peligro; por eso construyen historias breves y presionadas”, explica Herrera.
Óscar Acosta, docente de Ingeniería de Sonido de esa misma institución, detalla por qué estas estafas se volvieron comunes. “Hoy día, es relativamente fácil hacerlo. En el caso del audio, con unos cuantos segundos que tengas de alguna grabación de la voz de una persona, lo puedes subir a portales web especializados donde se puede entrenar a una IA”.
El experto identifica señales básicas para detectar un audio falso: “Uno de los temas importantes para fijarse es cuando la llamada o grabación suena muy limpio, con poco ruido de fondo”. También menciona que “la voz suele parecer metálica y un poco robótica en sus respuestas. Es difícil plasmar sentimientos de emoción, alegría, tristeza”. A eso se suma “una pronunciación no natural”, otro síntoma de alerta.
Acosta subraya un factor cultural que amplifica el riesgo en Colombia. “Hoy día, con los teléfonos móviles, computadores y demás elementos electrónicos, estamos todo el tiempo generando datos, fotografías, documentos y, por supuesto, audios”. Por eso, llama la atención en que la nota de voz prácticamente reemplazó a la llamada telefónica, lo que sirve como base involuntaria para esos fraudes.
Compras que no se hicieron y líneas secuestradas
No todas las estafas llegan por correo o audio. ESET alertó sobre el aumento en Colombia del brushing, una modalidad en la que los consumidores reciben paquetes que no solicitaron. “Las estafas de brushing son un tipo de fraude en el comercio electrónico en el que un vendedor envía un paquete a la dirección de una persona aparentemente al azar”, comenta Martina López, investigadora especialista en Seguridad Informática de ESET Latinoamérica.
El objetivo no es regalar productos, es inflar reseñas y validar datos personales. “La preocupación por recibir productos gratis por correo recae en el posible hecho de ser el objetivo de una estafa de brushing, lo que podría indicar que hay datos personales que se están compartiendo en el mundo del ciberdelito”, advierte López. En versiones más peligrosas, los paquetes incluyen códigos QR que redirigen a sitios de phishing o malware.
En paralelo, el celular se consolidó como la principal llave digital. El despliegue de Bre-B, el sistema de pagos inmediatos en Colombia, reactivó un riesgo conocido en otros países: el fraude por SIM Swap. La técnica permite a delincuentes secuestrar líneas telefónicas y recibir códigos de verificación.
Fabio Assolini, director del Equipo Global de Investigación y Análisis de la firma rusa Kaspersky, fue víctima directa de este ataque, según detalló a este medio. “Hoy es algo ya conocido. El criminal activa tu número con otra SIM card y empieza a recibir todos tus SMS. Lo que le interesa no son las llamadas, sino los códigos”.
El problema se apoya en una debilidad estructural. “Los códigos OTP que llegan por SMS son inseguros, pero se siguen usando porque el SMS es barato y llega a cualquier dispositivo, incluso sin internet”, señaló Assolini. En América Latina, el ataque suele comenzar con sobornos a empleados de telecomunicaciones o con el compromiso de la infraestructura de las operadoras.
“El criminal registra el número en una cuenta controlada por una mula de lavado y confirma el cambio con el código recibido por SMS. Desde ahí, todos los pagos llegan al delincuente”. Para el especialista, eliminar el SMS como factor de autenticación sería la solución ideal, aunque reconoce las barreras. “Al final, no es culpa del usuario. La mayor responsabilidad recae en las operadoras”.
El valor de los datos
El objetivo final del fraude no siempre es inmediato. ESET advierte que la información personal se convirtió en uno de los botines más codiciados por organizaciones criminales. Una vez obtenida, se vende en foros clandestinos, se usa para suplantación de identidad, fraude financiero, phishing personalizado y extorsión.
La información permite crear perfiles falsos creíbles y presionar a las víctimas. En el ámbito empresarial, una contraseña robada puede abrir la puerta al espionaje y al sabotaje. Por eso, las recomendaciones insisten en reducir la exposición, activar autenticación multifactor y mantener dispositivos actualizados.
En el ecosistema móvil, el riesgo se amplifica. En ESET descubrieron que exploits antiguos y troyanos adaptados siguen dominando los robos en dispositivos Android en toda América Latina, una tendencia impulsada por sistemas desactualizados y canales de distribución inseguros. “Ese ecosistema facilita tanto la circulación de familias conocidas de virus como la aparición constante de variantes nuevas”, explica Martina López.
Entre las amenazas más comunes en Android, ESET identificó tres familias dominantes:
-Trojan.Android/Exploit.CVE-2012-6636, una vulnerabilidad que persiste incluso en dispositivos modernos cuando las aplicaciones usan WebView compilado con versiones previas a Android 4.2.
-Trojan.Android/Exploit.Lotoor, un conjunto de exploits de escalamiento de privilegios que reaparece dentro de herramientas maliciosas para desactivar protecciones y ejecutar código con permisos elevados.
-Trojan.Android/Pandora, una variante vinculada a Mirai que se distribuye principalmente a través de aplicaciones de streaming no oficiales y dispositivos Android TV, convirtiéndolos en parte de botnets para ataques distribuidos.
Según ESET, la vigencia de estas amenazas se explica por la combinación de dispositivos desactualizados e instalación de APK fuera de tiendas oficiales.
Al tiempo, las estafas telefónicas y digitales continúan evolucionando. Desarrolladores de la app Truecaller identifican modalidades frecuentes como la suplantación de identidad, los fraudes por inversiones falsas, el phishing y las llamadas con urgencia emocional. La recomendación central se repite: desconfiar, verificar y no actuar bajo presión.
Así, el mapa del fraude en Colombia parece cada vez más diverso y difícil de combatir pues no proviene de un solo frente. Correos falsos, audios clonados, paquetes inesperados y líneas secuestradas forman parte de una misma lógica que nos expone a todos como usuarios.
Regístrate al newsletter