Kaspersky bloqueó 2,12 millones de intentos de infección con troyanos bancarios en América Latina entre septiembre de 2025 y septiembre de 2026, un 7% más que el año anterior.
El dato importa menos por el volumen que por el cambio de blanco: los atacantes están pasando de las cuentas de usuarios a las API que conectan bancos, comercios y fintechs.
El Panorama de Amenazas de Kaspersky cubre doce meses y equivale a 5.800 intentos por día o cuatro por minuto. Brasil concentra 1,7 millones; México suma 189.000, Colombia 40.000, Argentina 23.000, Ecuador 16.000 y Perú 13.000. Panamá, Chile, Guatemala, República Dominicana, Costa Rica y El Salvador completan la lista con cifras menores.
Del usuario a la infraestructura del banco
El troyano clásico llegaba como una factura falsa, superponía pantallas sobre la banca en línea y robaba contraseñas. La versión que describe Kaspersky apunta más arriba: conexiones corporativas, sistemas internos de bancos, corredoras y fintechs, y sobre todo las API bancarias.
Esas API son los puentes que conectan una app de comercio o un sistema de pagos con el núcleo del banco.
Si el atacante compromete ese puente, no necesita engañar a un usuario. Puede desviar fondos en minutos, antes de que la institución detecte el patrón. BNamericas recoge la misma tendencia: el foco pasó del cuentahabiente a la infraestructura financiera.
Las cifras que muestran la escala
La Operación Pane Seca, desarticulada por la Policía Federal de Brasil, dejó pérdidas superiores a 227 millones de reales. Un fraude contra sistemas de pago Pix desvió 100 millones de reales; la mayor parte se recuperó.
El troyano Maverick registró más de 62.000 intentos bloqueados en octubre de 2025, propagándose por WhatsApp Web para infectar computadoras de empleados.
Brasil no solo recibe ataques: los produce. Seis de las ocho principales familias de troyanos de la región son de origen brasileño y ya llegaron a Europa. ChePro concentra 40,39% de los bloqueos en el país, seguido por BestaFera (10,75%) y Agent (9,65%). Casi todas las variantes están diseñadas para Windows, el sistema dominante en entornos corporativos.
Qué deben revisar los bancos
- Controles en las API: autenticación fuerte, límites de velocidad y monitoreo de comportamiento por cliente, no solo por IP.
- Segmentación: aislar los sistemas críticos de las computadoras de uso diario y de los accesos remotos.
- Inteligencia de amenazas local: las familias cambian por país; un IOC global no siempre detecta ChePro o Maverick.
- Pruebas de respuesta: simular un desvío de fondos y medir cuánto tarda el equipo en bloquearlo.
Qué puedes hacer como usuario
La capa humana sigue importando. Activa autenticación de dos factores con app o llave física, no solo SMS.
Desconfía de comprobantes de pago y facturas que llegan por WhatsApp o correo, incluso si el remitente parece conocido. Mantén el sistema actualizado y revisa los permisos de las aplicaciones bancarias.
El informe previo de Kaspersky sobre México ya mostraba cómo la IA acelera la producción de campañas. La novedad no es que haya más malware: es que el objetivo dejó de ser tu contraseña y pasó a ser la conexión entre tu banco y el resto del sistema financiero.
¿Tu banco puede detectar un desvío en minutos o solo cuando cierra el día?
Más en: Ciberseguridad
