PhaaS, Pix, señuelos de autoridad y NFC con IA: cuatro hipótesis de fraude para 2027

Cómo leer y revisar estos escenarios

Cada escenario distingue una hipótesis, los supuestos que necesita y la observación que permitiría evaluarlo. El horizonte es 2027; las fuentes describen períodos anteriores. No se asignan cifras de pérdidas, víctimas ni crecimiento que no estén medidas en un documento identificable.

La selección de informes depende de la visibilidad del investigador y de lo que publican los proveedores. Un aumento de fichas puede significar mejor cobertura, no más ataques. La metodología del Atlas y la cobertura por país explican por qué el corpus no sirve como censo regional.

La confianza se mantiene como juicio del autor: media en los dos primeros escenarios, baja a media en el tercero y baja en el cuarto. Estas etiquetas no equivalen a porcentajes. Una revisión sin nuevos documentos puede reducir el respaldo disponible; no demuestra por sí sola que la hipótesis sea falsa.

Horizonte 1: plataformas sobre binarios

Hipótesis. Una parte creciente del fraude observado por equipos de seguridad llegará mediante plataformas de phishing y kits modulares, y no solamente por troyanos clásicos. Depende de que sus canales de distribución y su economía sigan siendo viables.

Evidencia. Group-IB registra más de 350 dominios para el conjunto de campañas Aclaraciones Banciaras y Balonx, no exclusivamente para un producto. La revisión de Netcraft sobre Haozi describe una billetera de servicios publicitarios e intermediación con más de USD 280.000 recibidos; no son pérdidas bancarias de LATAM.

Señal. Registrar casos sin muestra de malware pero con un panel, plantilla o kit identificado. Para evaluar una participación creciente hace falta mantener una clasificación comparable de incidentes, no contar artículos o dominios como si fueran fraudes independientes.

Criterio de refutación. La hipótesis perdería respaldo —y debería considerarse refutada para el corpus comparable— si informes de 2027 con cobertura y denominadores equivalentes siguen atribuyendo la mayoría del fraude observado a troyanos tradicionales y no muestran un aumento relativo de PhaaS o kits modulares. Publicaciones aisladas o cambios en la cobertura no bastan para ese contraste. La lectura de Balonx y BREEZE COMET distingue además clientes e infraestructura institucional.

Horizonte 2: Pix y Android

Hipótesis. Los pagos móviles y Android seguirán atrayendo herramientas de fraude. El supuesto es la continuidad de la adopción y de las oportunidades de abuso; no que todo pago digital esté comprometido.

El Relatório de Gestão do Pix 2023–2025 indica, en la página 14, casi 80.000 millones de transacciones durante 2025. Es actividad de pagos, no fraude. El artículo conserva 31 familias Android en el corte posterior del Atlas y 28 en el del 17 de septiembre de 2026: son conteos documentales distintos de las transacciones.

Señal. Nuevas fuentes con comportamiento de transferencia automatizada, abuso de aplicaciones o suplantación bancaria bien descritos. El nombre «Pix» en una familia no acredita por sí solo todas esas capacidades. El análisis Android/Pix permite revisar los mecanismos sin sumar sus cifras como infecciones.

Condición de revisión. Cambios verificables en adopción, distribución o controles pueden debilitar el supuesto. El tamaño de un dataset de malware no cuantifica la probabilidad de que ocurra fraude en una transacción.

Horizonte 3: la confianza como superficie

Hipótesis. Los mensajes que aparentan provenir de una autoridad, un empleador o un comercio seguirán siendo relevantes junto con los que imitan bancos. El supuesto es que trámites, beneficios y relaciones comerciales mantengan su valor como señuelos.

El material original cita campañas de Grandoreiro con identidad de SAT, CFE, AFIP y SARS, y casos de Blind Eagle con referencias judiciales colombianas. Son antecedentes, no una afirmación de actividad actual de cada señuelo. La revisión de troyanos Windows separa familias, operadores y períodos de sus fuentes.

Señal. Conservar el primer contacto de una campaña, no sólo el formulario final. Un mensaje inicial que no nombre un banco puede conducir a robo de credenciales o a otra etapa; el recorrido necesita evidencia.

Condición de revisión. Observar si los casos nuevos, bajo un criterio comparable, dejan de usar estos señuelos. La confianza baja a media reconoce la dispersión de los antecedentes; no la convierte en una predicción sobre todos los países.

Horizonte 4: NFC e IA en desarrollos locales

Hipótesis bajo revisión. Vigilar la expansión de herramientas de relay NFC con desarrollo asistido por IA. No sería correcto anunciar como inédita toda convergencia: Cleafy, en mayo de 2026, ya describe indicios compatibles con asistencia de IA en DevilNFC y NFCMultiPay. Son indicios del proveedor, no una atribución propia.

El informe del Banco Central, página 6, sitúa la incorporación de Pix por aproximación al reglamento en junio de 2025. Ese producto de pagos y un relay de tarjetas NFC no son automáticamente el mismo mecanismo ni la prueba de un incidente contra Pix.

PromptSpy y el vishing automatizado de Balonx se conservan como comparaciones en sus artículos específicos. No demuestran que un único operador integre todas esas capacidades. La confianza original permanece baja: falta delimitar qué expansión, mecanismo y mercado se pretende anticipar.

Señal. Un informe primario que identifique medio de pago, país, período, mecanismo de relay y fundamento de cualquier afirmación sobre IA. Una mención amplia a LATAM o a código asistido no sustituye esos elementos.

Condición de revisión. La falta de ese documento significa falta de corroboración en el conjunto revisado, no refutación de la posibilidad. Antes de publicar una nueva versión de la hipótesis, corresponde aprobar su alcance; no recalcular su confianza por intuición.

Qué debe contener la próxima revisión

Registrar la fuente nueva, el supuesto que modifica y qué observación añade. Distinguir confirmación parcial, evidencia contradictoria y ausencia documental. Una misma fuente repetida en varios sitios no aporta varias corroboraciones independientes.

Las cuatro hipótesis siguen siendo herramientas de vigilancia, no hallazgos operativos ni pronósticos probabilísticos. No se añade una tasa regional de fraude ni se anuncia una campaña nueva a partir de este ejercicio.