La arquitectura del eCrime financiero en LATAM: límites de los modelos defensivos tradicionales

AUDIENCIA · CISOs, Directores de Riesgo, Heads of Fraud y tomadores de decisión tecnológica en la banca y fintech de LATAM.

Resumen ejecutivo

Mi tesis es concreta: en los casos documentados aquí, una defensa centrada principalmente en el acceso inicial deja preguntas críticas sin responder cuando el riesgo continúa en la sesión, en las identidades que habilitan procesos institucionales y en el receptor o movimiento posterior de los fondos.

No sostengo que la autenticación, el perímetro, el EDR, el WAF o los motores antifraude hayan dejado de servir. Tampoco afirmo que toda la banca latinoamericana comparta las mismas brechas. Sostengo algo más acotado: las fuentes revisadas muestran límites de cobertura cuando controles útiles se observan de forma aislada y la decisión de confianza termina en el login o en la autorización inicial de una operación.

Las tres dimensiones de este whitepaper —sesión, identidad y movimiento de fondos— son un marco de análisis que propongo a partir de evidencia distinta. No constituyen una cadena operacional única demostrada ni prueban que un mismo actor haya recorrido las tres.

1. Sesión: autenticarse no agota la decisión de confianza

Group-IB documentó el 25 de agosto de 2026 a Balonx Sistema, una plataforma PhaaS dirigida a instituciones financieras mexicanas. La investigación describe una conexión WebSocket persistente entre la página de phishing y el panel del operador, interacción bidireccional en tiempo real, captura de la información introducida por la víctima y cambios dinámicos de pantalla. Cuando la víctima entrega sus credenciales, el operador puede retransmitirlas al portal legítimo, recibir la solicitud de MFA y mostrar una pantalla para capturar el OTP antes de que expire. Group-IB, Balonx Sistema, 25-08-2026

La fuente describe esa arquitectura como control de sesiones en tiempo real y como una operación man-in-the-middle. Eso no demuestra que Balonx utilice necesariamente un proxy inverso ni que robe cookies de sesión en todos sus flujos. Lo que tomo como demostrado para este análisis es el mecanismo que Group-IB expone: WebSocket persistente, interacción en tiempo real, captura de credenciales/OTP y manipulación dinámica de la experiencia de la víctima. El caso documentado se circunscribe a México; no lo uso para afirmar presencia o ausencia de este mecanismo en otros países de LATAM. Group-IB, sección “Mecánica del ataque”

NIST SP 800-63B-4 establece en §3.2.5 que los autenticadores que requieren introducir manualmente una salida —como OTP u otros mecanismos fuera de banda— no se consideran resistentes al phishing porque esa salida no queda vinculada criptográficamente a la sesión específica que se autentica. NIST reconoce mecanismos criptográficos con channel binding o verifier-name binding como formas de resistencia al phishing. Ese alcance es autenticación: no implica por sí mismo autorización de pagos, detección de fraude transaccional ni inmunidad frente a todo robo de sesión. NIST SP 800-63B-4, §3.2.5

Mi conclusión para esta dimensión: la arquitectura defensiva necesita poder relacionar autenticación, continuidad de sesión, dispositivo y operación. El login exitoso es una señal importante, no una garantía suficiente sobre todo lo que ocurre después.

2. Identidad e infraestructura institucional

La segunda dimensión aparece cuando el riesgo deja de estar limitado al dispositivo o a las credenciales del cliente y alcanza los accesos que permiten operar entornos financieros.

CrowdStrike describe públicamente a SLIM SPIDER como un adversario eCrime que ha atacado instituciones financieras brasileñas desde al menos marzo de 2026 y que demuestra conocimiento operativo de infraestructura financiera de Brasil, incluido Pix, plataformas de activos digitales y entornos cloud de entidades financieras. Ese perfil público no demuestra por sí solo el mecanismo concreto de compromiso de identidades privilegiadas ni los detalles finos de intrusión que no estén expuestos en la fuente pública utilizada aquí. CrowdStrike, Slim Spider Adversary Profile

Por separado, el CrowdStrike 2026 Threat Hunting Report refleja investigaciones activas realizadas entre el 1 de julio de 2025 y el 30 de junio de 2026 y describe, a escala global, el abuso de flujos de autenticación legítimos para convertir una identidad comprometida en acceso rápido a SaaS y cloud. No atribuyo ese patrón global a SLIM SPIDER; lo uso como evidencia separada de que una identidad autenticada puede convertirse en una ruta de acceso a entornos institucionales. CrowdStrike, 2026 Threat Hunting Report

Mi conclusión para esta dimensión: una estrategia de defensa financiera no debería limitar su pregunta a “¿está protegido el dispositivo del cliente?”. También necesita saber qué identidades humanas y no humanas pueden acceder a procesos financieros críticos, con qué privilegios, qué secretos o credenciales las habilitan y qué señales permiten detectar abuso de esos accesos.

3. Receptor y movimiento de fondos: la transacción no termina en el emisor

La tercera dimensión no comienza necesariamente después de que el dinero sale. El riesgo del receptor puede evaluarse antes de una transferencia y el movimiento posterior puede aportar señales adicionales una vez iniciada. Por eso trato beneficiario y movimiento de fondos como una misma superficie de análisis, no como una cronología inevitable.

BioCatch publicó en abril de 2026 resultados basados en datos de 36 instituciones financieras latinoamericanas que, en conjunto, atienden a más de 300 millones de clientes. En esa muestra, los intentos de fraude que utilizan herramientas de acceso remoto aumentaron más de cinco veces en el último año y las cuentas mula reportadas aumentaron un 42% a nivel regional. Son datos propietarios de clientes de BioCatch; no constituyen un censo de todas las instituciones, usuarios o fraudes de América Latina. BioCatch, Tendencias de Fraude Bancario Digital en Latinoamérica 2026

Para entender por qué el tiempo puede importar en la capa receptora, utilizo una referencia fuera de LATAM con alcance explícito. RUSI publicó Following the Fraud: The Role of Money Mules, basado entre otras fuentes en datos transaccionales aportados por Lloyds Bank sobre cuentas mula conocidas en el Reino Unido. En esa muestra, cerca del 28% del valor recibido salió en los primeros 15 minutos; un 25% adicional salió dentro de la primera hora y menos del 15% permanecía después de 24 horas. El propio alcance de la fuente obliga a leer estas cifras como evidencia de una muestra británica de una sola institución, no como métricas LATAM ni como umbrales universales. RUSI, Following the Fraud: The Role of Money Mules

Mi conclusión para esta dimensión: además de evaluar al ordenante, conviene poder analizar al beneficiario, sus relaciones y la secuencia temporal de movimientos. Ninguna de esas señales, por sí sola, demuestra que una persona sea una mula o que una operación sea fraudulenta.

4. Qué límite encuentro en los modelos defensivos tradicionales

Los casos anteriores no demuestran el fracaso de toda una clase de controles. A partir de estos casos, propongo evaluar qué zonas pueden quedar sin cubrir cuando los controles se consideran de forma aislada.

Balonx documenta una operación capaz de trabajar dentro del flujo de autenticación e interacción con la víctima. NIST explica por qué la introducción manual de OTP no ofrece resistencia criptográfica al phishing. El perfil público de SLIM SPIDER establece un caso de eCrime centrado en instituciones financieras brasileñas y sus entornos financieros/cloud. El Threat Hunting Report de CrowdStrike documenta, de forma global y separada, abuso de identidades autenticadas hacia SaaS/cloud. BioCatch aporta señales regionales de su propia base de clientes sobre acceso remoto y cuentas mula. RUSI aporta evidencia británica de una sola institución sobre velocidad de dispersión desde cuentas mula conocidas. Group-IB · NIST · CrowdStrike SLIM SPIDER · CrowdStrike 2026 Threat Hunting Report · BioCatch · RUSI

De esa evidencia no derivo una “cadena común” demostrada. Derivo una síntesis defensiva propia: una entidad debería poder responder, por separado y en conjunto, tres preguntas:

1. Sesión: ¿qué evidencia permite saber que la sesión sigue siendo confiable después de la autenticación?
2. Identidad: ¿qué personas, cuentas, servicios o secretos pueden operar procesos financieros críticos y con qué privilegios?
3. Receptor y fondos: ¿qué riesgo presenta el beneficiario y qué ocurre con el dinero una vez iniciada la operación?

Ese es el sentido del marco sesión, identidad y movimiento de fondos. No describe una secuencia obligatoria del adversario; describe tres superficies que no deberían quedar desconectadas en la defensa.

5. Gobierno y presupuesto: convertir la tesis en preguntas medibles

No propongo porcentajes universales de presupuesto. No tengo una muestra que permita sostener que todas las instituciones deban invertir la misma proporción en cada capacidad.

Propongo, en cambio, que cada entidad contraste su inversión actual con preguntas medibles sobre su propia operación:

Sesión. ¿Qué porcentaje de operaciones de alto riesgo puede relacionarse con autenticación, dispositivo, continuidad de sesión y cambios de contexto? ¿Qué señales existen después del login y quién puede actuar sobre ellas?

Identidad. ¿Qué cuentas humanas y no humanas tienen acceso a procesos financieros críticos? ¿Qué privilegios conservan, durante cuánto tiempo y con qué mecanismos de revisión, rotación y trazabilidad?

Receptor y fondos. ¿Qué información existe sobre el beneficiario antes de autorizar una transferencia? ¿Puede la institución relacionar cuentas receptoras, recurrencia, velocidad de dispersión y señales compartidas con otras áreas o entidades cuando la regulación lo permite?

Inteligencia. ¿Qué decisión concreta respalda cada feed, informe o IOC? ¿Qué período y población cubre? ¿Qué parte se confirma con telemetría propia y qué incertidumbre permanece?

Mi recomendación presupuestaria, por lo tanto, no es “mover X% del perímetro hacia otra herramienta”. Es detectar dónde termina hoy la visibilidad de la organización y financiar las brechas que la evidencia propia demuestre, sin retirar controles que sigan aportando valor.

6. Conclusión

Mi tesis no es que los modelos defensivos tradicionales hayan dejado de funcionar. Es que su alcance resulta insuficiente cuando la confianza se evalúa en un único punto y el resto de la operación queda fragmentado entre equipos y controles.

En las fuentes documentadas aquí, el problema aparece en dimensiones distintas: Balonx trabaja sobre la interacción de autenticación; SLIM SPIDER sitúa eCrime sobre infraestructura financiera brasileña y entornos cloud; el Threat Hunting Report de CrowdStrike demuestra de forma global y separada el abuso de identidades autenticadas hacia SaaS/cloud; BioCatch documenta, dentro de su propia muestra latinoamericana, señales relacionadas con acceso remoto y cuentas mula; y RUSI aporta evidencia británica sobre la rapidez con que fondos abandonaron cuentas mula conocidas en una muestra de Lloyds Bank.

Esas fuentes no prueban un único actor, una única campaña ni una única cadena de ataque. La integración entre sesión, identidad y movimiento de fondos es mi propuesta de análisis defensivo, construida a partir de problemas que hoy suelen quedar separados entre ciberseguridad, identidad, fraude, AML, riesgo y operaciones.

El acceso inicial sigue siendo importante. La tesis de este whitepaper es que la decisión defensiva no debería terminar allí.

Fuentes

• Group-IB — Balonx Sistema: El Rostro Detrás del PhaaS que Impacta la Banca Mexicana — 25-08-2026 — https://www.group-ib.com/blog/balonx-sistema-mexico-phaas-es/
• NIST — SP 800-63B-4: Digital Identity Guidelines: Authentication and Authenticator Management — final 31-07-2025 — https://pages.nist.gov/800-63-4/sp800-63b.html
• CrowdStrike — Slim Spider Adversary Profile — https://www.crowdstrike.com/en-us/adversaries/slim-spider/
• CrowdStrike — 2026 Threat Hunting Report — período de investigación 01-07-2025 a 30-06-2026 — https://www.crowdstrike.com/en-us/resources/reports/threat-hunting-report/
• BioCatch — Tendencias de Fraude Bancario Digital en Latinoamérica 2026 — 2026 — https://www.biocatch.com/report-2026-digital-banking-fraud-trends-in-latin-america-es
• RUSI — Kathryn Westmore y Allison Owen, Following the Fraud: The Role of Money Mules — web 14-08-2025; PDF julio de 2025 — https://www.rusi.org/explore-our-research/publications/emerging-insights/following-fraud-role-money-mules