¿Están realmente protegidas las aplicaciones bancarias frente a nuevas técnicas de fraude?

Los ataques contra los servicios financieros digitales están evolucionando más allá del robo de contraseñas y los mensajes fraudulentos. Ahora, los ciberdelincuentes también pueden intentar intervenir directamente las aplicaciones bancarias, modificar su funcionamiento y comprometer información sensible sin que los usuarios identifiquen fácilmente las alteraciones. Esta modalidad plantea nuevos desafíos para las instituciones que dependen de los canales móviles para realizar transacciones.

(M&T)-. La utilización de técnicas de ingeniería inversa y manipulación de software representa un riesgo para la seguridad de las plataformas bancarias. A diferencia de los fraudes tradicionales, que suelen recurrir al engaño de los clientes, estos métodos buscan examinar el funcionamiento interno de las aplicaciones para identificar debilidades y evadir determinados mecanismos de protección.

Mario Barrera, director comercial de Nubatech, empresa especializada en seguridad digital, explicó que los controles de acceso convencionales, como la autenticación de dos factores y el reconocimiento biométrico, continúan siendo importantes, pero no son suficientes para identificar todas las posibles alteraciones del software.

Esta preocupación también se relaciona con los riesgos identificados por OWASP (Open Worldwide Application Security Project), organización que incluyó las fallas de integridad del software y los datos entre las categorías de vulnerabilidades de su listado Top 10 de 2025 para aplicaciones web. Estas debilidades pueden afectar la confiabilidad del código, los procesos de actualización y la información procesada por los sistemas.

Cómo pueden intervenir las aplicaciones bancarias

Una de las características de estas amenazas es el posible uso indebido de herramientas desarrolladas originalmente para tareas legítimas de programación y análisis de software. Entre ellas se encuentran Frida, Objection, Xposed y LSPosed, utilizadas para examinar el comportamiento de las aplicaciones y realizar pruebas técnicas.

Aunque estas tecnologías tienen aplicaciones válidas en el desarrollo y la investigación de seguridad, también pueden ser aprovechadas por atacantes para modificar procesos internos, intentar superar controles de protección o introducir código malicioso en determinados entornos.

Según Barrera, las intervenciones pueden orientarse al robo de credenciales, la alteración de funciones relacionadas con transacciones y pagos automáticos, así como a la distribución de versiones modificadas de aplicaciones que aparentan pertenecer a instituciones financieras legítimas.

Esta última modalidad representa un riesgo adicional porque los usuarios podrían instalar una aplicación aparentemente oficial sin advertir que su código ha sido modificado. En consecuencia, las amenazas no se limitan al momento de iniciar sesión, sino que pueden extenderse a distintas operaciones realizadas desde el dispositivo.

La situación también evidencia la necesidad de diferenciar entre la seguridad de las credenciales y la integridad de las aplicaciones. Una cuenta protegida mediante biometría no garantiza, por sí sola, que el software utilizado para acceder a ella esté libre de manipulaciones.

Protección en tiempo real, una prioridad para la banca

Frente a estas amenazas, los especialistas plantean la necesidad de incorporar múltiples capas de seguridad que funcionen mientras las aplicaciones están en ejecución. Entre las medidas se encuentran los controles de integridad del código, el almacenamiento seguro de claves y los mecanismos destinados a identificar modificaciones no autorizadas.

También destacan las tecnologías anti-debug, que permiten detectar determinados intentos de analizar una aplicación mediante herramientas de depuración, y las soluciones anti-tampering, diseñadas para identificar alteraciones en el software.

Otra alternativa es la implementación de herramientas de autoprotección de aplicaciones en tiempo de ejecución, conocidas como RASP (Runtime Application Self-Protection). Estas tecnologías pueden reconocer ciertos comportamientos sospechosos y activar respuestas de seguridad mientras el sistema está funcionando.

De acuerdo con Nubatech, incorporar capacidades de monitoreo, generación de alertas y bloqueo de actividades sospechosas en tiempo real puede facilitar la reacción de los equipos de ciberseguridad ante posibles intervenciones. Estas medidas también pueden aportar información útil para investigaciones posteriores a un incidente.

Sin embargo, la adopción de estas herramientas debe integrarse en una estrategia de ciberseguridad más amplia, que contemple la protección de datos, la evaluación continua de vulnerabilidades y la seguridad durante todo el ciclo de desarrollo de las aplicaciones.

La expansión de los servicios bancarios digitales exige que las instituciones revisen constantemente sus mecanismos de defensa. Proteger las cuentas de los clientes sigue siendo fundamental, pero también resulta necesario garantizar que las aplicaciones utilizadas para administrar su dinero mantengan su integridad frente a intentos de manipulación.

Escuche el podcast: Hackearon mi cuenta: ¿Qué hacer en los primeros 15 minutos?