Troyanos bancarios en Latinoamérica: la carrera por el control del dinero digital

En los últimos tres años, Latinoamérica se consolidó como uno de los epicentros globales del ciberdelito financiero. El crecimiento de las fintech, la masificación de la banca en línea y la adopción acelerada de pagos digitales crearon una infraestructura tan vibrante como vulnerable. Los troyanos bancarios —esa categoría de malware diseñada para robar credenciales, manipular transacciones y vaciar cuentas en segundos— encontraron en este escenario un caldo de cultivo inmejorable.

Los datos son contundentes. Entre 2023 y 2025, los incidentes de ciberseguridad crecieron en promedio un 25% anual en la región, el ritmo más alto del planeta. Los ataques de malware financiero se duplicaron en un año, alcanzando cifras que superaron el millón de intentos bloqueados solo en el sector corporativo. Mientras tanto, el 92% de las nuevas cuentas bancarias se abrieron en línea, ampliando de manera exponencial la superficie de ataque. La paradoja es evidente: la inclusión financiera, motor del progreso, se convirtió también en una puerta abierta para los actores criminales.

En este ecosistema, los troyanos bancarios no son reliquias de una era anterior. Lejos de quedar relegados por el ransomware o los infostealers, se han reinventado con técnicas avanzadas, modelos de negocio industrializados y un alcance geográfico global. Y, sobre todo, se han diversificado: de los clásicos programas escritos en Delphi que operaban en computadoras Windows, pasamos a sofisticados troyanos móviles que convierten cualquier smartphone en una marioneta bajo control remoto.

El legado brasileño: de laboratorio criminal a exportación global

Brasil no solo es víctima recurrente de troyanos bancarios. También es su mayor exportador. Familias como Grandoreiro, Mekotio, Guildma y Casbaneiro nacieron en su ecosistema clandestino, alimentadas por un mercado interno gigantesco y una cultura temprana de banca digital. Con los años, estas piezas de software malicioso migraron a otros países de la región y luego al mundo.

Grandoreiro es quizá el ejemplo más claro de esta ambición. Escrito en Delphi, funciona bajo un modelo de malware como servicio, lo que permite a diferentes afiliados alquilarlo para campañas específicas. Sus desarrolladores incorporaron innovaciones como el binary padding (inflar archivos con datos falsos para confundir al antivirus) y algoritmos de generación de dominios (DGA, sistemas automáticos que crean miles de direcciones web para dificultar bloqueos). Incluso han suplantado controladores legítimos de fabricantes como ASUS o AMD, firmando el malware con certificados robados para darle apariencia de legitimidad.

En 2024, una operación conjunta de Interpol, Brasil y España logró arrestar a varios de sus operadores clave. Sin embargo, el resultado ilustra el llamado “efecto hidra”: cortar una cabeza no mata al monstruo, lo fragmenta. Tras los arrestos, el código de Grandoreiro se bifurcó en nuevas variantes, algunas más rudimentarias y otras más sofisticadas, que continuaron operando a escala global. El resultado es una amenaza resiliente, distribuida y difícil de erradicar.

Mekotio, por su parte, se especializa en ventanas emergentes falsas que imitan a la perfección los portales de bancos latinoamericanos. Su cadena de infección multiplica etapas con ZIPs, instaladores MSI y DLLs inyectadas en memoria. Además, ejecuta un reconocimiento previo del sistema infectado para identificar si hay soluciones antifraude instaladas, adaptando su estrategia en consecuencia. El detalle no es menor: revela una lógica empresarial en la que el malware “elige” si vale la pena arriesgarse con un objetivo en función de sus defensas.

La generación emergente confirma que la innovación criminal no descansa. CHAVECLOAK abusa del side-loading de DLLs (cargar librerías maliciosas usando un programa legítimo); Red Mongoose Daemon ataca directamente el sistema de pagos instantáneos PIX en Brasil mediante superposiciones en tiempo real; y Coyote explota un framework legítimo de instalación de software llamado Squirrel (empleado por muchas aplicaciones para autoinstalarse y actualizarse) para camuflarse. La sofisticación técnica es proporcional a la especialización: ya no se trata de troyanos genéricos, sino de herramientas hechas a medida para explotar las particularidades de la infraestructura financiera regional.

El frente móvil: la “mano fantasma” y el nuevo corazón del fraude

Si el escritorio sigue siendo un campo de batalla, el móvil se ha convertido en la verdadera primera línea. Entre 2023 y 2024, los ataques de troyanos bancarios en smartphones se triplicaron. La cifra es tan brutal como inevitable: el 79% de los fraudes financieros ya se originan en canales móviles, donde los usuarios gestionan cuentas, pagan servicios, validan operaciones y guardan tokens de autenticación.

Zanubis es el emblema de esta transición. Descubierto en Perú en 2022, evolucionó hacia un troyano de acceso remoto tan completo que se ganó el apodo de “mano fantasma”. Al obtener permisos de accesibilidad en Android (funciones diseñadas para ayudar a personas con discapacidad pero que también permiten al software controlar toda la interfaz), sus operadores logran literalmente controlar el dispositivo como si lo tuvieran en sus manos. Pueden abrir apps bancarias, revisar saldos, iniciar transferencias, interceptar códigos SMS y confirmar operaciones en segundos. Todo ocurre en el dispositivo legítimo del cliente, por lo que biometría y multifactor se vuelven irrelevantes.

El truco es simple en apariencia pero devastador en consecuencias: convencer al usuario de activar permisos de accesibilidad bajo la excusa de “funciones de seguridad” o “optimización”. Una vez concedidos, el malware tiene acceso total. El fraude ya no depende de robar contraseñas; se trata de usarlas en tiempo real, desde el mismo entorno de confianza que el banco reconoce.

La sofisticación no termina allí. Zanubis emplea ofuscadores avanzados como Obfuscapk (herramientas que modifican el código para hacerlo más difícil de analizar), se comunica con sus servidores mediante WebSockets (canales de conexión persistente en tiempo real) para mantener persistencia y ha reducido su lista de objetivos a un conjunto selecto de bancos peruanos, concentrando esfuerzos en instituciones de mayor valor. La especialización es estrategia pura: menos blancos, mayor tasa de éxito.

El resto del ecosistema móvil no se queda atrás. Anubis, de código abierto, circula en cientos de variantes adaptadas por distintos grupos criminales. ToxicPanda intercepta contraseñas de un solo uso en Europa y América Latina. Y en Brasil proliferan troyanos como PixStealer y BrasDex, diseñados para interceptar transferencias PIX de manera automática. El patrón es claro: cada innovación financiera trae aparejada su némesis digital.

El engranaje invisible: mulas, blanqueo y la economía sumergida del fraude

El malware es apenas la primera mitad de la ecuación. La otra, menos visible pero igualmente crítica, es la monetización. Los grupos criminales detrás de los troyanos bancarios no transfieren el dinero robado directamente a sus cuentas. Sería suicida. En su lugar, dependen de redes de “mulas” reclutadas para recibir los fondos y moverlos a través de múltiples capas.

Las tácticas de reclutamiento son un catálogo del ingenio criminal: falsas ofertas de empleo en redes sociales, estafas románticas que apelan a la confianza emocional, identidades robadas para abrir cuentas bancarias desechables. En México, el uso de cuentas mula se multiplicó por 4.5 en cinco años. En Brasil, operadores de Grandoreiro ofrecían pagos diarios de hasta 500 dólares a quienes prestaran sus cuentas para dispersar transferencias.

Esta infraestructura paralela convierte los fraudes digitales en dinero real. Al fragmentar y redistribuir montos, evitan activar alarmas en sistemas antifraude bancarios. El dinero, una vez blanqueado, termina en manos de los operadores del malware o de organizaciones criminales más amplias que lo canalizan hacia drogas, armas o corrupción. En ese sentido, cada ataque no es un evento aislado, sino una pieza de una economía ilícita transnacional que erosiona la confianza en el sistema financiero.

Impacto económico y presión regulatoria

Los casos recientes ilustran la magnitud de la amenaza. En marzo de 2024, Banco do Brasil sufrió un ataque que combinó malware con complicidad interna, resultando en el robo de datos de más de dos millones de clientes y pérdidas por 40 millones de reales. En octubre, Interbank en Perú enfrentó una filtración de tres millones de registros y un intento de extorsión por cuatro millones de dólares. Y en México, la cadena Coppel vio paralizadas sus 1.800 tiendas tras un ransomware vinculado a un grupo con nexos con troyanos bancarios, acumulando pérdidas de 15 millones de dólares.

El costo regional del cibercrimen financiero se estima en 90.000 millones de dólares anuales. A nivel micro, los fraudes afectan con especial dureza a las pequeñas y medianas empresas, que carecen de músculo financiero para absorber pérdidas. En México, se calcula que el impacto anual oscila entre 25.000 y 35.000 millones de pesos en este segmento.

La respuesta institucional ha sido incrementar la inversión en ciberseguridad. Colombia casi duplicó su presupuesto en un año, destinando más de un billón de pesos al refuerzo de sistemas antifraude, inteligencia artificial aplicada a transacciones y defensa contra DDoS. Los bancos incorporan cada vez más modelos de machine learning (algoritmos que aprenden patrones de fraude con datos históricos) capaces de analizar millones de operaciones en tiempo real y detectar desviaciones mínimas en patrones de usuario. Sin embargo, esta carrera armamentista tecnológica no es lineal: cada avance defensivo genera, casi de inmediato, un contraataque adaptativo desde el lado criminal.

La inteligencia artificial: entre la alquimia del fraude y el escudo predictivo

La irrupción de la inteligencia artificial transformó la guerra financiera en una contienda de algoritmos. Para los actores criminales, los modelos generativos son fábricas de credibilidad: correos de phishing redactados sin la más mínima falta, deepfakes (audios o videos falsos generados con IA) capaces de imitar a un gerente de riesgos, e incluso videos sintéticos donde un supuesto ejecutivo pide “validar una transacción urgente”. Ya no hablamos de campañas de phishing amateur, sino de verdaderos teatros digitales diseñados para manipular emociones con precisión milimétrica.

Los bancos, por su parte, desplegaron la IA en sentido contrario: motores de detección que analizan millones de transacciones en milisegundos, sistemas capaces de correlacionar la geolocalización de un usuario con sus patrones históricos y bloquear una operación antes de que llegue a completarse. La IA antifraude se nutre de señales invisibles para el ojo humano: velocidad de tecleo, cadencia en el uso de apps, frecuencia de acceso a cajeros automáticos. En conjunto, construye un perfil conductual tan único como una huella digital.

El problema es que ambos bandos aprenden del mismo juego. Cada vez que un sistema de defensa mejora, los criminales entrenan sus modelos con datos de campañas previas para afinar sus simulaciones. Surge así una carrera sin meta clara: ¿quién entrenará modelos con más volumen, mejor calidad y menos sesgos? Los bancos poseen datos masivos y legítimos, pero están sujetos a regulaciones estrictas sobre privacidad y retención. Los criminales carecen de esas limitaciones, lo que les da un terreno de experimentación sin frenos.

Lo que se perfila es un escenario de “IA contra IA” donde los resultados ya no se deciden únicamente en los firewalls o en el código, sino en la calidad de los datasets (conjuntos de datos para entrenar modelos) y en la velocidad de iteración. La guerra del dinero digital dejó de ser un asunto de software contra software; es un enfrentamiento de inteligencias adaptativas que buscan modelar, predecir y manipular el comportamiento humano en tiempo real.

Estrategias de defensa: blindaje multicapa en un terreno movedizo

La resiliencia ante troyanos bancarios no puede reducirse a manuales de buenas prácticas ni a soluciones aisladas. Se construye como una arquitectura multicapa en la que la tecnología, los procesos y la cultura se entrelazan.

En el nivel institucional, la autenticación multifactor dejó de ser ventaja competitiva: es apenas la base mínima. Los bancos más avanzados han comenzado a integrar SDKs de seguridad (kits de desarrollo que añaden funciones prearmadas) en sus aplicaciones móviles que detectan, por ejemplo, si el dispositivo ha sido rooteado o si una app sospechosa ejecuta superposiciones sobre la pantalla. El cifrado ya no es solo de datos en tránsito, sino de extremo a extremo, incluyendo almacenamiento en caché y respaldos. Y los centros de operaciones bancarios están hibridando la vigilancia tradicional con threat hunting (búsqueda proactiva de amenazas) específico para troyanos latinoamericanos, rastreando campañas por su infraestructura en la nube y patrones de tráfico.

Pero las defensas tecnológicas deben complementarse con cooperación. La operación que desmanteló parte de la red de Grandoreiro en 2024 fue posible gracias a un engranaje transnacional de policías, fiscales, bancos y proveedores de seguridad. Sin esa coordinación, el malware habría seguido migrando de país en país. Aquí, la lección es clara: el aislamiento nacional o institucional es una condena a la vulnerabilidad.

En el plano individual, la narrativa de “higiene digital” requiere actualización. No basta con recomendar desconfianza ante enlaces y adjuntos: es necesario educar en la lógica detrás de los ataques. El usuario que entiende por qué un troyano solicita permisos de accesibilidad en Android o por qué un correo factura en ZIP es sospechoso, tiene más probabilidades de frenar el ataque. La alfabetización digital del siglo XXI no es solo saber usar aplicaciones, sino entender cómo pueden manipularnos.

Lo que viene: predicciones hacia 2026 en la anatomía del fraude

Los próximos dos años anticipan un salto cualitativo en la operación de los troyanos bancarios. En móviles, veremos la integración de técnicas como la retransmisión de NFC (un protocolo de comunicación inalámbrica de corto alcance usado para pagos sin contacto), donde un malware puede capturar pagos contactless en tránsito y redirigirlos en segundos. El crecimiento del ecosistema de billeteras digitales abre otro frente: malware diseñado para secuestrar monederos electrónicos y manipular criptotransacciones en tiempo real.

En paralelo, la cadena de suministro será un blanco predilecto. Los criminales saben que un proveedor de software financiero que da servicio a 20 bancos regionales es un punto de apalancamiento más eficiente que atacar a cada institución por separado. Infiltrar una actualización de software puede entregar el caballo de Troya directamente dentro de los sistemas bancarios, sin necesidad de convencer a un usuario final.

Las categorías también comenzarán a disolverse. Ransomware con módulos bancarios ya está en pruebas, y algunos troyanos han empezado a incluir rutinas de extorsión: no solo roban credenciales, sino que amenazan con exponer registros financieros si no se paga. La frontera entre el robo directo y la extorsión reputacional se desdibujará, generando un híbrido mucho más dañino.

Todo apunta a que 2026 será recordado como el año en que el fraude digital dejó de ser periférico y se convirtió en un riesgo central de estabilidad financiera. La pregunta no es si los troyanos bancarios desaparecerán —no lo harán—, sino cómo evolucionará la capacidad de anticipar, absorber impactos y recuperarse en un ecosistema donde el equilibrio entre innovación financiera y seguridad sigue estando peligrosamente inclinado hacia lo primero.