Última actualización: octubre de 2026

La prevención del fraude mediante pagos push autorizados parte de una realidad incómoda: el cliente legítimo envía el dinero desde su propio dispositivo y con sus credenciales habituales. La autenticación no puede frenar un pago que el propio titular está realizando. Lo que sí puede lograrlo es la combinación del contexto de la transacción, indicios de coacción durante la sesión, el riesgo asociado al nuevo destinatario y a la cuenta receptora, y una intervención diseñada para los pocos segundos que deja un pago en tiempo real. El objetivo realista no es una garantía total, sino intervenir a tiempo; además, en EE. UU., la pérdida suele recaer en el cliente.

En resumen

• En el fraude mediante pagos push autorizados (APP), un estafador manipula al cliente para que realice la transferencia él mismo. El pago está autorizado, pero motivado por el engaño.

• Las contraseñas, los códigos de un solo uso y las verificaciones adicionales no lo detienen, ya que el cliente, guiado por el estafador, completa cada paso.

• La detección combina distintas señales: un nuevo destinatario, el primer uso de un canal de pago, un importe o ritmo inusuales, indicios de acceso remoto o manipulación en la sesión, y el perfil de riesgo de la cuenta receptora.

• La intervención debe producirse antes de que salgan los fondos: advertencias específicas, preguntas contextuales que se adaptan a las respuestas, retenciones y llamadas salientes. Aun así, algunos clientes insistirán en enviar el dinero.

• En EE. UU., la definición de transferencia no autorizada de la Regulación E exige que la inicie un tercero ajeno al consumidor, y ninguna norma de la CFPB cubre los pagos inducidos por engaño. En cambio, el Reino Unido exige el reembolso obligatorio desde octubre de 2024.

¿Qué es el fraude mediante pagos push autorizados?

El fraude mediante pagos push autorizados (APP) es una estafa en la que un delincuente manipula a un cliente para que transfiera dinero desde su propia cuenta hacia una controlada por el estafador. El cliente inicia y aprueba la operación, por lo que está autorizada, pero la decisión fue fruto del engaño. Esto diferencia al fraude APP de la apropiación indebida de cuentas, donde un tercero inicia el pago.

El ScamClassifier de la Reserva Federal, cuya definición de estafa se publicó en 2023, la describe como «el uso del engaño o la manipulación con el fin de obtener un beneficio económico». Para un equipo antifraude, la diferencia práctica radica en quién pulsó el botón de envío. En una apropiación de cuenta, el delincuente actúa solo usando accesos robados, lo que exige controles distintos, descritos en prevención de apropiación indebida de cuentas. En una estafa APP, el delincuente actúa a través de la propia víctima.

Modalidades comunes de fraude APP

• Suplantación de identidad. El estafador afirma pertenecer al equipo de seguridad del banco, a un organismo oficial o a la policía, e insta al cliente a mover sus ahorros a una «cuenta segura». Los equipos de fraude reportan casos de clientes que vacían sus cuentas creyendo colaborar con las autoridades.

• Estafas de inversión. Se muestran ganancias ficticias a la víctima para que siga enviando fondos. Las alertas actuales de la FinCEN catalogan una variante de estas como estafas de inversión en activos digitales.

• Estafas sentimentales. Se construye una relación de confianza durante semanas o meses antes de solicitar dinero por primera vez.

• Desvío de facturas y nóminas. El compromiso del correo electrónico corporativo altera el destino de un pago habitual, a menudo sin variar el importe, evitando que salten las alertas basadas en montos.

• Falso soporte técnico. Se convence a la víctima de instalar software de acceso remoto; a partir de ahí, el estafador transfiere el dinero directamente o la guía paso a paso para que lo haga.

Por qué la autenticación no basta para detenerlo

La autenticación solo responde a una pregunta: ¿es este el cliente legítimo? En el fraude APP, la respuesta es sí. El responsable de riesgo operativo y fraude de un banco digital describió estas estafas como el escenario más complejo justo por eso: el usuario hace todo por su cuenta, envía el dinero al estafador y lo pierde.

La autenticación reforzada falla por la misma razón. Un director de analítica y operaciones de fraude de un banco digital señaló que, en gran parte de los casos, «las verificaciones adicionales las supera el propio cliente porque la mayor parte del tiempo lo están guiando por teléfono», algo muy común con personas mayores. El estafador permanece en la línea e instruye cada acción.

Los controles de registro inicial tampoco son suficientes. Un responsable de operaciones de fraude en una gestora digital de patrimonio explicó que hay clientes que presentan un comportamiento totalmente normal al abrir la cuenta, y solo tiempo después empiezan a operar bajo la influencia de un tercero o ceden el control de su acceso.

Una transferencia aislada suele parecer ordinaria. Un responsable de prevención de blanqueo de capitales de una firma de inversión apuntó que la mejor forma de detectar una estafa es «probablemente a partir de la segunda o tercera transacción», ya que un primer pago «no resulta sospechoso por sí solo». Por ello, la detección pasa de centrarse en la identidad a enfocarse en el contexto: ¿es coherente este pago, a este destinatario y en este momento, con el historial del cliente? ¿Hay algo en la sesión que sugiera que otra persona está dirigiendo la operación?

La magnitud del problema

Los consumidores reportaron a la Comisión Federal de Comercio (FTC) pérdidas por fraude de 15 900 millones de dólares en 2025, frente a los 12 500 millones de 2024. Las estafas de inversión representaron unos 7 900 millones de dólares del total de 2025, y las transferencias y pagos bancarios volvieron a ser el método con mayores pérdidas registradas. El Centro de Denuncias de Delitos en Internet (IC3) del FBI registró 8 650 millones de dólares en pérdidas reportadas por fraude en inversiones en 2025, una de sus dos principales categorías junto con el compromiso del correo electrónico corporativo.

Ambas cifras reflejan lo reportado por las víctimas, no el total real defraudado.

La alerta de la FinCEN de septiembre de 2026 sobre centros de estafas solicita a las entidades incluir el término clave FIN-2026-SCAMCENTERS en sus reportes de actividad sospechosa, y utiliza la denominación de estafa de inversión en activos digitales en lugar de «pig butchering». La alerta de la FinCEN de 2023 sobre este tipo de fraudes y su advertencia de 2022 sobre la explotación financiera de personas mayores siguen vigentes.

Señales para distinguir la coacción del comportamiento habitual

Ningún indicador aislado confirma una estafa. Los clientes añaden destinatarios nuevos y realizan pagos elevados todos los días por motivos legítimos. Lo revelador es la combinación de señales, contrastada con el historial del propio usuario.

Una operación que active dos o tres de estas señales amerita una intervención. Si solo activa una, rara vez es necesario intervenir.

Acceso remoto y manipulación durante la sesión

El acceso remoto pone la sesión del cliente en manos del estafador. Un analista sénior de fraude en una firma de corretaje relató el caso de una usuaria que cedió control remoto: los fondos salieron a lo largo de varios meses, primero hacia sus cuentas en otros bancos y luego hacia una cuenta del propio estafador. La clienta no dio la alarma hasta que su cuenta quedó en cero.

Algunas entidades aplican fricción preventiva a los pagos iniciados mientras el cliente mantiene una llamada telefónica activa, ya que las víctimas suelen estar en comunicación directa con el estafador durante la operación. El modo de recopilar y gestionar estos datos de dispositivos y comportamiento se detalla en nuestra guía sobre inteligencia de dispositivos y biometría del comportamiento.

Pondere las señales de sesión con cautela. La vacilación, la lentitud al escribir o una navegación poco habitual también son comunes en usuarios de edad avanzada o con menos soltura digital que no están sufriendo ningún ataque. Crúcelas con el contexto del pago y del destinatario antes de introducir fricción, y mida con qué frecuencia cada regla frena a clientes legítimos.

La perspectiva de la entidad receptora

La entidad receptora observa la otra mitad del fraude. Un responsable de cumplimiento normativo (BSA/AML) en una cooperativa de crédito describió el patrón típico en pagos inmediatos: ingresa el dinero, se accede a la cuenta en línea desde fuera de la huella digital habitual del socio y los fondos se retiran al instante. Dos dispositivos conectados a la misma cuenta de forma simultánea pueden delatar una cuenta mula o accesos cedidos a terceros. Si desea saber qué exigir a una plataforma para este fin, consulte nuestra guía sobre detección de cuentas mula.

Intervenir en los segundos previos a la salida del dinero

La detección solo es útil si se produce antes de que se liquide la transferencia. En un pago inmediato hablamos de cuestión de segundos; en transferencias por lotes (como ACH), del siguiente cierre de procesamiento. Un director de cumplimiento y riesgos de un banco comunitario señaló que la alerta no tiene que ser instantánea, siempre que llegue antes de que el dinero salga de la entidad, para que el personal «pueda llamar al cliente y preguntarle si realmente desea enviar esos fondos».

El motor de decisiones debe operar dentro de ese margen de tiempo. La plataforma de Oscilar responde en menos de 100 milisegundos, permitiendo validar la transacción antes de autorizar su salida en lugar de hacerlo a posteriori. Dado que cada canal de pago opera a un ritmo distinto (las transferencias bancarias y la banca en línea son casi en tiempo real, mientras que ACH funciona por lotes), los requisitos varían según el entorno; consulte los requisitos de plataformas de prevención de fraude en tiempo real.

Medidas de intervención: de menor a mayor intensidad

1. Advertencia específica. Identifique la modalidad concreta que sugieren las alertas (por ejemplo, alguien que afirma ser del equipo de seguridad del banco) y aclare con firmeza que la entidad jamás solicita mover dinero para protegerlo.

2. Preguntas en el flujo de la operación. La responsable de prevención de estafas a mayores en una entidad bancaria describió el uso de cuestionarios instantáneos al ordenar el pago, cuyas preguntas varían dinámicamente según las respuestas. Esto aporta contexto al analista y da al cliente un momento para reflexionar.

3. Retención o período de reflexión. Pause temporalmente la operación para revisarla o limite el importe del primer envío a un nuevo destinatario hasta confirmarlo debidamente.

4. Llamada saliente. Un gestor especializado se comunica con el cliente para verificar la identidad del destinatario y el motivo del pago.

5. Rechazo y reporte. Ante evidencias claras, bloquee la operación, derívela a un equipo especializado y emita un reporte de actividad sospechosa si corresponde.

Incluso una buena intervención puede ser desoída. El director de banca digital citado anteriormente señaló que, al preguntar por el beneficiario, los clientes afirman con frecuencia conocerlo y confiar en él, insistiendo en transferir el dinero. En una cooperativa de crédito, un responsable de fraude y cumplimiento afirmó que el equipo «prácticamente tiene que luchar con los socios para hacerles ver que no pueden seguir adelante, porque están entregando su dinero a delincuentes y se niegan a creerlo».

Errores comunes al diseñar intervenciones

• Avisos genéricos. Los mensajes que aparecen en cada transacción acaban ignorándose. Adapte el texto a la estafa concreta que sugieren las señales de riesgo.

• Fricción innecesaria ante cualquier nuevo destinatario. Los usuarios se acostumbran a omitir los controles y el aviso verdaderamente importante pasa inadvertido.

• Analizar solo el pago y no la sesión. El importe y destino pueden parecer normales mientras que la interacción web o móvil evidencia manipulación externa.

• Controles desiguales entre canales. Si un método de pago tiene menos filtros que otros, los estafadores redirigirán a sus víctimas hacia él.

• Ausencia de trazabilidad. Sin un registro detallado de las advertencias mostradas, las respuestas obtenidas y las llamadas realizadas, la entidad no podrá demostrar su debida diligencia.

Quién asume las pérdidas

En EE. UU., el quebranto económico de una estafa APP suele asumirlo el cliente. La Regulación E define una transferencia electrónica no autorizada como aquella «iniciada por una persona distinta del consumidor sin autoridad efectiva para llevarla a cabo y de la cual el consumidor no obtiene ningún beneficio». En una estafa APP, es el propio consumidor quien la inicia. No hay ninguna norma de la CFPB que regule los pagos inducidos mediante engaño, y una demanda presentada por esta agencia en diciembre de 2024 contra una red de pagos y tres bancos fue desestimada en marzo de 2025 sin pronunciarse sobre la cobertura de la Regulación E.

La red ACH cuenta con una definición propia y más estricta. Desde el 1 de octubre de 2024, las normas de Nacha definen la falsedad intencionada («False Pretenses») como «la inducción al pago por parte de una persona que falsea (a) su identidad, (b) su vinculación o autorización para actuar en nombre de un tercero, o (c) la titularidad de la cuenta que se va a acreditar». Esta redacción abarca la suplantación de identidad, el compromiso de correos corporativos y el desvío de nóminas o facturas, pero excluye las estafas sentimentales o de inversión. Los requisitos de monitorización obligatorios para las entidades participantes se detallan en nuestra guía sobre las normas de fraude de NACHA para 2026.

El Reino Unido ha seguido otro camino: el reembolso obligatorio a las víctimas de estafas APP rige desde el 7 de octubre de 2024, con un límite de 85 000 libras por reclamación. En EE. UU. no existe ninguna exigencia semejante.

Aun así, las instituciones financieras estadounidenses toman medidas. Un responsable de fraude de la citada cooperativa de crédito destacó que actuar no implica asumir todas las pérdidas de los socios, pero sí «demostrar que hemos hecho nuestra debida diligencia y puesto todo el esfuerzo necesario», entre otras cosas para evitar que un familiar argumente que el banco disponía de datos y no intervino. El director de banco digital mencionado antes admitió que, en ocasiones, asumen los reembolsos por riesgo reputacional. Por su parte, los organismos reguladores ya tratan las estafas como fraude en pagos: en junio de 2025, la Reserva Federal, la FDIC y la OCC publicaron una consulta conjunta en la que definieron el fraude en pagos incluyendo explícitamente estas estafas en cheques, ACH, transferencias tradicionales y pagos inmediatos.

Preguntas frecuentes

Si en las estafas APP es el propio cliente quien autoriza el pago, ¿cómo puede frenarlo un sistema?

Ninguna plataforma puede frenar todas las estafas APP, pero sí puede interrumpir muchas antes de que el dinero salga. La clave está en no fijarse únicamente en quién paga, sino en el contexto: destinatarios nuevos, canales o importes inusuales, indicios de control remoto o manipulación en la sesión y el perfil de la cuenta de destino. Cuando varias de estas señales coinciden, la entidad puede pausar la operación y contactar al cliente.

¿Cubre la Regulación E el fraude mediante pagos push autorizados?

Las protecciones de la Regulación E frente a transferencias no autorizadas están pensadas para transacciones iniciadas por un tercero ajeno al consumidor; en una estafa APP, es el propio usuario quien la ordena. Ninguna norma de la CFPB ampara los pagos inducidos por engaño, y el sobreseimiento de la demanda de la CFPB en 2025 dejó el asunto sin resolución judicial. La aplicación concreta de la norma debe ser evaluada por asesores jurídicos.

¿Qué puede hacer la entidad receptora frente a las cuentas mula?

La entidad de destino puede supervisar los fondos que entran y salen casi al instante, en especial en transferencias inmediatas, así como accesos desde dispositivos o ubicaciones ajenos al historial habitual de la cuenta. Las cuentas recién abiertas o inactivas que reciben abonos elevados de golpe requieren una revisión exhaustiva. Asimismo, las entidades pueden cruzar datos sobre cuentas sospechosas mediante el programa 314(b) de la FinCEN.

¿Debe un banco bloquear un pago si el cliente insiste en realizarlo?

En ocasiones sí, aunque rara vez como primera opción. El protocolo habitual consiste en advertir, formular preguntas, retener el importe o llamar al cliente, registrando cada paso. Si existen indicios sólidos de estafa y el usuario insiste, puede justificarse una retención mayor, el rechazo de la orden o su derivación a especialistas, evaluando la emisión de un reporte de actividad sospechosa. La actuación definitiva dependerá de las condiciones del contrato de la cuenta y del criterio legal de la entidad.

El papel de Oscilar

Oscilar es una plataforma unificada que reúne estructura de datos en tiempo real, inteligencia de dispositivos y comportamiento, motores de reglas y gestión de casos en un único entorno, potenciado por agentes de IA nativos. En el ámbito del fraude APP, esto permite a los equipos combinar el contexto de la transacción y del destinatario con señales biométricas y del dispositivo en sus reglas, gestionando los casos resultantes en un solo lugar.

Para descubrir cómo funciona frente a estos casos, consulte nuestra sección sobre prevención de estafas de Oscilar.