Casos. El Banco Central reconoce el aumento de casos de vulneración de cuentas bancarias en el último año.
Modalidades. Phishing y estafas electrónicas lideran los casos, le siguen las vulneraciones en la banca móvil.

La Superintendencia de Bancos del Banco Central del Paraguay (BCP) emitió una serie de recomendaciones para que los usuarios reduzcan el riesgo de ser víctimas de fraudes electrónicos ante el aumento de los casos de vulneración de cuentas bancarias registrados en el último año.

Al respecto, el ente regulador señaló que realiza un seguimiento permanente de estos hechos a través de la “base de datos de eventos de pérdidas operativas”, donde los supervisores verifican los eventos materializados y reconocidos por las entidades financieras.

Asimismo, recordó que el BCP cuenta con una oficina de atención a usuarios financieros, encargada de recibir los reclamos de clientes cuyas gestiones ante las entidades financieras no fueron satisfactorias.

En ese sentido, indicó que en lo que respecta a reclamos por fraudes bancarios cuyas respuestas de las entidades financieras no satisficieron a los usuarios, entre enero y junio de 2026 el reporte de reclamos atendidos “fue mayor”. No obstante, la institución no dio a conocer la cantidad de casos registrados. La Superintendencia agregó que la modalidad de fraude más recurrente y principal foco de los reclamos es el phishing y las estafas electrónicas, seguidas de vulneraciones asociadas a la banca móvil (APP), tarjetas de crédito, cajas de ahorro y cuentas corrientes.

Recomendaciones para evitar fraudes. Para reducir drásticamente la exposición a fraudes financieros y ciberataques, instamos a la ciudadanía a adoptar un enfoque preventivo y de corresponsabilidad:

1. Activar la Autenticación de Múltiples Factores (MFA) y usar contraseñas robustas: El cuidado celoso de los accesos es la primera línea de defensa de todo usuario. Recomendamos utilizar contraseñas fuertes y habilitar siempre, de ser posible, la autenticación de doble factor o el uso de token digital.

2. Habilitar el doble factor de autenticación en canales personales (WhatsApp y correos): La ciberseguridad debe ser integral. Por ello, además de utilizar la autenticación de doble factor en las aplicaciones bancarias, se recomienda encarecidamente activar esta misma medida de seguridad (MFA/2FA) en aplicaciones de mensajería como WhatsApp y en los correos electrónicos personales. Los ciberdelincuentes frecuentemente vulneran estos canales para cometer suplantación de identidad o para interceptar los códigos de validación y enlaces de recuperación de contraseñas enviados por las entidades financieras.

3. Reconocer y evadir el phishing: Actualmente, el phishing y las estafas electrónicas son el principal vector de vulneración. Se recomienda a los usuarios evitar proporcionar datos personales o financieros ante cualquier solicitud inesperada, “pensar antes de hacer clic” en enlaces dudosos y operar siempre a través de un canal de información válido y oficial de la entidad.

4. No almacenar credenciales en el dispositivo: Se insta a los usuarios a nunca guardar claves de acceso, PIN transaccional o contraseñas en el bloc de notas, correos o chats del propio teléfono celular. En caso de robo del dispositivo, los delincuentes buscan esta información en primer lugar. Además, debido a que el uso de validación biométrica (huella o reconocimiento facial) vincula de manera directa y exclusiva la transacción al titular, el cuidado físico del teléfono y su bloqueo o reporte inmediato en caso de robo son indispensables para evitar que se fuercen estos controles de seguridad.

5. Evitar el almacenamiento de fotografías de tarjetas bancarias: Se insta a los usuarios a no tomar ni guardar fotografías (del anverso o reverso) de sus tarjetas de crédito o débito en la galería del teléfono, aplicaciones de mensajería o servicios en la nube. En caso de pérdida del dispositivo o si los delincuentes logran acceder al correo o teléfono (incluso sin vulnerar la aplicación bancaria), la sola obtención de estas imágenes les facilita los datos necesarios para cometer fraudes y realizar compras electrónicas no autorizadas.

6. Utilizar conexiones seguras y resguardar el dispositivo físico: Es indispensable utilizar dispositivos propios y confiables, y se recomienda enfáticamente no conectarse a redes wifi desconocidas o públicas para realizar transacciones financieras.

7. Mantener los dispositivos y sistemas actualizados: Los ciberdelincuentes aprovechan fallas en sistemas obsoletos. Por ello, es fundamental proteger los equipos manteniendo constantemente actualizados los sistemas operativos, los navegadores y las bases de datos de antivirus.

¿Qué hacer si una cuenta fue vulnerada?

En caso de que un usuario detecte que su cuenta fue vulnerada o sea víctima del robo de su teléfono celular, la Superintendencia señala que lo fundamental es comunicar y reportar de forma inmediata a su entidad financiera el robo o extravío del dispositivo.

Por otro lado, desde el punto de vista preventivo, una importante recomendación para reducir riesgos es resguardar de forma celosa la información de autenticación personal y el dispositivo de uso habitual, ya que estos factores vinculan legalmente las transacciones al cliente.

¿Cómo se determina la responsabilidad?

Cuando un cliente denuncia que le vaciaron la cuenta o le generaron un préstamo sin autorización, las entidades financieras aplican un procedimiento de investigación interna y revisión técnica. Para determinar la responsabilidad, se evalúan, entre otros, los siguientes factores:

–Si la transacción fue originada desde el dispositivo seguro y de uso habitual del propio cliente.

–Si se utilizaron las credenciales correctas y los factores de autenticación vinculados exclusivamente al usuario (como contraseñas, token digital o validación biométrica).

–Si el cliente comunicó u omitió reportar de manera oportuna el robo o extravío de su dispositivo.

Cuando las verificaciones técnicas confirman que la operación se realizó utilizando los factores de seguridad del propio cliente y sin vulneraciones en los sistemas del banco, la entidad determina que la transacción es válida.

La Superintendencia recordó además que las entidades financieras disponen de 15 días hábiles para recibir, analizar y responder los reclamos de los consumidores financieros. En casos excepcionales que requieran más tiempo, deberán comunicar al cliente la extensión del plazo por hasta 10 días hábiles adicionales, conforme a la normativa vigente.

Asimismo, durante el proceso de investigación de un presunto fraude electrónico, los derechos del cliente se encuentran amparados principalmente en la “Norma reglamentaria para la gestión de reclamos y consultas de las entidades sujetas a la Ley Nº 861/96 y a sus modificaciones” (Resolución N° 2, Acta N° 25 de fecha 20.05.21).

El usuario afectado tiene el pleno derecho de que su reclamo sea recibido, procesado y respondido formalmente por la entidad financiera.

Si el banco no responde al reclamo presentado dentro del plazo establecido o el cliente no está conforme con la respuesta recibida, puede acudir a la Oficina de Atención al Consumidor Financiero para que su caso sea revisado por el ente supervisor, en el ámbito de sus competencias.

De acuerdo con los datos del Banco Central, a junio de este año se tienen 15.257.427 de cuentas de depósitos a nivel país, sin discriminar por producto, es decir, incluyen cuenta al vista, ahorro programado, ahorro a largo plazo – CDA, cuentas básicas de ahorro y cuentas corrientes.

El BCP y los controles a las entidades financieras

La banca matriz comunicó que cuenta con diferentes normativas que regulan las cuestiones relacionadas con el riesgo operativo y tecnológico, entre las que se destacan: i) el Reglamento para la Gestión del Riesgo Operacional; ii) el Manual de Gobierno y Control de Tecnologías de Información (MGCTI); y iii) el Manual de Seguridad para las Entidades Financieras.

En términos técnicos, los bancos están obligados a implementar al menos: Gestión estricta de identidad, accesos, seguridad de redes y cifrado.

El controles preventivos, detectivos y correctivos actualizados constantemente contra virus, spyware, spam y correos de phishing. Ejecución periódica de pruebas de intrusión (penetration tests) a través de profesionales independientes y certificados para identificar vulnerabilidades ante posibles hackeos.

Revisiones externas periódicas por parte de auditores independientes para evaluar el entorno de control interno y los servicios tecnológicos.

La Superintendencia explicó que el dinamismo tecnológico impulsó una modernización de los sistemas de pago y una adopción masiva de medios digitales, como la banca móvil y los pagos mediante códigos QR. En paralelo, advirtió que los delincuentes también han adaptado sus modalidades de fraude, recurriendo a la suplantación de identidad, el robo de cuentas, los hackeos, las estafas en plataformas de compraventa y el uso ilícito de tarjetas, entre otros mecanismos.

Ante este escenario, el organismo indicó que mantiene un monitoreo continuo de los incidentes.

Como resultado de ese seguimiento, la institución emite y actualiza constantemente normativas, resoluciones y circulares para fomentar que las entidades implementen controles más robustos.

Para hacer frente a las nuevas amenazas, se han emitido normativas recientes. Además, el regulador adelantó que se encuentran en desarrollo proyectos enfocados en la autenticación biométrica o reforzada, sistemas de alertas inmediatas ante operaciones sospechosas y nuevos límites de seguridad para pagos QR.

UH