Un neobanco europeo con presencia global, confirmó el 12 de septiembre que había entregado información personal de una parte de sus clientes a un tercero no autorizado. No fue un hackeo: la compañía atendió una petición de datos que llegó desde el dominio de correo de una agencia gubernamental y la respondió como si fuera auténtica, en lo que se conoce como un ataque BEC. Según ha trascendido, el ataque podría haberse originado en Italia, donde se habría usado infraestructura de las propias autoridades del país, aunque esto no está confirmado oficialmente.
Según la notificación remitida a los afectados, lo comprometido iba más allá de nombres y teléfonos. Incluía fecha de nacimiento, direcciones, copias de documentos de identidad como pasaportes y carnés de conducir, y en algunos casos selfies de verificación, extractos y el histórico de transacciones. La empresa calificó el alcance de «limitado», dijo haber avisado uno a uno a los clientes afectados y trasladó el incidente a la agencia suplantada, a las fuerzas de seguridad y a los reguladores. Sus sistemas y el dinero de los clientes no se vieron afectados.
Ese último dato tranquiliza y es cierto. Pero el problema de esta filtración no es el dinero que no se movió, sino las identidades filtradas.
BEC (Business Email Compromise): Una técnica que no es nueva
Este método lleva años funcionando, y no solo contra fintechs. En 2021 y 2022, Bloomberg y el investigador Brian Krebs documentaron cómo Apple, Meta y Discord entregaron datos de usuarios respondiendo a peticiones de emergencia falsificadas, enviadas desde cuentas de correo de cuerpos policiales previamente comprometidas. El esquema era el mismo de ahora: en vez de forzar el sistema, se logra que alguien de dentro abra la puerta.
Las cifras oficiales colocan este fraude en el centro del problema. El informe anual de 2025 del IC3, el centro de denuncias de delitos en internet del FBI, atribuye cerca del 85% de las pérdidas a fraudes que explotan la confianza humana y no a fallos técnicos. La suplantación de organismos públicos, la categoría exacta de este caso, movió 797,9 millones de dólares, el doble que el año anterior.
Según el informe de INTERPOL sobre tendencias del fraude financiero, se sitúa el compromiso de correo corporativo (BEC) en el primer puesto de las cinco tipologías de fraude que identifica como predominantes a nivel global. Lo describe como uno de los tipos de fraude más extendidos y costosos, con pérdidas de mayor valor concentradas en Norteamérica y Europa, donde el volumen de transacciones corporativas es más alto.
El mecanismo no exige romper ningún sistema, basta con que alguien dentro de la organización crea que el mensaje es legítimo. Es ingeniería social pura, y hoy es una de varias puertas de entrada al mismo problema. Los datos de una organización también pueden salir por canales que nadie supervisa, como el uso no autorizado de herramientas de IA.
Los datos filtrados, una vez fuera, quedan disponibles de forma indefinida para el siguiente intento de fraude: aperturas de cuenta con identidades sintéticas, apropiación de cuentas ajenas, ataques de inyección que introducen vídeo manipulado en los procesos de verificación o deepfakes.
Ese fraude no tiene por qué dirigirse contra quien sufrió la filtración original, sino que se expande y va contra la siguiente entidad ante la que se presenten ese documento y ese rostro, que puede ser cualquier banco o entidad en cualquier país. Por eso una filtración de identidad no se cierra con las notificaciones a los afectados: reparte material reutilizable por todo el sistema financiero, y el riesgo se traslada a instituciones que no tuvieron nada que ver con el incidente original.
¿Qué pasa ahora con esos datos?
Para el resto del sector, el caso deja dos frentes distintos. Uno son los procesos internos: verificar cualquier petición de datos por un canal alternativo y no fiarse del remitente, por legítimo que parezca. El otro, el que aquí interesa, es qué hacer para que esos datos, una vez en circulación, no le sirvan al atacante en el siguiente control.
Ahí es donde entra la identidad continua. Un documento auténtico y una foto real de su titular pueden estar en manos ajenas, y en ese caso comprobar una sola vez que «el documento coincide con el selfie» ya no dice mucho, porque el atacante puede presentar exactamente eso: piezas robadas que encajan entre sí. Verificar deja de ser un trámite puntual al inicio de la relación y pasa a ser un proceso que se repite en cada interacción relevante, comprobando en cada una si hay una persona viva y presente, y no un documento y una cara ya comprometidos por otro incidente.
La referencia técnica para medir esa resistencia es la norma ISO/IEC 30107-3, que evalúa la capacidad de un sistema biométrico frente a ataques de presentación (fotos, vídeos o máscaras), certificada por iBeta, laboratorio acreditado por el NIST. A esa capa, Facephi añade la detección de ataques de inyección, dirigida al fraude que ya no se presenta ante la cámara, sino que se introduce directamente en el flujo de datos.
Ninguna de estas defensas habría impedido que alguien respondiera al correo, porque el fallo estuvo en los procesos, no en la verificación. Pero la lección que el sector puede aplicar mañana es otra. La identidad hay que verificarla dando por hecho que el documento y la cara del usuario ya pueden estar comprometidos y circulando. En 2026, es la hipótesis más prudente.
