El fraude en la apertura de cuentas se produce cuando un delincuente consigue dar de alta una cuenta bancaria, de crédito, de telefonía o de juego online con una identidad robada, sintética o falsa. Es habitual atribuirlo a un fallo puntual del onboarding, como un documento falsificado que pasó inadvertido o una verificación demasiado permisiva, y esa explicación sirve para una parte de los casos.
Las identidades sintéticas bien construidas y los deepfakes inyectados en el flujo de captura plantean un problema distinto, porque están diseñados para superar cada comprobación de forma independiente. En esos casos, el documento, la biometría y la prueba de vida pueden dar cada uno un resultado correcto mientras el conjunto describe una identidad que nunca debió aprobarse.
No es un problema menor. En Reino Unido, Cifas, la organización sin ánimo de lucro que gestiona la base de datos de fraude que comparten bancos y empresas del país, registró en 2025 más de 242.000 casos de fraude de identidad, el 54% de todos los casos de riesgo de fraude, según su informe Fraudscape 2026. En Colombia, la Superintendencia de Industria y Comercio (SIC), la autoridad de protección al consumidor y de datos personales, recibió entre 2022 y mayo de 2026 casi 14.000 reclamaciones por suplantación de identidad a través de su plataforma de reclamaciones frente a proveedores, el 81% de ellas en el sector de las telecomunicaciones (SIC, 23 de junio de 2026).
Es la misma idea que desarrollé en los dos artículos sobre defensa contextualizada, aplicada esta vez al primer momento de la relación con el cliente. A partir de ahí, repaso cómo se abren hoy las cuentas fraudulentas, qué señales delatan al atacante durante el alta, qué acto de verificación frena cada método y por qué, en mi opinión, la verificación del alta tiene que poder repetirse más adelante.
¿Qué es el fraude en la apertura de cuentas?
El fraude en la apertura de cuentas es aquel en el que un delincuente consigue que una organización le abra un producto nuevo con una identidad que nunca debió aceptar. Ocurre siempre en el mismo momento, el alta del cliente, y por eso también se le llama fraude en el alta o fraude de solicitud. El objetivo suele ser obtener crédito, mover dinero de origen ilícito o usar la cuenta para cometer otros fraudes.
Conviene separar tres conceptos que en la práctica se usan casi como sinónimos:
- Robo de identidad: obtener los datos personales de alguien, por ejemplo tras una filtración o un phishing.
- Suplantación de identidad: usar esos datos para hacerse pasar por esa persona ante una entidad.
- Fraude en la apertura de cuentas: la suplantación, o una identidad inventada, aplicada a abrir una cuenta nueva.
Separarlos tiene consecuencias prácticas. Mientras alguien solo tiene los datos, todavía no hay pérdida; la pérdida empieza cuando esos datos sirven para abrir una cuenta, y por eso el alta es el punto donde cada control rinde más. Con las identidades sintéticas el problema se complica, porque puede que ni siquiera exista una víctima real que lo denuncie.
El tratamiento legal también cambia de un país a otro. En España, el artículo 401 del Código Penal castiga a quien «usurpare el estado civil de otro» (BOE, Código Penal), pero el Tribunal Supremo exige que el autor se apropie de derechos u obligaciones que solo corresponden a la persona suplantada y que la suplantación tenga cierta continuidad en el tiempo (STS de 15 de enero de 2025). Por eso, un alta fraudulenta puntual puede acabar persiguiéndose como estafa o falsedad documental. Colombia ha optado por una regulación específica. La Ley 2573 de 2026, promulgada el 19 de mayo, obliga a entidades financieras y crediticias, operadores de telecomunicaciones y establecimientos comerciales a adoptar medidas para proteger a las víctimas de suplantación. Su régimen general entra en vigor en noviembre, seis meses después de su promulgación, aunque algunas disposiciones rigen desde ese mismo día (Ley 2573 de 2026).
Los 4 métodos más habituales para abrir cuentas fraudulentas
El atacante no depende de un único método. Elige el que le permite superar los controles de cada entidad y lo cambia en cuanto encuentra resistencia, algo que vemos repetirse en mercados muy distintos. Estos son los cuatro más frecuentes, cada uno con el acto de verificación que lo frena.
1. Identidades robadas
El delincuente usa los datos reales de una persona, obtenidos en filtraciones, en la compraventa de datos o en campañas de phishing. En México, la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (CONDUSEF), el organismo público que protege a los usuarios de la banca, ha alertado del aumento de intentos de fraude por SMS, mensajería y enlaces falsos con los que se busca obtener información bancaria o cometer robo de identidad.
Como los datos pertenecen a alguien real, la solicitud supera con facilidad las comprobaciones básicas, y el caso suele descubrirse tarde, cuando la víctima recibe la reclamación de un producto que nunca contrató, como muestran algunos casos reales de robo de identidad que hemos recopilado.
En el alta, lo frena combinar la verificación biométrica entre el rostro de quien solicita la cuenta y la foto del documento con la comprobación de que el documento es auténtico, porque quien tiene datos robados puede presentar un documento falsificado con su propia cara
2. Identidades sintéticas
En este caso la identidad se fabrica combinando información real e inventada, por ejemplo un número de identificación válido con un nombre y una dirección que no corresponden a nadie. Como no tiene antecedentes negativos ni una víctima que pueda denunciar su uso, no activa las alertas tradicionales, y por eso el fraude de identidad sintética tiene una dinámica propia que merece un análisis aparte.
En el alta, lo frenan la verificación documental y biométrica y, donde existe, la validación contra registros oficiales, porque obligan a que el nombre, el número de identificación, el documento y el rostro cuadren entre sí y con una fuente fiable.
3. Documentos falsos o manipulados
El atacante presenta un DNI, un pasaporte, una credencial o una cédula alterados, falsificados o generados con IA. Cifas señala que la IA generativa está facilitando documentos falsos e identidades sintéticas cada vez más convincentes. La barrera sube cuando la verificación va más allá de la imagen del documento. Se comprueban sus elementos de seguridad y la zona de lectura mecánica (MRZ), las líneas de caracteres de la parte inferior que incluyen dígitos de control para detectar alteraciones. En los documentos electrónicos se lee también el chip NFC, que guarda los datos y la foto del titular firmados digitalmente por la autoridad que lo emitió. Esa firma hace que el contenido del chip sea mucho más difícil de falsificar que la impresión.
4. Deepfakes y ataques de inyección
Es el método más sofisticado y el que más seguimos de cerca en I+D, porque cambia la naturaleza del problema. En un ataque de presentación, el atacante pone algo delante de la cámara, ya sea una foto, una pantalla o una máscara. En un ataque de inyección, la cámara queda fuera del proceso. Mediante cámaras virtuales, emuladores o dispositivos manipulados, el atacante introduce un vídeo grabado o un deepfake directamente en el flujo de captura, y el sistema recibe una imagen impecable que nunca pasó por un sensor real.
Por eso el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST), cuyas guías de identidad digital son una referencia técnica en todo el sector, exige ya a los proveedores de identidad detectar cámaras virtuales, emuladores y dispositivos con el sistema operativo desbloqueado (NIST SP 800-63A-4). Es el mismo vector que hay detrás de buena parte de los deepfakes en la verificación de identidad.
En el alta, lo frenan la prueba de vida y la detección de ataques de inyección en el canal de captura.
Fraude en la apertura de cuentas vs. toma de control de cuentas
El fraude en la apertura de cuentas crea una cuenta fraudulenta desde cero, mientras que la toma de control secuestra una cuenta legítima que ya existe. Atacan momentos distintos de la relación con el cliente, y confundirlos lleva a reforzar el control equivocado. El Grupo de Acción Financiera Internacional (GAFI), el organismo que fija los estándares internacionales contra el blanqueo de capitales, lo explica en su guía sobre identidad digital de 2020. Según el GAFI, la verificación en el alta responde a la pregunta de quién es la persona, y la autenticación confirma después que quien accede es la misma persona que se verificó.
| Fraude en la apertura de cuentas | Toma de control de cuentas (account takeover) | |
|---|---|---|
| Qué ocurre | Se abre una cuenta nueva con una identidad robada, sintética o falsa | Se secuestra una cuenta legítima que ya existe |
| Cuándo | En el alta | Después del alta, en cualquier acceso u operación |
| Qué se explota | La verificación de identidad en el onboarding | La autenticación: contraseñas, ingeniería social, SIM swapping |
| Quién pierde | Sobre todo la entidad, y la persona suplantada en su historial | El cliente legítimo, cuyos fondos o crédito se vacían |
| Señal típica | Documento manipulado, selfie que no coincide, velocidad de solicitudes | Dispositivo desconocido, cambio de datos de contacto, comportamiento anómalo |
La verificación de identidad en el alta frena el primero. Frente al segundo intervienen la autenticación y la reverificación, pero también las señales de dispositivo y de comportamiento durante la sesión, porque en una toma de control las credenciales suelen ser correctas y lo que delata al atacante es cómo actúa. Cuando todas trabajan sobre la misma identidad y comparten sus evidencias, cada una hace más fiable a la otra.
Señales de alerta de una cuenta fraudulenta durante el alta
Ninguna señal de riesgo debería interpretarse de forma aislada, y en el alta esa idea resulta especialmente útil. Hay indicios que por sí solos tienen explicaciones legítimas, pero que merecen una segunda mirada:
- Datos que no cuadran: nombre, fecha de nacimiento, dirección o teléfono que no encajan con el documento, o una ubicación de red incoherente con el domicilio declarado.
- Anomalías en el documento: hologramas, tipografías o dígitos de control de la MRZ inconsistentes. La EBA pide expresamente «verificar los elementos de seguridad incorporados en el documento oficial» (EBA/GL/2022/15).
- Chip NFC ilegible en un documento que debería tenerlo.
- Selfie que no coincide con la foto del documento.
- Captura sin señales de vida, como una foto impresa, una pantalla o una máscara.
- Indicios de cámara virtual, emulador o dispositivo manipulado.
- Infraestructura reutilizada: el mismo dispositivo, IP o red detrás de muchas altas, o proxies que figuran en listas de bloqueo.
- Velocidad anómala: demasiadas solicitudes en muy poco tiempo.
Estas señales proceden de fuentes distintas. Unas salen de la verificación del documento y del rostro, y otras, como el dispositivo, la red o la velocidad de las solicitudes, del análisis de la sesión. Un cliente que cambia de móvil el mismo día del alta o que hace la solicitud desde otra ciudad no es sospechoso por ello. El patrón aparece cuando varias señales coinciden sobre la misma identidad, y es ahí donde tiene sentido pedir una comprobación adicional. Conviene recordar también que una identidad nueva no es necesariamente una identidad sospechosa; simplemente es una identidad sobre la que todavía se sabe poco.
Cómo frena la verificación de identidad el fraude en la apertura de cuentas
Detectar el fraude en el alta se reduce a tres preguntas: si el documento es auténtico, si quien lo presenta es su titular y si está realmente presente. Cada método de fraude ataca una de ellas, y cada una se responde con un acto de verificación concreto.
| Método de fraude | Acto de verificación que lo frena | Estándar o guía de referencia |
|---|---|---|
| Identidad robada | Verificación biométrica 1:1 entre el rostro y la foto del documento, junto con la verificación de autenticidad del documento | EBA/GL/2022/15 · ICAO 9303 |
| Identidad sintética | Verificación documental y biométrica y, donde existe, validación contra registros oficiales (INE/RENAPO en México, Registraduría en Colombia) | EBA/GL/2022/15 |
| Documento falso o manipulado | Verificación de elementos de seguridad y MRZ, con lectura del chip NFC | ICAO 9303 |
| Deepfake o ataque de inyección | Prueba de vida y detección de ataques de inyección en el canal de captura | ISO/IEC 30107-3 · CEN/TS 18099 · NIST SP 800-63A-4 |
Juntas, la verificación documental, la biométrica, la prueba de vida y la detección de ataques de inyección cierran las principales vías para abrir cuentas fraudulentas, aunque ninguna lo hace por sí sola.
El marco regulatorio empuja en la misma dirección en los mercados en los que trabajamos:
- Unión Europea: las directrices de la EBA sobre onboarding remoto, aplicables desde el 2 de octubre de 2023, exigen comprobar que la información visible de la persona coincide con la documentación aportada y, en el alta desatendida, «realizar verificaciones de detección de vida» (EBA/GL/2022/15).
- México: la Comisión Nacional Bancaria y de Valores (CNBV), el organismo que supervisa a la banca, regula la identificación no presencial de clientes, con requisitos que detallamos al hablar de cumplimiento AML e identidad digital en México.
- Colombia: la Ley 2573 establece que las entidades deberán entregar copia de la información y los documentos aportados en el alta cuando la presunta víctima lo pida, suspender el servicio obtenido de forma fraudulenta e investigar la posible responsabilidad de sus funcionarios (Ley 2573 de 2026).
Cada acto de verificación del alta deja además una evidencia: el documento verificado, el resultado del cotejo biométrico y de la prueba de vida, la fecha y la hora de cada comprobación. Esas evidencias permiten demostrar después cómo se aprobó una cuenta, algo que normas como la Ley 2573 empiezan a exigir, y pasan a formar parte del historial de la identidad para las comprobaciones siguientes.
Nada de esto tiene por qué convertir el alta en una carrera de obstáculos. La respuesta debería ser proporcional al riesgo, de modo que el cliente legítimo complete el alta sin pasos añadidos y solo se active un reto dinámico, una verificación adicional para obtener más evidencia antes de decidir, cuando las señales no encajan. Así funciona una buena detección del fraude en el onboarding.
¿Por qué la verificación no puede quedarse en el alta?
Durante años, la identidad se trató como un evento que se comprobaba una vez en el onboarding y se daba por buena a partir de ahí. Pensemos en un caso concreto. Una cuenta se abre con una identidad sintética bien construida, supera las comprobaciones del alta y pasa meses sin apenas actividad. Un día empieza a recibir transferencias de terceros y a reenviarlas en cuestión de horas. Para cuando ese patrón aparece, la verificación del alta ya ha cumplido su función y nadie vuelve a mirarla.
«El onboarding es el día uno. El fraude puede ocurrir cualquier otro día.»
Algunas cuentas abiertas con identidades sintéticas o robadas se usan después como cuentas mula, sin ninguna persona real detrás que las haya cedido, o en esquemas de bust-out, en los que el defraudador construye un historial limpio antes de agotar el crédito disponible.
Por eso la identidad verificada en el alta tiene que poder volver a comprobarse cuando cambia el contexto, con una reverificación cuando sube el riesgo, un reto dinámico ante una operación inusual o una autenticación biométrica antes de un movimiento sensible. Esa es la idea de identidad continua. La identidad no se verifica sin descanso; cada nueva comprobación se apoya en las evidencias acumuladas desde el primer día y las amplía.
Resumen para equipos de fraude y riesgo |
|
Preguntas frecuentes
Es el fraude en el que un delincuente abre una cuenta bancaria, de crédito, de telefonía o de juego online con una identidad robada, sintética o falsa. El objetivo suele ser obtener crédito, mover dinero de origen ilícito o usar la cuenta para cometer otros fraudes con una identidad que la organización nunca debió aceptar.
No exactamente. El robo de identidad consiste en obtener los datos personales de alguien, y el fraude en la apertura de cuentas consiste en usar datos robados o inventados para abrir una cuenta. Con las identidades sintéticas puede que ni siquiera exista una víctima real.
El fraude en la apertura de cuentas crea una cuenta fraudulenta desde cero, mientras que la toma de control secuestra una cuenta legítima que ya existe. El primero es un problema de aceptar una identidad falsa en el alta, y el segundo, de no confirmar después que quien opera sigue siendo el titular.
Sí. Los defraudadores usan rostros y vídeos generados con IA, a veces inyectados directamente en el flujo de captura mediante cámaras virtuales o emuladores, para superar la verificación con selfie. La prueba de vida y la detección de ataques de inyección están diseñadas para frenarlo en el alta.
Comprobando en el alta que el documento es auténtico, que quien lo presenta es su titular y que está realmente presente. Juntas, la verificación documental, la biométrica, la prueba de vida y la detección de ataques de inyección cierran las principales vías para abrir cuentas fraudulentas.
