El Black Friday se celebra este año el 27 de noviembre y el Cyber Monday, el 30 de noviembre. Sin embargo, para un equipo de prevención del fraude, esas dos fechas son solo el punto álgido de un periodo mucho más largo. Las promociones comienzan a finales de octubre y se prolongan hasta principios de diciembre, y cada semana trae consigo más inicios de sesión, más nuevos beneficiarios y más alertas.
Además, no existe un único calendario. Europa, Sudáfrica y Brasil siguen las fechas de Estados Unidos. México tiene su propio evento, El Buen Fin, que se celebra del viernes 13 al martes 17 de noviembre. Y la concentración de las ventas es significativa: en Sudáfrica, noviembre representó el 45,9 % del total de las ventas minoristas de noviembre y diciembre de 2025, según Stats SA, frente al 44,6 % de 2023.
Las vulnerabilidades ocultas de las cuentas de confianza
El fraude no siempre se origina en cuentas recién creadas o en transacciones sospechosas realizadas por primera vez. Por ejemplo, una cuenta inactiva que vuelve a utilizarse repentinamente durante el Black Friday podría pertenecer a un cliente que estaba esperando una oferta concreta. Pero también podría tratarse de una cuenta a la que ha accedido alguien utilizando credenciales robadas.
Esto dificulta distinguir el comportamiento legítimo de la actividad fraudulenta basándose únicamente en señales individuales.
El informe Top Fraud Trends de TransUnion, publicado en octubre de 2026, reveló que el 81 % de los casos de fraude digital sospechoso en todo el mundo durante el primer semestre de 2026 se produjo en interacciones con clientes existentes, no con nuevos clientes. En el sector de los servicios financieros, el informe constató que la actividad relacionada con las transacciones entraña incluso más riesgos que la creación de cuentas. Y la presión aumenta cuando se dispara el tráfico: Visa bloqueó un 140 % más de presuntos casos de fraude en Europa durante el Black Friday de 2025 que en el Black Friday de 2024, y un 40 % más que un viernes normal de la semana anterior.
El problema se hace especialmente evidente con la toma de control de cuentas (ATO, por sus siglas en inglés), que afecta precisamente a las cuentas sometidas a una mayor presión durante el Black Friday. En el Reino Unido,Cifas informó de que, en el primer semestre de 2026, las tomas de control de cuentas de comercios minoristas en línea aumentaron un 84 % y las de cuentas de tarjetas, un 59 % respecto al año anterior.
Tomar el control de una cuenta no siempre requiere robar una contraseña. A veces basta con pedir al cliente el código que debería protegerla. Dos semanas antes del Black Friday de 2025, Google presentó una demanda contra los operadores de Lighthouse, un kit de phishing como servicio que, según la compañía, ha perjudicado a más de un millón de víctimas en 120 países. Los mensajes de texto falsos sobre entregas y las tiendas en línea fraudulentas, algunas promocionadas mediante anuncios en buscadores, recopilaban los datos de las tarjetas de las víctimas. A continuación, el sitio intentaba añadir la tarjeta a un monedero digital en un dispositivo controlado por los estafadores. Cuando el banco enviaba un código de un solo uso para confirmar la incorporación, la página indicaba a la víctima que se trataba de una comprobación rutinaria de compra y le pedía que introdujera el código. La propia autenticación del banco acababa dando luz verde al estafador. Por lo general, los delincuentes esperaban después entre 7 y 10 días antes de utilizar los monederos, el tiempo suficiente para que el fraude se produjera en plena temporada de compras.
En una toma de control de cuenta, un atacante consigue controlar una cuenta existente, normalmente mediante credenciales robadas. Se trata, por tanto, de un problema distinto del fraude en la apertura de nuevas cuentas, que se aborda en El fraude en la apertura de cuentas y cómo lo frena la verificación de identidad.
Cómo comienzan las tomas de control durante la temporada alta
La toma de control de una cuenta rara vez comienza en el banco. Empieza semanas antes, en una bandeja de entrada, un mensaje de texto o un resultado de búsqueda. El informe IOCTA 2026 de Europol describe cómo el fraude en línea se está volviendo más rápido, más industrializado y más difícil de rastrear, con la IA generativa personalizando la ingeniería social y la IA agéntica empezando a automatizar partes del proceso. También señala que la creciente presencia del phishing y el smishing es una adaptación directa a la autenticación de dos factores: si los delincuentes no pueden vulnerar el segundo factor, convencen al cliente para que se lo facilite.
El Black Friday ofrece a todas estas técnicas un pretexto creíble.
La siguiente tabla muestra las vías más habituales para tomar el control de una cuenta (ATO) durante la temporada alta.
| Tipo de fraude | Pretexto durante la temporada alta | Qué parece estar ocurriendo | A qué puede conducir |
| Phishing | Confirmaciones de pedido falsas, errores de pago y correos electrónicos con «ofertas exclusivas» | Un inicio de sesión correcto desde un dispositivo nuevo, a menudo pocas horas después del señuelo | Toma de control de la cuenta y reutilización de los datos de la tarjeta en otros lugares |
| Smishing | Avisos de entrega, tasas de aduanas y alertas de «cargo inusual» enviados masivamente desde granjas de SIM o plataformas de envío masivo de SMS | Códigos de acceso introducidos en páginas falsas, seguidos de una sesión válida que el cliente no ha iniciado | Toma de control de la cuenta, incorporación de nuevos beneficiarios y alta de tarjetas en monederos digitales |
| SIM swapping | Un número de teléfono se porta a otro operador o se reasigna justo antes del ataque | Códigos de acceso por SMS aprobados desde un dispositivo que el cliente nunca ha utilizado | Toma de control de cuentas protegidas mediante autenticación reforzada por SMS |
| Infostealers y credential stuffing | Credenciales robadas meses antes y probadas de forma masiva cuando aumenta el tráfico | Picos de intentos fallidos de inicio de sesión, seguidos de accesos correctos desde proxies residenciales | Toma de control de cuentas a gran escala |
Por qué la verificación de identidad debe ir más allá del onboarding.
La mayoría de las entidades verifican exhaustivamente la identidad una sola vez, cuando se abre la cuenta. A partir de ese momento, cada inicio de sesión se evalúa principalmente en función de si las credenciales son correctas. Un atacante que dispone de credenciales robadas puede sortear directamente todos los controles aplicados durante el proceso de alta.
Lo que delata al atacante rara vez es el propio inicio de sesión, sino lo que lo rodea: un dispositivo que el cliente nunca ha utilizado, un beneficiario añadido pocos minutos después de restablecer la contraseña, una compra de gran importe con una tarjeta que llevaba meses inactiva, o una forma de escribir y navegar que no coincide con el historial del cliente. Por eso, la verificación no puede ser un hecho puntual. Debe seguir comprobando si la persona que está detrás de la sesión sigue siendo la misma cuya identidad se verificó.
Aquí es donde entra en juego la biometría del comportamiento. Al analizar cómo interactúa cada cliente con un servicio —incluidos el ritmo de escritura, los gestos en la pantalla táctil y los patrones de navegación—, un banco puede aprender cuál es el comportamiento habitual de esa persona. A diferencia de las credenciales, el comportamiento es difícil de robar o compartir. Los patrones varían según el dispositivo y las circunstancias, pero las desviaciones claras permiten señalar las sesiones que merecen un análisis más detallado, sin añadir pasos para el resto de los usuarios.
El objetivo es adaptar la seguridad al nivel de riesgo. Las sesiones habituales deben seguir siendo ágiles y fluidas. La verificación reforzada se reserva para los momentos en los que varias señales apuntan conjuntamente a que la cuenta podría haber dejado de estar en manos de su titular.
Detener al atacante, no al cliente
Todas las filas de la tabla anterior terminan de la misma manera: credenciales robadas en otro lugar y utilizadas para acceder a una cuenta en la que la entidad ya confía. Los controles que evalúan cada inicio de sesión de forma aislada seguirán aprobando esas sesiones, porque, sobre el papel, no hay nada incorrecto.
Las entidades que mejor gestionan la temporada alta dejan de preguntarse únicamente si las credenciales son correctas y empiezan a comprobar si la sesión sigue correspondiéndose con el cliente cuya identidad verificaron. Ese es el cambio que implica la verificación continua de identidad: tratar la identidad como algo que debe volver a confirmarse en los momentos importantes, en lugar de considerarla una casilla marcada durante el proceso de alta.
El objetivo no es someter a los clientes a más comprobaciones. Se trata de detectar cuándo dejan de cumplirse las premisas en las que se basa la confianza en una cuenta, para poder detener al atacante sin interrumpir la actividad del cliente.
Preguntas frecuentes
Los más habituales son el phishing y el smishing (confirmaciones de pedido falsas, avisos de entrega y alertas de «cargo inusual»), las llamadas de vishing en las que los estafadores suplantan al equipo antifraude de un banco, las tiendas falsas promocionadas mediante anuncios en línea, el SIM swapping y los ataques de credential stuffing con contraseñas robadas previamente. En el caso de los bancos y los proveedores de servicios de pago, estas prácticas suelen acabar en tomas de control de cuentas, fraude con tarjetas no presentes comprometidas o estafas de pagos autorizados en las que se convence al cliente legítimo para que apruebe la transacción.
El aumento de la actividad legítima de los clientes durante los periodos de mayor actividad comercial puede dificultar la identificación de comportamientos sospechosos. Los inicios de sesión desde dispositivos desconocidos, los patrones de compra inusuales o los cambios en los datos de una cuenta pueden ser legítimos, lo que complica que las empresas identifiquen las cuentas comprometidas basándose en señales aisladas.
No, no por sí sola. En una toma de control de cuenta, el atacante suele disponer de las credenciales correctas, por lo que el inicio de sesión parece válido. Lo que permite identificarlo es el contexto: el dispositivo, el comportamiento y los cambios que realiza una vez dentro.
