En el fraude contra una institución financiera, tres preguntas deciden el caso: por dónde entraron, quién ayudó y adónde fue el dinero. El peritaje responde a las tres con evidencia preservada, a tiempo de recuperar valores.
El fraude en un banco, una fintech o una institución de pago rara vez tiene un culpable obvio. Lo mismo vale para el proveedor de Banking as a Service, la institución que cede su licencia y su infraestructura para que otras empresas ofrezcan cuenta, tarjeta y Pix con marca propia. El primer sospechoso es el autor de la intrusión, y casi siempre se convierte en el foco exclusivo de la investigación. La institución madura en seguridad no descarta de inmediato la participación de un colaborador, por negligencia o como insider. El modo de actuar del atacante muestra si hubo ayuda desde adentro.
El peritaje reconstruye el fraude a partir de los registros: sistemas internos, APIs (las interfaces por las que los sistemas conversan entre sí), logs de autenticación, transacciones Pix, datos de registro y dispositivos. Muestra cómo ocurrió el acceso, en qué orden y por quién, y sigue el dinero hasta su destino.
El ataque llega casi siempre detrás de una VPN. En algunos casos el actor usa más de una capa de proxy, servidores intermediarios que ocultan el origen de la conexión. Pero el exceso de confianza cobra su precio: una falla en la conexión pasa desapercibida, la IP real se filtra y aparece en los registros del ataque.
El atacante entra por la identidad de un empleado, por una API expuesta o por un sistema de un tercero, y elude la autenticación por MFA. En un caso, cientos de Pix salieron por script contra la API interna. El peritaje muestra el primer acceso y cada movimiento; identifica las cuentas de prueba usadas para validar la operación, las reglas que el delincuente adoptó para definir los valores individuales y los límites máximos que no disparan alertas, y el intervalo entre las transacciones.
El guion se repite: inclusión de un dispositivo de confianza, cambio de teléfono y correo electrónico en el registro, un Pix de prueba y, después, la tarjeta virtual usada por aproximación. En muchos casos, el delincuente llama a la víctima y cita datos confidenciales que solo la institución tendría, lo que la convence de que habla con un empleado del banco. El cliente entonces sigue procedimientos que permiten al actor registrar un nuevo dispositivo de confianza; a partir de ahí, se dispara el fraude.
También es recurrente la invasión del propio aparato de la víctima. Los medios varían, pero el patrón es el phishing: una llamada de quien se hace pasar por el banco, por la operadora de la tarjeta o por otra empresa con la que la víctima se relaciona, o un enlace que instala en el celular un programa de acceso remoto. Con las credenciales capturadas, el delincuente activa la cuenta en un aparato que él controla. Para el banco, el fraude parece haber salido del aparato legítimo del cliente.
En el phishing por llamada, el actor avisa que hay algo mal en la cuenta: pagos realizados o movimientos sospechosos que el cliente necesita verificar. La historia cambia según la víctima, pero el delincuente siempre encuentra un motivo para ver la pantalla del cliente. Pide una videollamada por WhatsApp o, cuando percibe que la víctima es solícita, la orienta a instalar un programa de acceso remoto.
El insider tiene tres perfiles: el oportunista, que vio la brecha; el cooptado, que aceptó una comisión; el amenazado, que actuó por miedo. Entrega al atacante cómo funciona el sistema, el mejor momento, el código de MFA. Hay también quien defrauda desde adentro, alterando límites y generando tarjetas virtuales por la API de la procesadora.
Una credencial de empleado en el fraude no prueba que el empleado esté involucrado: un phishing bien planificado entrega la misma credencial. El peritaje pone a prueba la hipótesis y separa el vestigio real del ilusorio y del forjado. Descartar a un sospechoso con evidencia protege al empleado y reorienta la investigación.
El dinero sale fraccionado por debajo de los límites de alerta. Pasa por microempresas de fachada y por empresas legítimas, pero en general se concentra en ciertas agencias y corresponsales bancarios, y sale por casas de cambio de criptomonedas (exchanges). Parte va a cuentas de despiste, que solo entorpecen el rastreo. El peritaje separa la cuenta mula ("cuenta laranja", en Brasil) pagada por comisión, la cuenta abierta indebidamente y la cuenta de despiste.
Con los documentos de apertura de la cuenta aportados por el banco, el peritaje confronta la huella dactilar tomada en la apertura con la de quien figura como titular. La divergencia demuestra que la cuenta fue abierta a nombre de quien no lo sabía.
Hay quien firma, recibe el dinero en su propia cuenta y después dice que fue una estafa. Casi siempre quien recibió participa, pero no es regla. El peritaje viene antes de la ejecución: si un peritaje posterior muestra que el cliente también fue víctima, la institución, ya perjudicada, todavía responde por daños morales.
Hay también el fraude que nace dentro de la agencia. Para cumplir metas, el empleado hace que un cliente distraído, en general una persona mayor, firme más papeles de los que debería. Con ellos, contrata un préstamo en la cuenta del cliente y, tiempo después, renueva el mismo préstamo. El empleado nunca toca el dinero. El crédito entra en la cuenta sin que la víctima lo perciba, y solo mucho después nota que la jubilación ya no cubre los gastos: las cuotas de un préstamo que nunca quiso debitan valores cada vez mayores. El peritaje reconstruye la contratación y las renovaciones por los registros del sistema y por las firmas, y muestra quién condujo cada operación.
En el Pix, el Mecanismo Especial de Devolución (MED), previsto en el Reglamento del Pix (anexo a la Resolución BCB nº 1/2020, del Banco Central de Brasil), permite devolver valores cuando hay sospecha fundada de fraude. Con el llamado MED 2.0 (Resolución BCB nº 493/2025), el rastreo sigue el dinero más allá de la primera cuenta receptora. El plazo es corto: según la guía del Banco Central de Brasil, la impugnación vale para transacciones de hasta 80 días.
El peritaje entrega el mapa que el MED y el proceso necesitan: qué cuentas recibieron, en qué orden y cuáles merecen prioridad. El mismo trabajo fundamenta el levantamiento del secreto bancario y telemático: el peritaje indica qué datos pedir y a quién; el abogado lleva el pedido al juzgado. Con el plazo corriendo, el trabajo puede comenzar fuera del horario comercial.
El peritaje también rastrea los movimientos bancarios, cuenta por cuenta. Ese mapa ayuda a los abogados a recuperar valores y entrega a las autoridades policiales los rastros para la investigación de autoría. El examen describe el modus operandi: la técnica usada, el patrón de las pruebas en las cuentas y el intervalo entre los Pix enviados.
El comerciante dice que vendió con tarjeta y no recibió. Muestra el recibo del POS, el comprobante de la terminal. La pregunta es si la transacción existió.
El examen une informática forense y documentoscopia. En el sistema, el peritaje consulta la base del autorizador y el historial de la terminal, sin exponer datos de otros clientes. En el papel, examina el comprobante térmico (el número secuencial de la transacción, NSU; el código de autorización; el identificador de la aplicación de la tarjeta, AID; fuente, logotipo y desgaste) contra comprobantes patrón generados en el momento en una terminal de homologación. Sirve a la impugnación de pago y al fraude contra el banco o el adquirente.
La Resolución CMN nº 4.893/2021 (del Consejo Monetario Nacional de Brasil) rige para las instituciones autorizadas por el Banco Central de Brasil, excepto las de pago. Exige el registro y el análisis de la causa y del impacto de los incidentes relevantes (art. 3º, IV) y la comunicación oportuna al Banco Central de los que configuren situación de crisis (art. 20, III).
Quien responde al regulador es la institución. El peritaje da apoyo técnico a esos requerimientos y reportes, para el Banco Central de Brasil y para la CVM (el regulador del mercado de valores de Brasil); el Informe Técnico Simplificado responde a las preguntas del regulador. En el Pix, el mismo informe, con el análisis forense del incidente, fundamenta el pedido de los datos de las cuentas que recibieron el dinero y de las que sirvieron para pulverizarlo, en el rastreo que el MED 2.0 (Resolución BCB nº 493/2025) pasó a permitir.
Una institución financiera fue invadida. Los atacantes movieron la cuenta de balance de la propia institución, en un fraude millonario, y crearon tarjetas virtuales a nombre de clientes del segmento premium.
Los rastros mostraron el origen de los accesos. Las compras con las tarjetas se convirtieron en fuente de autoría: las cámaras de las tiendas físicas registraron el rostro de los autores y los vehículos que usaron.
La autoridad policial identificó e individualizó a los involucrados.
En un fraude millonario contra una fintech, el colaborador cuya cuenta fue usada se presentó como víctima.
La navegación del atacante no tenía errores ni tanteos: sabía por dónde pasar. El peritaje mostró que el propio colaborador había entregado al actor externo el acceso para la autenticación MFA.
El dictamen comprobó la participación del insider que se decía víctima.
Una institución financiera atribuía a empleados un fraude millonario, pulverizado en miles de cuentas mula.
El peritaje mostró lo contrario: las credenciales vinieron de un phishing planificado, con máquinas infectadas por malware. Las cuentas de destino revelaron un patrón de agencias y corresponsales, cuentas abiertas indebidamente, mulas pagadas por comisión y cuentas de despiste.
El dictamen permitió recuperar valores por el MED y fundamentó acciones civiles contra las instituciones de destino, para identificar a los titulares y las cuentas abiertas indebidamente.
Un comerciante cobraba a la institución más de una decena de pagos con tarjeta "no acreditados".
La terminal casi no tenía transacciones en toda su vida. En los comprobantes, el NSU y el código de autorización se repetían, el AID era incompatible, la fuente y el logotipo diferían del patrón y el desgaste del papel no coincidía con la fecha.
Todos eran forjados, impresos en una impresora térmica portátil. La diligencia quedó registrada en acta notarial.
Consulte también
Bancario, Mercado de Capitales y Financiero → Autoría Digital y Levantamiento del Secreto Telemático → Investigación Corporativa y Compliance → Peritaje en Nube, Identidad y DevOps → Peritaje de Huella Dactilar → Grafotecnia y Documentoscopia →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso