La innovación acelera… y el delito aprende
El retiro sin tarjeta es una promesa de conveniencia: menos fricción, más velocidad. Pero su arquitectura de confianza depende de dispositivos y sesiones que, si se secuestran, permiten retiros presenciales sin plástico. La novedad no es la tecnología, sino su combinación con tácticas viejas: phishing, SIM swap e ingeniería social.
El resultado es una estafa difícil de detectar: el cajero valida un token o un tap NFC auténtico… emitido desde una cuenta comprometida. Para el sistema, todo “cuadra”. Para la víctima, el saldo desaparece sin que su tarjeta salga del bolsillo.
En el centro está el vinculado de dispositivos: una vez que el atacante toma la cuenta (claves o sesión), agrega su teléfono como confiable y habilita la cartera o el retiro QR/NFC. Desde allí, puede generar códigos efímeros o autorizar reconocimiento de proximidad en cajeros compatibles.
Los ataques de relevo NFC —documentados por la comunidad técnica— muestran que la supuesta “distancia segura” del near field puede extenderse con equipos intermedios. Es decir, el lector cree hablar con el teléfono del titular cuando, en realidad, la señal viaja por otra ruta.
La respuesta defensiva tiene tres capas:
- Prevención en el cliente: biometría por transacción, bloqueo de NFC cuando no se use, alertas push y contraseñas únicas para vincular dispositivos.
- Controles del banco: límites dinámicos para retiros sin tarjeta, detección de anomalías (nueva geolocalización, modelo de riesgo del dispositivo) y caducidad corta de tokens.
- Cajero/contactless: lectores endurecidos y telemetría para identificar reintentos sospechosos.
En el mundo, los pagos sin contacto ya dominan la escena, lo que expande el incentivo para explotar cualquier fricción débil. El reto para la banca es equilibrar experiencia y seguridad: demasiadas barreras ahuyentan, pocas abren la puerta al fraude.
Comparado con estafas clásicas de skimming (copiar banda/PIN), esta modalidad evita hardware físico y se apoya en credenciales digitales. Paradójicamente, es más trazable: los logs permiten identificar dispositivos y eventos no asociados al titular, facilitando rechazos y reversos si el reporte es oportuno.
Buenas prácticas para usuarios: revisar dispositivos vinculados cada semana, activar 2FA/biometría, deshabilitar NFC por defecto, evitar root/jailbreak, y no compartir códigos por teléfono. Si llega un SMS de activación no solicitado, bloquear la cuenta y contactar al banco.
Bancos y reguladores exploran estándares anti-relay y verificación fuera de banda para cada retiro sin plástico (p. ej., confirmación biométrica en el dispositivo primario). A la par, fortalecen campañas de alfabetización digital.
Para las víctimas, el tiempo es crítico: los primeros 2 días marcan la diferencia entre un reintegro más ágil o una disputa larga. Documentar captures, ID del equipo y ubicación del retiro mejora las probabilidades de recuperación.
La innovación financiera no es el problema: el problema es quién controla el dispositivo. Sin higiene digital y controles por defecto, la conveniencia se convierte en ventaja del atacante.
Más historias
Entre NOTAM y geopolítica: qué pesa detrás del “cierre” aéreo a Venezuela
¿Competencia distrital o asunto metropolitano? El pulso por el PR30
El costo diplomático de un gesto: por qué Petro aplazó su viaje a China