Durante años, cuando hablábamos de ciberseguridad, la conversación estaba centrada en proteger servidores, APIs, credenciales, redes y bases de datos. Pero la superficie de ataque cambió: el atacante ya no siempre necesita vulnerar una infraestructura, le alcanza con vulnerar primero la confianza del usuario.
El fraude se mudó al mensaje porque el usuario se mudó
En México pasó algo que cambió el mapa: dejar de contestar llamadas de números desconocidos se volvió casi un reflejo. Y el fraude, que es adaptativo, se mudó al mensaje. La Condusef viene alertando sobre el aumento de intentos por SMS y aplicaciones de mensajería, con el mismo libreto de siempre: un enlace, una urgencia fabricada y una historia que empuja a actuar antes de pensar.
Me interesa una lectura que casi no se hace. El problema de fondo no es el canal. Es que durante mucho tiempo cualquiera pudo escribir cualquier nombre en el campo del remitente.
Dónde quedó el hueco
Invertimos años en proteger APIs, tokens, certificados, redes privadas y credenciales. Aplicamos MFA, WAF, restricciones de acceso, trazabilidad y arquitecturas de alta disponibilidad. Y dejamos sin resolver lo único que el usuario efectivamente ve antes de decidir si confía: quién dice estar enviando ese mensaje.
Por eso me parece tan relevante la tendencia regulatoria hacia los registros de remitentes. No es burocracia: es cerrar la puerta que quedó abierta.
La nueva capa: identidad de las comunicaciones
Hoy ya no importa solamente quién accede a un sistema. Importa también cómo puede verificarse quién está enviando un mensaje, iniciando una conversación o presentándose frente al usuario como una organización.
Eso obliga a conectar elementos que históricamente se analizaron por separado:
Y con IA generativa haciendo cada vez más sencillo producir textos, voces e imágenes convincentes, esta capa de confianza va a adquirir todavía más relevancia. Un mensaje bien escrito ya no es señal de legitimidad: escribir bien dejó de ser caro.
Tres cosas que sí dependen de quien envía
- Consistencia absoluta. Una marca que nunca pide datos sensibles por mensaje, y que lo sostiene sin excepciones, le enseña a su gente a reconocer su forma de comunicarse. Una sola excepción destruye ese aprendizaje.
- Dominio propio en los enlaces. Un subdominio consistente es una señal de identidad. Un acortador genérico no dice nada sobre quién envía —y es exactamente lo que usa quien te suplanta.
- Un canal de verificación conocido. La gente necesita un lugar donde confirmar si un mensaje es legítimo, y tiene que ser siempre el mismo. Si cambia cada campaña, no existe.
Por qué esto es una discusión de arquitectura, no de comunicación
Hay una tentación de tratar esto como un tema de campañas o de educación al cliente. En mi experiencia es un tema de arquitectura: requiere inventario de remitentes, política de dominios, correlación entre canal y operación, y trazabilidad de cada mensaje enviado. Nada de eso se resuelve con un aviso en la app.
Para quienes trabajamos en tecnología, seguridad y comunicaciones, el desafío ya no termina en proteger la infraestructura. También tenemos que proteger la autenticidad de cada interacción digital entre una organización y sus usuarios. Creo que ahí se está formando una de las superficies de seguridad más importantes de los próximos años.
La confianza en un canal no se declara. Se construye siendo predecible durante mucho tiempo.