Las entidades financieras enfrentan un frente de fraude digital que ya no se limita a engañar a usuarios mediante phishing: los ciberdelincuentes también pueden intervenir aplicaciones bancarias instaladas en teléfonos para alterar funciones, evadir controles de seguridad y robar credenciales. El vector de ataque se apoya en técnicas de ingeniería inversa y en herramientas de instrumentación capaces de modificar el comportamiento de una app mientras está en ejecución, sin que el cliente lo advierta.

Mario Barrera, director comercial de Nubatech, planteó que las barreras más difundidas para proteger el acceso no alcanzan cuando el ataque apunta a la integridad de la aplicación. “Este tipo de ataques representa una preocupación para la seguridad de las aplicaciones bancarias”, afirmó Barrera.

De la ingeniería social a la manipulación de la app

El foco del riesgo se desplaza desde la ingeniería social hacia la posibilidad de analizar y manipular el funcionamiento interno de la aplicación. En ese contexto, herramientas utilizadas de manera legítima por desarrolladores para analizar y depurar aplicaciones en ejecución pueden ser aprovechadas por atacantes.

Entre las utilidades mencionadas se encuentran Frida, Objection, Xposed y LSPosed. En manos de ciberdelincuentes, pueden servir para examinar y alterar el comportamiento de aplicaciones bancarias instaladas en los teléfonos, con efectos sobre controles y validaciones que operan durante el uso.

El riesgo también aparece reflejado en marcos de referencia del sector. OWASP (Open Worldwide Application Security Project) incluye las fallas de integridad de software y datos entre los riesgos identificados para las aplicaciones web en su listado Top 10 de 2025. Esa categoría refiere a problemas que pueden comprometer la confianza en el código, las actualizaciones o los datos de una aplicación.

Capas de defensa y detección en tiempo real

Barrera describió que, a través de estas herramientas, los atacantes pueden intentar insertar código malicioso para evadir medidas de seguridad, robar credenciales o alterar funciones como transacciones y pagos automáticos. También pueden distribuir versiones manipuladas de una aplicación para que los clientes crean que utilizan la oficial del banco.

Ante ese escenario, el ejecutivo sostuvo que se requieren varias capas de seguridad durante el funcionamiento de la app. Mencionó la verificación de integridad y el almacenamiento seguro de claves, junto con mecanismos anti-debug para detectar intentos de análisis con herramientas de depuración; funciones anti-tampering para identificar manipulaciones no autorizadas; y defensas frente al uso malicioso de herramientas de instrumentación.

“En un entorno digital cada vez más complejo, es importante contar con mecanismos de protección, monitoreo, comprobaciones, alertas y bloqueos en tiempo real”, señaló Barrera. Agregó que esas capacidades pueden ayudar a los equipos de seguridad a reaccionar cuando una aplicación es alterada o republicada, además de facilitar los análisis forenses.

En ese marco, señaló el uso de tecnologías RASP (autoprotección de aplicaciones en tiempo de ejecución) para detectar y responder a comportamientos sospechosos mientras una aplicación está funcionando. Esa implementación, indicó, debe integrarse a una estrategia más amplia orientada a proteger datos y reputación de las instituciones financieras.