Una disposición publicada en el Diario Oficial de la Federación mexicana ha introducido un cambio que, desde la óptica de especialistas en ciberseguridad, desmonta años de pedagogía digital contra el fraude. El nuevo calendario escalonado de vinculación obligatoria de líneas móviles exige a las compañías telefónicas enviar a los usuarios mensajes de texto con un enlace y la advertencia de que su servicio será suspendido si no completan el trámite. Esta práctica institucionaliza exactamente las cuatro señales que las campañas de prevención del smishing —la variante de phishing por SMS— enseñaban a rechazar: un mensaje inesperado, un enlace, urgencia y amenaza de pérdida de un servicio. El resultado, advierten analistas en Ciudad de México, es que millones de ciudadanos quedan entrenados para hacer clic en comunicaciones que los delincuentes podrán falsificar con solo modificar el dominio de destino.

El terreno ya era fértil. De acuerdo con la Alianza Global contra el Fraude (GASA), una de cada dos personas se cruza semanalmente con un intento de estafa digital; la misma fuente estima pérdidas globales superiores al billón de dólares en un solo año. En América Latina, la propia Policía de Investigación mexicana ha alertado sobre el alza del SIM swapping, donde el delincuente clona la tarjeta SIM para secuestrar cuentas bancarias, y del oversharing o sobreexposición en redes, que facilita la construcción de identidades falsas. El Consejo Ciudadano para la Seguridad y Justicia de la capital reporta que la sextorsión, con el intercambio de material íntimo como principal puerta de entrada, alcanzó más de 8.600 reportes en los últimos años, con un uso creciente de imágenes creadas por inteligencia artificial.

Otras modalidades ganan sofisticación. El ClickFix, que indica a la víctima copiar un comando para solucionar un falso problema, creció un 500 % en seis meses, según reportes recogidos en Brasil y México. El vishing, que utiliza llamadas con datos personales filtrados, coexiste con engaños que explotan la expectativa del Mundial 2026 —aplicaciones pirata, entradas inexistentes— y campañas por WhatsApp sobre falsos saldos en criptomonedas. Desde la óptica de las autoridades rusas, el Banco Central ha definido nueve indicadores de alerta para detectar fraudes en el retiro de efectivo, como la extracción de dinero a las 24 horas de un crédito o un cambio repentino de dispositivo, mientras que en Moscú una pareja de ancianos perdió 27 millones de rublos en un esquema de «cuenta segura» gestionado por falsos agentes.

Frente a este entorno, las recomendaciones de la Policía de Investigación mexicana insisten en que la prevención empieza por el usuario: revisar la configuración de privacidad, no compartir ubicación en tiempo real, eliminar perfiles inactivos que almacenan datos y tratar cada publicación como si fuera visible para un desconocido. La paradoja que subrayan analistas regionales es que, mientras se refuerza el mensaje de no confiar en SMS con enlaces, la propia autoridad convierte ese mismo patrón en una comunicación oficial. El siguiente hito que observan los expertos es la entrada en vigor de los plazos de vinculación: cuando los operadores empiecen a enviar los mensajes masivos con amenaza de suspensión, se medirá el verdadero impacto en la curva de denuncias por fraude.