Robo de identidad en México: qué es, cómo denunciarlo y las cifras de 2026

El robo de identidad, o usurpación de identidad, ocurre cuando alguien obtiene, transfiere, utiliza o se apropia de los datos personales de otra persona sin su autorización, por lo general para cometer un fraude o un delito. Cuando el ladrón usa esos datos para hacerse pasar por la víctima ante un banco, una tienda o en redes sociales, se habla de suplantación de identidad.

En el primer semestre de 2026 la Condusef registró 43,871 reclamaciones por un posible fraude financiero, un alza de 16.7 % frente a las 37,582 del mismo periodo de 2025. Una categoría dentro de ese total fue a la baja.

Las reclamaciones por posible robo de identidad sumaron 1,523 y cayeron 3.3 %, así que el aumento se concentró en las otras categorías.

Qué datos usan en un robo de identidad y para qué

Para la Condusef, la identidad la forman los datos personales: nombre, teléfono, domicilio, fotografías, huellas dactilares, números de licencia y de seguridad social, la información financiera o médica y cualquier otro dato que permita identificar a una persona. En muchos casos, el ladrón usa esa información para contratar productos y servicios financieros a nombre de la víctima.

Con los datos de otra persona, según la Guardia Nacional, un delincuente puede:

• realizar transacciones bancarias no autorizadas;

• solicitar créditos financieros e hipotecarios;

• comprar productos y contratar servicios;

• cobrar apoyos de programas del gobierno;

• difamar, amenazar o acosar a otras personas desde un perfil falso;

• cometer otros delitos a nombre de la víctima.

Una señal aparece en el estado de cuenta: movimientos que usted no recuerda haber hecho. Otra, en el historial crediticio: un crédito o una tarjeta que nunca contrató. Qué es la identidad digital y cómo se comprueba en línea está explicado en nuestro artículo sobre identidad digital.

Qué hacer si le robaron la identidad: banco, Condusef, Buró de Crédito y Ministerio Público

Esto recomienda la Condusef a quien detecta que alguien usó sus datos:

1. Avise a su banco y a los comercios. Llame a las instituciones financieras y tiendas donde tiene cuentas e informe de su situación para evitar mayores daños.

2. Revise su historial crediticio. Solicite su Reporte Especial de Crédito a una sociedad de información crediticia, como Buró de Crédito. Si encuentra un crédito o una consulta que no reconoce, notifíquelo de inmediato a esa sociedad.

3. Presente una reclamación en la Condusef. Ahí puede reclamar la afectación sufrida y recibir asesoría para bloquear su buró de crédito.

4. Denuncie ante el Ministerio Público. La denuncia se presenta ante el Ministerio Público de su localidad, es decir, la fiscalía de su estado. Sirve para evitar posibles repercusiones legales y dejar a salvo sus derechos.

Guarde los estados de cuenta, los mensajes y cualquier documento que muestre la operación que no reconoce: los va a necesitar en el banco, en la Condusef y en la fiscalía.

Reclamaciones ante la Condusef en 2026: fraude tradicional, fraude virtual y robo de identidad

La estadística tiene tres bloques que, sumados, dan el total del semestre.

La cifra de robo de identidad de 2025 no se publica por separado. Se obtiene restando del total del semestre las dos categorías conocidas, y el resultado cuadra con la variación reportada.

El bloque que más crece es el fraude tradicional, en el que alguien convence al cliente legítimo de entregar sus datos o de autorizar una operación. En el semestre, el 38 % de los requerimientos tuvo que ver con tarjetas de crédito.

El robo de identidad, es decir, suplantar a una persona para contratar a su nombre, es el más pequeño de los tres bloques y el único que baja.

Con esta distribución, a un área de riesgos le sirve más saber en qué momento del recorrido del cliente entra cada tipo de fraude que medir cuánto fraude hay en total. Los controles que funcionan en el alta no sirven en la transacción.

El dinero que no vuelve

En el primer trimestre de 2026, las quejas por fraude bancario ante la Condusef crecieron 31.5 % y los usuarios reclamaron 5,201 millones de pesos, de los que las instituciones abonaron 1,265 millones.

Eso supone un 24.3 % recuperado; el 75.7 % restante no se devuelve.

Ahí está el argumento económico del control preventivo. De cada peso defraudado se recupera una cuarta parte, mientras que bloquear un intento en el alta cuesta lo que cuesta una verificación.

Lo que la verificación de identidad no detiene

Antes de cualquier argumento de venta, hay que aclarar un límite. Si el cliente legítimo, con su rostro y su documento auténticos, autoriza una transferencia porque alguien lo engañó por mensaje de texto, ninguna comprobación biométrica lo impide. La persona es quien dice ser, y el control de identidad lo confirma correctamente.

Ese es el bloque que crece en México, y se combate con otras capas: límites operativos, análisis del comportamiento transaccional, retrasos y confirmaciones en operaciones atípicas y educación del usuario.

Dónde sí decide la verificación

Hay tres momentos en los que el fallo está en la identidad.

El alta de clientes. Para contratar a nombre de otro hay que presentar un documento ajeno y pasar por la cámara. En ese punto se enfrentan el control y el documento alterado, la fotografía impresa, la máscara o el video generado. Para las instituciones de crédito, ese momento está reglado desde 2017: la contratación no presencial exige un procedimiento escrito y la aprobación previa de la Comisión Nacional Bancaria y de Valores.

La recuperación de cuenta. Para el atacante es la vía más barata, porque no necesita el documento: le basta con hacerse con el canal de recuperación. Con un duplicado de SIM, el código por mensaje de texto pasa a sus manos.

Las cuentas de terceros. Si una misma persona abre cuentas con identidades distintas, revisar cada expediente por separado no lo revela. Hay que comparar el rostro nuevo con la galería propia de la entidad.

Quién paga cuando se omite el control

La regulación bancaria ya decidió quién asume ese costo, y lo dejó escrito en el procedimiento de contratación no presencial.

La Circular Única de Bancos obliga a las instituciones a prever en sus contratos que, cuando decidan omitir el Factor de Autenticación Categoría 1 durante la comunicación en línea y el cliente no reconozca la contratación a su nombre, «asumirán los riesgos y, por lo tanto, los costos de los créditos», además de hacer las aclaraciones correspondientes ante las sociedades de información crediticia.

La misma resolución fija el resto del procedimiento: verificación en línea del Código Identificador de Credencial y de los nombres contra los registros del Instituto Nacional Electoral, coincidencia de la huella dactilar «al menos en un noventa y ocho por ciento», prueba de huella viva para evitar impresiones que simulen la huella de otra persona, y comparación biométrica del rostro contra la fotografía de la credencial.

El umbral de esa comparación lo fija el comité de riesgos de cada institución. La norma exige evidencia del nivel de fiabilidad y no impone un número.

Los tres controles y qué ataca cada uno

El orden de los controles importa tanto como los controles mismos. Un control de presentación sin búsqueda 1:N deja pasar al mismo defraudador con documentos distintos. Una búsqueda 1:N sin prueba de vida acaba llena de rostros que nunca estuvieron frente a la cámara.

Si su área de riesgos está revisando por dónde entra el fraude en el alta, empiece por medir con casos propios. Solicite una demostración con documentos mexicanos reales y compare los resultados con su tasa actual de rechazo.