Fraude de identidad en México: las cifras de 2026 y qué frena cada tipo

En el primer semestre de 2026 la Condusef registró 43,871 reclamaciones por un posible fraude financiero, un alza de 16.7 % frente a las 37,582 del mismo periodo de 2025. Una categoría dentro de ese total fue a la baja.

Las reclamaciones por posible robo de identidad sumaron 1,523 y cayeron 3.3 %, así que el aumento se concentró en las otras categorías.

Dónde crece el fraude y dónde no

La estadística tiene tres bloques que, sumados, dan el total del semestre.

La cifra de robo de identidad de 2025 no se publica por separado. Se obtiene restando del total del semestre las dos categorías conocidas, y el resultado cuadra con la variación reportada.

El bloque que más crece es el fraude tradicional, en el que alguien convence al cliente legítimo de entregar sus datos o de autorizar una operación. En el semestre, el 38 % de los requerimientos tuvo que ver con tarjetas de crédito.

El robo de identidad, es decir, suplantar a una persona para contratar a su nombre, es el más pequeño de los tres bloques y el único que baja.

Con esta distribución, a un área de riesgos le sirve más saber en qué momento del recorrido del cliente entra cada tipo de fraude que medir cuánto fraude hay en total. Los controles que funcionan en el alta no sirven en la transacción.

El dinero que no vuelve

La segunda cifra explica por qué el tema llegó a los consejos de administración. En el primer trimestre de 2026, las quejas por fraude bancario ante la Condusef crecieron 31.5 % y los usuarios reclamaron 5,201 millones de pesos, de los que las instituciones abonaron 1,265 millones.

Eso supone un 24.3 % recuperado; el 75.7 % restante no se devuelve.

Ahí está el argumento económico del control preventivo. De cada peso defraudado se recupera una cuarta parte, mientras que bloquear un intento en el alta cuesta lo que cuesta una verificación.

Lo que la verificación de identidad no detiene

Antes de cualquier argumento de venta, hay que aclarar un límite. Si el cliente legítimo, con su rostro y su documento auténticos, autoriza una transferencia porque alguien lo engañó por mensaje de texto, ninguna comprobación biométrica lo impide. La persona es quien dice ser, y el control de identidad lo confirma correctamente.

Ese es el bloque que crece en México, y se combate con otras capas: límites operativos, análisis del comportamiento transaccional, retrasos y confirmaciones en operaciones atípicas y educación del usuario.

Si un proveedor de verificación promete frenar ese tipo de fraude, promete algo que su producto no hace.

Dónde sí decide la verificación

Hay tres momentos en los que el fallo está en la identidad.

El alta de clientes. Para contratar a nombre de otro hay que presentar un documento ajeno y pasar por la cámara. En ese punto se enfrentan el control y el documento alterado, la fotografía impresa, la máscara o el video generado. Para las instituciones de crédito, ese momento está reglado desde 2017: la contratación no presencial exige un procedimiento escrito y la aprobación previa de la Comisión Nacional Bancaria y de Valores.

La recuperación de cuenta. Para el atacante es la vía más barata, porque no necesita el documento: le basta con hacerse con el canal de recuperación. Con un duplicado de SIM, el código por mensaje de texto pasa a sus manos.

Las cuentas de terceros. Si una misma persona abre cuentas con identidades distintas, revisar cada expediente por separado no lo revela. Hay que comparar el rostro nuevo con la galería propia de la entidad.

Quién paga cuando se omite el control

La regulación bancaria ya decidió quién asume ese costo, y lo dejó escrito en el procedimiento de contratación no presencial.

La Circular Única de Bancos obliga a las instituciones a prever en sus contratos que, cuando decidan omitir el Factor de Autenticación Categoría 1 durante la comunicación en línea y el cliente no reconozca la contratación a su nombre, «asumirán los riesgos y, por lo tanto, los costos de los créditos», además de hacer las aclaraciones correspondientes ante las sociedades de información crediticia.

La misma resolución fija el resto del procedimiento: verificación en línea del Código Identificador de Credencial y de los nombres contra los registros del Instituto Nacional Electoral, coincidencia de la huella dactilar «al menos en un noventa y ocho por ciento», prueba de huella viva para evitar impresiones que simulen la huella de otra persona, y comparación biométrica del rostro contra la fotografía de la credencial.

El umbral de esa comparación lo fija el comité de riesgos de cada institución. La norma exige evidencia del nivel de fiabilidad y no impone un número.

Los tres controles y qué ataca cada uno

El orden de los controles importa tanto como los controles mismos. Un control de presentación sin búsqueda 1:N deja pasar al mismo defraudador con documentos distintos. Una búsqueda 1:N sin prueba de vida acaba llena de rostros que nunca estuvieron frente a la cámara.

Si su área de riesgos está revisando por dónde entra el fraude en el alta, empiece por medir con casos propios. Solicite una demostración con documentos mexicanos reales y compare los resultados con su tasa actual de rechazo.