Aplicaciones bancarias bajo amenaza: así evoluciona el fraude digital

El fraude financiero ya no tiene como único objetivo a los usuarios. Las aplicaciones de las instituciones bancarias también pueden ser blanco de ataques que buscan analizar y modificar su funcionamiento mediante herramientas capaces de intervenirlas sin que el cliente lo advierta.

“Este tipo de ataques representa una preocupación para la seguridad de las aplicaciones bancarias. Las medidas como el doble factor de autenticación y la biometría ayudan a proteger el acceso, pero no sustituyen los mecanismos diseñados para detectar manipulaciones en la propia aplicación”, explica Mario Barrera, director comercial de Nubatech, empresa especializada en seguridad digital.

OWASP (Open Worldwide Application Security Project) incluye las fallas de integridad de software y datos entre los riesgos identificados para las aplicaciones web en su listado Top 10 de 2025. Esta categoría se refiere a problemas que pueden comprometer la confianza en el código, las actualizaciones o los datos de una aplicación.

Estos ataques pueden recurrir a malware o a herramientas de instrumentación que los desarrolladores utilizan legítimamente para analizar y depurar aplicaciones en ejecución, como Frida, Objection, Xposed y LSPosed. En manos de ciberdelincuentes, estas herramientas pueden utilizarse para examinar y alterar el comportamiento de aplicaciones bancarias instaladas en los teléfonos.

“A través de estas herramientas, los atacantes pueden intentar insertar código malicioso para evadir algunas medidas de seguridad, robar credenciales o alterar funciones como las transacciones y los pagos automáticos. También pueden distribuir versiones manipuladas de una aplicación para que los clientes crean que están utilizando la oficial del banco”, explica Barrera.

A juicio del ejecutivo, este escenario requiere varias capas de seguridad que protejan las aplicaciones durante su funcionamiento. Entre ellas se encuentran la verificación de integridad y el almacenamiento seguro de claves, junto con mecanismos anti-debug, que detectan intentos de analizar la aplicación con herramientas de depuración; funciones anti-tampering, que identifican manipulaciones no autorizadas; y defensas frente al uso malicioso de herramientas de instrumentación.

“En un entorno digital cada vez más complejo, es importante contar con mecanismos de protección, monitoreo, comprobaciones, alertas y bloqueos en tiempo real. Estas capacidades pueden ayudar a los equipos de seguridad a reaccionar cuando una aplicación es alterada o republicada, además de facilitar los análisis forenses”, señala el ejecutivo de Nubatech.

Las tecnologías RASP (autoprotección de aplicaciones en tiempo de ejecución, por su sigla en inglés) permiten detectar y responder a determinados comportamientos sospechosos mientras una aplicación está funcionando. También pueden contribuir a proteger el código y la integridad de la aplicación. Su implementación debe formar parte de una estrategia de seguridad más amplia, junto con las medidas necesarias para proteger los datos y la reputación de las instituciones financieras.