October 22, 2026
El fraude de toma de control de cuentas se produce cuando un delincuente consigue el control de la cuenta de un cliente genuino y la usa para mover dinero, hacer compras o abrir crédito nuevo. La cuenta ya tiene historial, dispositivos de confianza y beneficiarios aprobados, y eso es precisamente lo que la hace valiosa. Javelin Strategy & Research contó unos 6 millones de víctimas de toma de control de cuentas en EE. UU. en 2025, un 18 % más que el año anterior. Esta guía explica cómo funciona el fraude ATO, ejemplos reales de la cadena de ataque y cómo lo detectan y previenen los bancos, las carteras digitales y las empresas de pagos.
1. El fraude de toma de control de cuentas en resumen
2. ¿Qué es el fraude de toma de control de cuentas?
3. Cómo funcionan los ataques de fraude ATO
4. Ejemplos reales de toma de control de cuentas
5. Señales de alerta de la toma de control de cuentas
6. Por qué es difícil detectar la toma de control de cuentas
7. Cómo prevenir el fraude de toma de control de cuentas
8. Todo lo que necesitas saber sobre el fraude de toma de control de cuentas
9. Preguntas frecuentes
| Etapa | Qué ocurre | Dónde se puede frenar |
|---|---|---|
| Acceso | Credenciales robadas, obtenidas por phishing o restablecidas | Comprobaciones de riesgo en el acceso, autenticación fuerte |
| Control | Se cambian el correo electrónico, el teléfono o la contraseña | Monitoreo de los cambios en la cuenta |
| Preparación | Se añade un beneficiario o un dispositivo nuevo | Periodos de enfriamiento, comprobaciones reforzadas |
| Cobro | Transferencias, compras o crédito nuevo | Scoring de transacciones en tiempo real |
El fraude de toma de control de cuentas, a menudo abreviado como fraude ATO (por sus siglas en inglés), se produce cuando un delincuente accede a una cuenta existente y la usa como si fuera el titular. Se diferencia del fraude de cuentas nuevas, en el que el delincuente abre una cuenta nueva con datos robados o sintéticos. Una toma de control hereda el historial y la confianza de la víctima, por lo que los primeros pagos suelen pasar sin fricción.
El ATO afecta a cuentas bancarias, carteras vinculadas a tarjetas, aplicaciones de pago, cuentas de comercio y cualquier servicio que almacene dinero o datos de pago. La magnitud del problema se trata en nuestras estadísticas de fraude de toma de control de cuentas.
Los delincuentes toman pares de nombre de usuario y contraseña filtrados en brechas y los prueban en muchos servicios. Como la gente reutiliza contraseñas, una pequeña parte funciona.
Una página de acceso falsa, enviada por correo electrónico o mensaje de texto, captura las credenciales y, a menudo, también el código de un solo uso, en tiempo real.
El delincuente convence al operador móvil de que traslade el número de la víctima a una SIM nueva y después recibe todos los códigos de acceso por mensaje de texto.
Haciéndose pasar por el cliente, el delincuente llama a la línea de soporte del banco o de la cartera y pide un restablecimiento de contraseña o un cambio de número de teléfono.
Los dispositivos infectados capturan las pulsaciones del teclado o secuestran las sesiones después de que el cliente genuino inicia sesión.
Estos escenarios reflejan las cadenas de ataque que más ven los equipos de fraude.
La cadena de restablecimiento. Una contraseña de correo electrónico obtenida por phishing permite al delincuente restablecer el acceso bancario de la víctima. Añade un beneficiario nuevo, mueve el saldo en varias transferencias y después borra los correos de alerta.
El vaciado por intercambio de SIM. El teléfono de la víctima pierde la señal un sábado. Cuando consigue hablar con su operador, los códigos de un solo uso ya han autorizado transferencias desde sus ahorros.
La recarga de la cartera. Un acceso robado a una cartera digital se usa para añadir una tarjeta nueva financiada con datos robados, comprar tarjetas regalo y retirar fondos antes de que la víctima se dé cuenta.
La llamada a soporte. Un delincuente que conoce la fecha de nacimiento y la dirección de la víctima convence a un agente de soporte de que cambie el número de teléfono registrado y después toma el control de la cuenta mediante un restablecimiento estándar.
| Señal | Por qué importa |
|---|---|
| Acceso desde un dispositivo nuevo y una ubicación nueva | Es el primer paso más habitual |
| Cambio de contraseña o de correo electrónico seguido de actividad | Los delincuentes dejan primero fuera al titular |
| Se añade un beneficiario nuevo y se le paga en pocas horas | Los clientes legítimos rara vez pagan de inmediato a beneficiarios nuevos |
| Cambio en el tamaño o la rapidez de las transferencias | Vaciar una cuenta se ve distinto del gasto normal |
| Varios accesos fallidos en muchas cuentas | Firma del credential stuffing |
| Contacto con soporte para cambiar el número de teléfono | Vía habitual de la ingeniería social |
Cada paso puede parecer legítimo por sí solo. La gente cambia de teléfono, restablece contraseñas olvidadas y paga a personas nuevas. Un sistema que revisa cada evento de forma aislada no ve nada inusual.
El delincuente también se autentica con éxito. Tiene las credenciales y, a veces, el código de un solo uso, de modo que las comprobaciones de acceso se superan. La autenticación fuerte sube el listón, pero los kits de phishing que retransmiten códigos en tiempo real y los intercambios de SIM la esquivan.
La señal está en la secuencia y en cuánto se aparta del comportamiento habitual del cliente. Eso exige monitorear la cuenta a lo largo del tiempo y puntuar el pago final teniendo a la vista el historial reciente de la cuenta.
Reforzar el acceso
Usa aplicaciones de autenticación o passkeys en lugar de códigos por mensaje de texto siempre que sea posible. Puntúa cada acceso por riesgo usando el dispositivo, la ubicación y el comportamiento, y refuerza la autenticación cuando parezca inusual.
Trata los cambios de correo electrónico, teléfono, contraseña y beneficiarios como eventos de alto riesgo. Añade periodos de enfriamiento antes de que un beneficiario nuevo pueda recibir importes grandes y notifica al cliente por un canal que el delincuente no haya cambiado.
Cuando se mueve dinero, puntúa el pago frente a los eventos recientes de la cuenta. Una transferencia que sigue a un dispositivo nuevo, un cambio de contacto y un beneficiario nuevo debe puntuar mucho más alto que la misma transferencia desde una cuenta estable.
Las cuentas tomadas suelen usarse para recibir y reenviar fondos robados. Monitorear las entradas y las salidas detecta las cuentas que actúan como mulas. Descubre cómo funciona la detección de muleros financieros en el lado receptor.
Exige una verificación más fuerte antes de cambiar los datos de contacto por teléfono y señala las cuentas en las que se piden cambios poco después de un acceso sospechoso.
Anima al uso de contraseñas únicas, aplicaciones de autenticación y PIN del operador. Las protecciones personales se tratan en nuestra guía sobre el robo de identidad.
| Tema | Punto clave |
|---|---|
| Definición | Un delincuente controla la cuenta de un cliente genuino |
| Magnitud | Unos 6 millones de víctimas en EE. UU. en 2025 (Javelin) |
| Puntos de entrada habituales | Credential stuffing, phishing, intercambios de SIM, estafas al soporte |
| Por qué es difícil de detectar | Cada paso parece legítimo por sí solo |
| Señal clave | La secuencia de cambios en la cuenta antes de que se mueva el dinero |
| Controles principales | Acceso fuerte, monitoreo de cambios, scoring de pagos |
| Vínculo con otros fraudes | Redes de mulas y estafas de pago autorizado |
Fraudio puntúa cada pago en tiempo real y perfila las cuentas a lo largo del tiempo, siguiendo las entradas, las salidas, la velocidad, las contrapartes y las señales de dispositivo e IP. Una transferencia que sigue a una actividad inusual de la cuenta puntúa más alto, de modo que los equipos pueden retenerla antes de que salga. Su monitorización de transferencias de cuenta a cuenta también detecta las cuentas que actúan como mulas. La integración lleva de 3 a 14 días, con precios por uso.
Está pensado para bancos, bancos digitales, proveedores de carteras, emisores y empresas de pagos. La inteligencia de dispositivo y la verificación de identidad llegan mediante integraciones con socios.
Habla con nuestro equipo sobre la detección de tomas de control de cuentas
El fraude de toma de control de cuentas es cuando un delincuente consigue el control de la cuenta de un cliente genuino y la usa para mover dinero, hacer compras o abrir crédito. Se diferencia del fraude de cuentas nuevas porque la cuenta ya tiene historial y confianza. Javelin contó unos 6 millones de víctimas en EE. UU. en 2025, un 18 % más que en 2024.
Los delincuentes toman el control de las cuentas sobre todo mediante credential stuffing con contraseñas filtradas, phishing que captura accesos y códigos de un solo uso, intercambios de SIM que redirigen los mensajes de texto e ingeniería social dirigida al personal de soporte. El malware en el dispositivo de la víctima es otra vía. La reutilización de contraseñas hace que el credential stuffing sea eficaz a gran escala.
Las señales de una toma de control de cuentas son un acceso desde un dispositivo o una ubicación nuevos, seguido de cambios de correo electrónico, teléfono o contraseña, un beneficiario nuevo añadido y pagado rápidamente y transferencias más grandes o rápidas de lo habitual. Cada evento puede parecer normal por sí solo. Juntos, y en ese orden, forman el patrón clásico de una toma de control.
Los bancos detectan el fraude de toma de control de cuentas puntuando los accesos por riesgo, tratando los cambios de cuenta como eventos de alto riesgo y puntuando los pagos con la actividad reciente de la cuenta a la vista. Una transferencia tras un dispositivo nuevo y un beneficiario nuevo puntúa mucho más alto que la misma transferencia desde una cuenta estable. Monitorear las cuentas receptoras también detecta los fondos que se reenvían a través de mulas.
La autenticación de dos factores frena la mayoría de los intentos de toma de control de cuentas, pero no todos. Los kits de phishing pueden retransmitir códigos de un solo uso en tiempo real y los intercambios de SIM redirigen los códigos por mensaje de texto. Las aplicaciones de autenticación y las passkeys son más difíciles de eludir que los mensajes de texto.
La toma de control de cuentas es una forma de robo de identidad en la que el delincuente controla una cuenta existente en lugar de abrir una nueva a nombre de la víctima. El robo de identidad es el término más amplio para cualquier uso fraudulento de los datos personales de alguien. Las tomas de control suelen ser más rápidas y más perjudiciales, porque la cuenta ya contiene dinero o crédito.
El credential stuffing es un ataque en el que los delincuentes prueban grandes listas de pares de nombre de usuario y contraseña filtrados en otros servicios, apoyándose en la reutilización de contraseñas. Solo una pequeña parte tiene éxito, pero las herramientas automatizadas prueban millones de pares. El scoring de riesgo en el acceso y los límites de frecuencia ayudan a frenarlo.
Las pérdidas por toma de control de cuentas suelen quedar cubiertas por el banco o el emisor de la tarjeta cuando los pagos no estaban autorizados y se denunciaron con prontitud. Cuando se engañó al cliente para que aprobara un pago, la responsabilidad varía según el país, y las normas del Reino Unido exigen ahora el reembolso en muchas estafas de pago autorizado. Las instituciones asumen buena parte del coste, por eso importa detectar antes de que se mueva el dinero.
¿Quieres probar nuestra solución y experimentar la próxima generación por ti mismo?
