En el segundo trimestre de 2026, se robaron a clientes bancarios a través del Sistema de Pagos Rápidos (SBP) 2,74 mil millones de rublos, la cifra más alta desde que se tiene registro. Los bancos solo lograron recuperar el 2,1% de este dinero, mientras que se registraron más de 129.000 episodios de robo, casi el triple que el año anterior. En comparación con el primer trimestre, las pérdidas aumentaron un 4%, y en términos interanuales, un 25%.
Mientras tanto, los demás canales de robo muestran una dinámica opuesta. Las pérdidas por tarjetas bancarias fueron de alrededor de 1.300 millones de rublos, un 17% menos que el año anterior, y la proporción de reembolso a los clientes aquí alcanzó el 13,3%. A través de la banca a distancia se robaron 2,17 mil millones de rublos, un 7% menos que el indicador del año pasado. En total, el volumen de operaciones sin el consentimiento voluntario del cliente no superó los 7,4 mil millones de rublos, con 458.700 casos registrados, y los bancos durante el mismo período bloquearon 17,5 millones de intentos de robo por un valor de aproximadamente 1,9 billones de rublos. La proporción de compensación a las víctimas en todos los segmentos aumentó al 7%.
Por qué las tarjetas están mejor protegidas que las transferencias
La reducción de robos en tarjetas y cuentas está relacionada en gran medida con el mecanismo del "período de enfriamiento": el banco tiene derecho a suspender una transferencia sospechosa por un plazo de hasta dos días en base a indicios aprobados por el Banco de Rusia, y a advertir al cliente. Tras una confirmación reiterada, la operación se ejecuta, pero solo si los datos del beneficiario no figuran en la base de cuentas fraudulentas. En los pagos con tarjeta también opera el mecanismo de chargeback, que permite impugnar una operación retroactivamente: la infraestructura de tarjetas se ha perfeccionado durante años, y la reducción de robos por este canal parece ser el resultado lógico de este trabajo. También juega un papel adicional el hecho de que, en una transferencia, los fondos primero se bloquean en la tarjeta del remitente, en lugar de cargarse de inmediato; esto le da al banco tiempo para prevenir el fraude y devolver el dinero.
El SBP funciona de manera diferente. La transferencia llega directamente a la cuenta de una persona física o de un intermediario, tras lo cual los fondos a menudo se dividen en cantidades más pequeñas y se envían más adelante en la cadena. Estas transferencias son instantáneas y no tienen un análogo al chargeback; solo se pueden recuperar los fondos con el consentimiento del beneficiario o mediante un tribunal. El servicio se creó originalmente para ser lo más rápido y conveniente posible, por lo que la protección contra el fraude pasó a ser una tarea secundaria: la transferencia la inicia el propio cliente, y el banco solo ejecuta la operación al instante sin posibilidad de revertirla, algo que aprovechan los delincuentes mediante ingeniería social.
La ingeniería social gana terreno
La vulnerabilidad del SBP está directamente relacionada con el aumento de ataques mediante métodos de ingeniería social: en el segundo trimestre, su número alcanzó los 28.700, el máximo en dos años. Esto es casi una vez y media más que en el trimestre anterior, y más del doble que el indicador de hace un año. Dado que la transferencia a través del SBP la inicia el propio cliente, los delincuentes apuestan precisamente por convencer a la víctima, no por vulnerar las protecciones técnicas.
El regulador cambia las reglas del juego
Parte del efecto en las tarjetas y cuentas está relacionado con los nuevos requisitos para los bancos. Desde principios de año, la lista de indicios de operaciones fraudulentas se amplió de 6 a 12 puntos, incluyendo transferencias sospechosas a uno mismo a través del SBP antes de enviar fondos a terceros.
A finales de junio, el presidente de Rusia, Vladimir Putin, firmó el segundo paquete de medidas antifraude: el sistema "Antifraude 2.0", que cambia las reglas de operación para bancos y operadores de telecomunicaciones. La novedad clave es la ampliación de las facultades de los bancos: si el sistema detecta indicios de infección del dispositivo del cliente con software malicioso, la entidad crediticia tendrá derecho a suspender la transferencia o a denegarla por completo. La ley también introduce un mecanismo de compensación para las víctimas de estafadores, si el banco o el operador de telecomunicaciones violó los requisitos establecidos para prevenir robos, bajo la condición de que el cliente no haya transferido el dinero a los delincuentes por su propia voluntad. Las normas entrarán en vigor de manera escalonada, el bloque principal a partir de 2027.
Opinión de la IA
Desde el punto de vista del análisis de datos automatizado, el caso ruso no es único: una vulnerabilidad similar en los pagos instantáneos se manifestó también en el Reino Unido, donde Faster Payments durante muchos años fue el canal principal para estafadores mediante ingeniería social. Tras la introducción de una compensación obligatoria para las víctimas a partir de octubre de 2024, el regulador registró una reducción de las pérdidas por este canal de aproximadamente un 21%, y la proporción de casos reembolsados aumentó del 54% al 65%. Esto demuestra que trasladar la responsabilidad financiera a los bancos puede cambiar el comportamiento del sistema más rápidamente que las meras restricciones técnicas.
La experiencia británica también muestra el reverso de la moneda: incluso después de la reforma, el esquema cubría solo alrededor de una décima parte de todas las operaciones de pago del país, dejando las tarjetas y otros canales fuera de la protección. El "Antifraude 2.0" ruso entra en vigor de manera escalonada y cubre un círculo más amplio de operaciones; la cuestión es si una responsabilidad ampliada de los bancos conducirá a una brecha similar entre los canales de pago protegidos y no protegidos.
