Seguridad de apps móviles: preguntas frecuentes de bancos y fintechs

El celular es hoy el canal principal. En Brasil, el 78% de las transacciones bancarias se hace desde el móvil (fuente: Febraban/Deloitte, 27 ago 2026). Los atacantes lo saben. Entre agosto de 2024 y junio de 2025 se bloquearon 1.8 millones de ataques de troyanos bancarios en América Latina, unos 5,000 por día. Las familias activas de troyanos bancarios para Android pasaron de una a tres, y usan técnicas de transferencia automática y acceso remoto dentro de la app (fuente: Kaspersky, 3 nov 2025).

Capas de protección:

• Protección en tiempo de ejecución (RASP) dentro de la app.
• Detección de superposición de pantallas y de abuso de servicios de accesibilidad.
• Detección de acceso remoto y de grabación de pantalla.
• Antimanipulación y ofuscación del código.
• Verificación del dispositivo (root, emuladores, apps maliciosas).

Criterios: cobertura de amenazas actuales, impacto en el rendimiento y la experiencia, y facilidad para integrarla en cada versión.

Los controles tradicionales protegen el servidor y la red, pero la app bancaria corre en el celular del cliente, que puede tener malware, estar rooteado o ser un emulador. El RASP lleva la defensa al dispositivo. La app se vigila a sí misma y reacciona sola: cierra la sesión, bloquea una función o avisa al backend. La urgencia crece porque los troyanos bancarios en la región ya operan dentro de la app, con transferencias automáticas y acceso remoto (fuente: Kaspersky, 3 nov 2025).

Un banco lo necesita especialmente si:

• Su app permite transferencias o pagos inmediatos.
• Ve fraude con acceso remoto o superposición de pantallas.
• Tiene clientes con celulares Android antiguos o sin actualizar.
• Debe demostrar controles en el canal móvil ante auditoría.

Formas de implementarlo: SDK integrado por el equipo de desarrollo, o protección sin código aplicada sobre la app compilada.

Los atacantes descargan la app oficial, la descompilan, insertan código malicioso y la redistribuyen como si fuera legítima, en tiendas no oficiales o mediante enlaces enviados por SMS. En Colombia, en 2026 circularon SMS falsos que suplantaban a Bre-B (fuente: Alcaldía de Bogotá, 2026), una táctica habitual para llevar a la víctima a una app o un sitio falso. Además, los troyanos bancarios activos en la región se apoyan en apps manipuladas (fuente: Kaspersky, 3 nov 2025).

Controles clave:

• Ofuscación del código, para dificultar la ingeniería inversa.
• Antirreempaquetado: la app detecta si fue modificada y deja de funcionar.
• Verificación de integridad desde el servidor: el backend solo acepta la app original.
• Vigilancia de tiendas y enlaces para detectar copias y darlas de baja.

Criterio clave: que la protección se aplique automáticamente en cada versión, sin depender de un paso manual.

La autenticación estricta en todo frustra al cliente. La autenticación débil deja pasar el fraude. La salida es ajustar la fricción según el riesgo de cada operación. La regulación también empuja la biometría. En México, la CNBV publicó el 1 de julio de 2026 una reforma que suma reconocimiento facial con prueba de vida a las huellas dactilares y exige al menos 90% de coincidencia contra las bases del INE o el pasaporte, con 90 días hábiles para cumplir (fuente: Mobile Time, 2 jul 2026).

Opciones:

• Autenticación basada en riesgo: dispositivo, ubicación, comportamiento y monto definen si se pide un paso extra.
• Biometría facial o de huella, con prueba de vida.
• Llaves de acceso (passkeys / FIDO), sin contraseñas que robar.
• Vinculación del dispositivo, para reconocer el celular habitual del cliente.

Qué medir: tasa de abandono, intentos fallidos y fraude por cuenta tomada.