Ciberseguridad en México: de las estafas al colapso de infraestructuras críticas
Sissi De La Peña es Directora Gral de The Dot Network & Directora del capítulo México de la Global Anti-Scam Allianza (GASA)
Dos paneles, una cadena de vulnerabilidad
El 5 de noviembre de 2025, participé como moderadora en dos espacios críticos de debate sobre ciberseguridad mexicana que ocurrieron el mismo día, uno seguido del otro. Por la mañana, un panel en línea abordó el lanzamiento del Informe de Estafas de México 2025 de la Global Anti-Scam Alliance (GASA). Unas horas después, presencialmente en el México Digital Summit 2025 de DPL Group, me reuní con líderes de infraestructura digital (Huawei, Ericsson, Cisco y Scitum Telmex).
Esta proximidad temporal entre ambos eventos permitió una reflexión única: conectar las estafas documentadas en la mañana con sus implicaciones sistémicas en infraestructuras críticas por la tarde. Ambos paneles revelaron una verdad incómoda: la estabilidad económica de México está comprometida por un asedio digital que comienza con engaños sencillos y termina en la parálisis de infraestructuras críticas.
El 1er debate: el lanzamiento del México Scam Report: la puerta de entrada
El panel en línea sobre el Informe de Estafas de México 2025 documentó un escenario crítico que define el inicio de la cadena de vulnerabilidad.
La GASA en México registró que 76% de adultos mexicanos ha sido víctimas de estafa, con pérdidas de 139 mil millones de pesos en el último año. El vector predominante: engaños en WhatsApp y Facebook que, mediante ingeniería social, comprometen credenciales de usuarios que desconocen que sus datos se convertirán en llaves de acceso a sistemas más críticos.
La conexión crítica que este panel ilustró: estas credenciales no terminan en fraude aislado al consumidor. Son puertas de entrada hacia ataques devastadores que paralizan manufactura, gobierno y servicios críticos.
De este debate destacó en primer lugar la perspectiva del sector financiero. Rogelio Garduño, Director Ejecutivo de Prevención de Fraudes de Scotiabank México, enfatizó que “el eslabón más débil es nuestro usuario”.
Los bancos detectan anomalías transaccionales en tiempo real y despliegan autenticación reforzada, pero una vez comprometido el usuario por un scam, la defensa se vuelve reactiva. Garduño identificó que la brecha es institucional, no tecnológica.
Telcos, marketplaces, proveedores y bancos actúan aislados. Sin colaboración estructurada, “fallamos como ecosistema”. Esta fragmentación permite que credenciales comprometidas sigan siendo explotadas, elevando el riesgo de ataques contra infraestructuras críticas.
La segunda perspectiva a destacar son las propuestas del sector público. Heidy Rocha, Directora General de Ciberseguridad de la Agencia de Transformación Digital y Telecomunicaciones (ATDT), destacó que el problema central no es sólo la cifra económica, sino una profunda crisis de confianza institucional. El 45% de víctimas nunca reporta y 82% debe denunciar varias veces antes de ser escuchado. Heidy Rocha propuso tres transformaciones:
- Una ventanilla digital única nacional con seguimiento automatizado y ejemplos exitosos como Report Cyber (Reino Unido) y Action Fraud (Australia).
- Un protocolo de interoperabilidad antifraude donde instituciones compartan datos de incidentes de forma segura. Un fraude detectado por una telco activaría alertas inmediatas en bancos y plataformas.
- Una estrategia nacional permanente de cultura antifraude combinando dimensiones cognitiva, emocional y práctica.
Panel 2: Mexico Digital Summit 2025: de la vulnerabilidad individual a la crítica sistémica
En la tarde, presencialmente, el panorama cambió de escala. Un panel de líderes de infraestructura digital trasladó la conversación desde estafas individuales hacia compromisos de sistemas críticos.
El contexto era urgente: México registró 40,600 millones de intentos de ciberataques en el primer semestre de 2025. Las estafas documentadas por la mañana no eran fraudes aislados; eran el eslabón inicial de una cadena que termina en ransomware paralizando servicios esenciales.
La infraestructura como fundamento crítico
Elizabeth Peña (Ericsson) fue inequívoca: “Internet no puede existir sin infraestructura que lo soporte”. La ciberseguridad debe blindarse desde el diseño del producto, no como parche tardío. La norma SCS 9001 no es lujo, es corresponsabilidad entre tecnología y gobierno.
Manuel Díaz Franco (Huawei) propuso cinco acciones de extremo a extremo: i) integridad verificada desde el producto, ii) operadores responsables de seguridad operativa, iii) configuración adaptada al contexto, iv) vulnerabilidades gestionadas continuamente y v) ciclo de vida planificado. Su advertencia fue directa: la infraestructura de cómputo para IA será próximamente un activo crítico bajo amenaza.
Adriana Servín (Cisco) presentó la ecuación: tres pilares crean resiliencia: autenticación multifactor, arquitectura Zero Trust e inversión en talento. Pero el déficit es agudo: 76% de vacantes en ciberseguridad global siguen sin cubrir. Su conclusión fue incisiva: “no hay riesgo cero. La ciberseguridad no es táctica técnica; es estrategia de negocio basada en el factor humano. Si el crimen organizado fuera un país, sería el tercero mundial”.
Imelda Flores (Scitum) cerró advirtiendo que la IA baja barreras de entrada para el cibercrimen. Invertir en ciberseguridad “es un gasto necesario” que determina si el ataque será “una bala al pie o una bala al corazón”.
Debemos cerrar la cadena de vulnerabilidad
En un único día, ambos paneles expusieron una verdad sistémica: las estafas documentadas por GASA (76% de adultos como víctimas, 139 mil millones de pesos robados) no son incidentes aislados. Son el primer paso de una cadena que escala hacia infraestructuras críticas.
El primer debate identificó la brecha: usuario comprometido sin protección multiactor. El segundo debate planteó la solución: infraestructura blindada desde el origen, extremo a extremo por diseño, costo-beneficio sostenible con talento y anticipación de nuevas amenazas.
La conexión es directa y peligrosa. Desde WhatsApp o SMS donde comienza el scam hasta el ransomware que paraliza infraestructuras críticas, existe una cadena sin defensas coordinadas.
México enfrenta una elección: un modelo reactivo que gestiona crisis consumidor por consumidor o un modelo de resiliencia coordinada que anticipa colapsos. Hoy actúa sobre usuarios vulnerados. Mañana actuará sobre economía paralizada.
La conclusión es ir de un modelo reactivo a la resiliencia coordinada. La ciberseguridad en México requiere un ecosistema integrado donde la detección temprana de estafas active defensas inmediatas en cadena, la infraestructura crítica opere bajo controles de extremo a extremo y el sector público coordine interoperabilidad real entre telecomunicaciones, finanzas y autoridades.
No será suficiente tecnología sin coordinación. No será suficiente detección sin defensa sistémica. La próxima ola de ransomware no atacará un consumidor aislado; atacará infraestructuras críticas comprometidas por credenciales robadas en estafas que nadie denunció porque el sistema no mereció confianza.
Cerrar esa brecha es la única garantía de estabilidad económica.
Fuentes:
- 1er debate: Lanzamiento del México Scam Report 2025, GASA [en línea, 5 de noviembre de 2025], Youtube. Link aquí.
- Panel 2: “Seguridad de infraestructuras críticas: riesgos cero para los activos vitales” – Mexico Digital Summit 2025, DPL News [presencial, 5 de noviembre de 2025, unas horas después].