Cuentas mula e identidades sintéticas: PLD/FT en onboarding
Martha nunca abrió esa cuenta
Martha perdió su credencial del INE en un camión. Meses después, una carta del banco le pidió aclarar depósitos por cientos de miles de pesos. Ella nunca había abierto esa cuenta.
Con su credencial, alguien abrió en una tarde varias cuentas digitales de bajo riesgo en distintas apps. Por ellas pasó dinero de extorsiones en montos pequeños, para no levantar alertas, hasta que la última cuenta lo retiró. Para el sistema financiero, quien movió ese dinero fue Martha.
El caso es ilustrativo, pero el patrón es real. El lavado de dinero ya no necesita maletas de efectivo en una sucursal: necesita un onboarding digital que no distinga a una persona de su identificación.
El pitufeo digital
El pitufeo consiste en fraccionar dinero ilícito en muchas operaciones pequeñas para que ninguna llame la atención. En su versión digital, el insumo clave es la cuenta: cuantas más cuentas abre la red, más fácil dispersa los fondos. Detrás de cada cuenta mula suele haber una de tres identidades.
Identidad | Cómo se obtiene | Por qué pasa el onboarding |
|---|---|---|
Robada | Credencial perdida, fotografiada o filtrada; datos comprados en mercados ilegales | El documento es auténtico; si no se verifica que la persona presente es su titular, el sistema aprueba |
Sintética | Mezcla de datos reales (una CURP válida) con datos falsos (nombre, foto o domicilio) | Cada dato aislado parece correcto; nadie coteja que todos pertenezcan a la misma persona |
Prestada | La persona real abre la cuenta y la entrega a cambio de un pago, a veces sin entender el riesgo | La biometría es real; solo el monitoreo posterior y las señales del dispositivo la delatan |
Por esas cuentas transitan recursos de extorsión, trata de personas y fraudes como el pig butchering. Las cuentas de bajo nivel transaccional son las preferidas: piden menos requisitos y abrirlas toma minutos.
La regulación ya anticipa estos esquemas. Las disposiciones del artículo 115 prohíben abrir cuentas bajo nombres ficticios (10ª). También obligan a considerar inusuales las operaciones fraccionadas para evadir controles y los casos en que el cliente presenta información que pudiera ser apócrifa o datos que pudieran ser falsos (38ª).
Quién regula a quién
A diferencia de la reforma biométrica a la CUB, que solo obliga a los bancos, las reglas de PLD/FT alcanzan a todo el sistema financiero. Cada tipo de entidad tiene su ley y sus disposiciones, emitidas por la Secretaría de Hacienda, pero el fondo es el mismo: conocer al cliente, evaluar su riesgo, vigilar sus operaciones y reportar lo inusual.
Entidad | Fundamento legal | Supervisión de PLD/FT |
|---|---|---|
Bancos | Art. 115 de la Ley de Instituciones de Crédito | CNBV |
Sofomes reguladas y no reguladas | Art. 95 Bis de la Ley General de Organizaciones y Actividades Auxiliares del Crédito | CNBV |
Sofipos | Art. 124 de la Ley de Ahorro y Crédito Popular | CNBV |
Fintech (ITF) | Art. 58 de la Ley para Regular las Instituciones de Tecnología Financiera | CNBV |
La Unidad de Inteligencia Financiera (UIF) recibe los reportes de operaciones relevantes, inusuales e internas preocupantes y los analiza. Quien entra a revisar expedientes, procesos y sistemas es la CNBV. Ninguna de las dos se conforma con saber que usted pidió una identificación: quieren ver cómo la validó.
El expediente audit-ready: qué revisa el supervisor
Un expediente está listo para auditoría cuando un tercero puede reconstruir, años después, cómo se identificó al cliente y por qué se le aceptó.
Las Disposiciones de carácter general del artículo 115 de la Ley de Instituciones de Crédito lo dejan claro. Estas son las obligaciones que más pesan en un onboarding digital:
Momento | Qué exige la norma | Disposición |
|---|---|---|
Antes de abrir | Integrar el expediente de identificación antes de abrir la cuenta; prohibido abrir cuentas anónimas o bajo nombres ficticios | 4ª y 10ª |
Verificación | Si surgen dudas sobre la veracidad o autenticidad de los datos o documentos, dar seguimiento puntual a todas las operaciones del cliente | 31ª |
Grado de riesgo | Clasificar a cada cliente al menos como de alto o bajo riesgo y reevaluarlo dos veces al año | 25ª |
Primeros seis meses | Usar los montos mensuales que el cliente declaró como perfil inicial, dentro de un sistema de alertas que detecte inconsistencias | 25ª |
Monitoreo | Sistemas automatizados que agrupen todas las cuentas de un mismo cliente y detecten operaciones fraccionadas | 51ª y 38ª |
Reportes | Reportar una operación inusual en máximo 60 días naturales desde la alerta, o en 24 horas si hay indicios de recursos ilícitos | 37ª y 41ª |
Integridad | Sistemas que garanticen integridad, disponibilidad, auditabilidad y confidencialidad de la información | 51ª |
Auditoría | Revisión anual por auditoría interna o un auditor externo independiente, con resultados enviados a la CNBV | 60ª |
La conservación es parte de la obligación. El expediente se guarda durante toda la vida de la cuenta y al menos 10 años después de que termine; los reportes y su documentación soporte, al menos 10 años desde su envío (disposición 59ª). Sofomes, Sofipos y Fintech tienen disposiciones propias con la misma lógica.
En el Foro RIDMX, la CNBV advirtió que muchas instituciones solo anotan "dijo 80%" en lugar de guardar la respuesta completa de la validación. "Eso no es trazabilidad", señaló.
NOM-151: lo que sí hace y lo que no
La NOM-151-SCFI-2016 fija los requisitos para conservar mensajes de datos de forma que se pueda demostrar que no fueron alterados. Es la herramienta que convierte un expediente digital en evidencia defendible.
La NOM-151 sí | La NOM-151 no |
|---|---|
Genera una constancia de conservación emitida por un Prestador de Servicios de Certificación acreditado por la Secretaría de Economía | Es un sello que emita la propia Secretaría de Economía |
Liga el expediente a una huella digital (hash) y a una fecha y hora ciertas | Dice qué documentos debe contener el expediente |
Permite demostrar que el expediente no cambió desde su creación | Prueba que la identificación fue correcta: solo prueba que lo que se guardó no cambió |
Da presunción de integridad ante un juez, conforme al Código de Comercio | Garantiza por sí sola el resultado de un juicio |
Por eso el orden importa. Primero, el expediente debe contener la evidencia correcta, incluida la respuesta íntegra del servicio de verificación. Para los bancos, la reforma biométrica a la CUB ya exige esa evidencia documental. Después, la constancia NOM-151 asegura que nadie pueda alterarla.
Geolocalización y señales del dispositivo
Las disposiciones obligan a tener un sistema de alertas que detecte cambios en el comportamiento del cliente (25ª) y a considerar inusuales los indicios que no tengan explicación (38ª). La geolocalización y las señales del dispositivo son de las fuentes más eficaces para alimentar ese sistema, porque detectan patrones que ningún documento revela.
Una identidad robada puede pasar una verificación aislada. Lo que no puede ocultar es el contexto en que se usa:
Decenas de cuentas abiertas desde el mismo dispositivo, la misma IP o las mismas coordenadas.
Altas cuya ubicación no corresponde con el domicilio ni con el historial del cliente.
Dispositivos emulados, con root o jailbreak, o con la ubicación falseada por software.
Cuentas recién abiertas que reciben muchos depósitos pequeños y vacían el saldo en horas.
Cada señal por separado puede tener una explicación inocente. Juntas, y cruzadas con la biometría y el grado de riesgo, son la forma más temprana de detectar una red de cuentas mula.
La postura de Robo de IDentidad MX
Las instituciones financieras son la última barrera entre el crimen organizado y sus ganancias. Cuando el área comercial presiona por un onboarding sin fricción y Cumplimiento cede, el costo no se queda en la institución.
La institución arriesga sanciones de la CNBV y su reputación. El Oficial de Cumplimiento y el Consejo responden por los controles que aprobaron. Y una persona como Martha, que nunca abrió una cuenta, queda ligada a operaciones con recursos ilícitos y tiene que demostrar su inocencia.
La seguridad desde el diseño no es un freno al crecimiento. Es la condición para crecer sin convertirse en infraestructura del crimen.
Checklist: 8 preguntas para el Oficial de Cumplimiento
Si alguna respuesta es "no" o "no sé", su onboarding puede estar abriendo cuentas mula.
Verificación: ¿conserva la respuesta íntegra del servicio de verificación de cada cliente, con fecha, hora y resultado?
Titularidad: ¿comprueba que quien presenta el documento es su titular, con biometría y prueba de vida, y no solo que el documento es auténtico?
Coherencia de datos: ¿cruza CURP, nombre, foto y domicilio para detectar identidades sintéticas?
Integridad: ¿cada expediente tiene constancia de conservación NOM-151 emitida por un PSC acreditado?
Dispositivo: ¿registra geolocalización, IP y huella del dispositivo, y detecta emuladores, root y ubicación falseada?
Patrones: ¿tiene alertas para múltiples altas desde el mismo dispositivo, IP o ubicación?
Monitoreo temprano: ¿vigila con especial atención las cuentas nuevas que reciben muchos depósitos pequeños y se vacían rápido?
Gobierno: ¿el Consejo conoce el apetito de riesgo del onboarding y quién autoriza relajar controles por razones comerciales?
Un onboarding que resista una inspección
Pedir la identificación nunca fue suficiente. Hoy el supervisor revisa cómo se validó, qué evidencia se guardó y si alguien puede demostrar que no cambió. Un expediente que no responde esas tres preguntas es un riesgo, aunque el cliente sea real.
En Robo de IDentidad MX ayudamos a bancos, Sofipos, Sofomes y Fintechs a revisar su onboarding contra estas preguntas y a cerrar las brechas antes de una visita de inspección.
Agende un diagnóstico ejecutivo de 30 minutos. Revisamos su flujo contra las 8 preguntas de este artículo y le entregamos un semáforo de brechas, sin costo. [email protected]
Este artículo es de carácter informativo y no constituye asesoría legal. Las referencias regulatorias deben revisarse contra el texto vigente publicado en el DOF.
