¿Quién responde cuando el fraude sí lo autorizaste?

La operación fue tuya

En el fraude autorizado no hay intrusión. La transferencia salió con tus credenciales, tu autenticación y tu instrucción: técnicamente impecable. Ese es el problema. La protección bancaria se construyó para lo contrario, y ahí terminó aterrizando esta serie completa.

El término tiene nombre propio en la regulación anglosajona: authorised push payment fraud, o fraude por pago autorizado. De acuerdo con la definición del Payment Systems Regulator del Reino Unido, se trata de una operación que el titular ordena voluntariamente después de ser engañado sobre quién recibe el dinero o sobre para qué sirve ese pago. No hay sesión secuestrada ni credenciales robadas: hay una persona convencida.

Esa distinción no es semántica. Es la que decide quién absorbe la pérdida, y lo decide antes de que alguien revise un solo registro.

El binario que decide antes de investigar

Los sistemas de protección financiera del mundo operan sobre una clasificación de dos casillas: la operación no reconocida, donde responde la institución, y la operación autorizada, donde responde el usuario. Toda arquitectura de engaño que esta serie describió produce, al final del recorrido, una operación de la segunda casilla.

En México el mecanismo es explícito. La CONDUSEF describe el procedimiento de cargos no reconocidos así: tras la reclamación ante la Unidad Especializada del banco, la institución generalmente abona los recursos a las 48 horas, pero mantiene abierta una investigación que puede durar hasta 45 días. Ese abono es provisional. La propia comisión advierte que existe la posibilidad de revertirlo si se demuestra que el usuario o alguno de sus tarjetahabientes adicionales autorizó la operación. Si pasan los 45 días sin dictamen, la reclamación procede.

Léelo otra vez con el vocabulario de la serie encima. El disparador de la reversión es el verbo autorizar. Y autorizar es exactamente lo que el fraude moderno consigue: no rompe la autenticación, la atraviesa con el consentimiento del titular. El fraude no venció a la protección financiera: cumplió su definición de exclusión.

La protección financiera no se diseñó contra el fraude. Se diseñó contra el acceso no autorizado. Todo lo que pasa por tus propias manos queda fuera del perímetro, y esa exclusión es anterior a cualquier investigación.

Cuánto vuelve, según quién cuente

Los datos mexicanos del primer trimestre de 2026 permiten medir el efecto, siempre que no se los promedie. Según el Buró de Entidades Financieras de la CONDUSEF, construido con las quejas que las instituciones reportan a la Comisión Nacional Bancaria y de Valores, entre enero y marzo se presentaron un millón 515 mil quejas por posible fraude ante la banca múltiple, un alza de 31.5% frente al mismo trimestre de 2025.

De ahí salen dos porcentajes distintos y ambos son correctos. Por posible fraude se reclamaron 5,201 millones de pesos y las instituciones restituyeron 1,265 millones: 24.3%. Si el denominador es el universo completo de reclamaciones económicas del trimestre —7,729 millones de pesos reclamados, 2,235 millones abonados—, la proporción sube a 28.9%, según los mismos registros difundidos por El Universal y El Informador.

Son dos denominadores, no dos versiones de una misma cifra. Uno mide qué tanto vuelve cuando la queja es por fraude; el otro, qué tanto vuelve en todo el sistema de reclamaciones, incluidos los errores de cobro ordinarios. Fusionarlos produce un número más limpio y menos cierto. La brecha entre ambos es, en sí misma, información: la casilla del fraude devuelve menos que el promedio.

Los países que movieron el default

Cuatro jurisdicciones decidieron que la casilla de la operación autorizada dejara de ser automáticamente la del usuario. Ninguna lo hizo por generosidad; lo hicieron reasignando un costo.

El Reino Unido reescribió el default el 7 de octubre de 2024. Bajo el requisito de reembolso del Payment Systems Regulator, consolidado en el documento PS25/5 de mayo de 2025, el banco emisor debe reembolsar al consumidor dentro de cinco días hábiles, con un tope de 85,000 libras por reclamación y un deducible máximo de 100 libras. El costo se reparte 50/50 con la institución receptora. Solo hay dos excepciones —fraude cometido por el propio reclamante y negligencia grave— y la carga de la prueba recae exclusivamente en el banco, no en el usuario.

El argumento que la industria usó contra ese diseño fue el riesgo moral: si el reembolso está garantizado, la gente baja la guardia. La evaluación independiente de Frontier Economics, publicada por el regulador el 1 de julio de 2026, no encontró evidencia de eso. Las pérdidas por fraude autorizado en el sistema Faster Payments cayeron alrededor de 21%, unos 73 millones de libras al año, y la tasa de reembolso pasó de 54% a 65%, con 97% de pago en los casos cubiertos por la política.

Singapur eligió otra ruta. Su Shared Responsibility Framework, vigente desde el 16 de diciembre de 2024 y emitido por la MAS junto con la IMDA, no mueve el default por categoría de operación sino por incumplimiento de deberes: una cascada donde primero responde la institución financiera, después la telefónica y solo al final el consumidor, según quién haya fallado en sus obligaciones específicas frente a las estafas de phishing.

Brasil intervino en la infraestructura antes que en la culpa. Con la Resolución BCB 493/2025, el MED 2.0 (Mecanismo Especial de Devolución) es obligatorio para todos los participantes del Pix desde el 2 de febrero de 2026: rastreo del dinero a través de cuentas intermediarias, bloqueo cautelar de los saldos, contestación por autoservicio en la app y una ventana de devolución estimada en hasta 11 días.

La Unión Europea va más atrás de lo que sugieren los titulares. El acuerdo político sobre el Payment Services Regulation, de noviembre de 2025, incluye un derecho de reembolso para las víctimas de fraude por suplantación y la verificación del nombre del beneficiario. Los textos de compromiso se publicaron en abril de 2026, pero al cierre de agosto el reglamento sigue sin aparecer en el Diario Oficial, y sin eso no corre ningún plazo de aplicación.

La cadena que la serie recorrió

Los cinco artículos anteriores describieron arquitecturas incompatibles entre sí con un mismo producto final. El correo que nunca verificó identidad obtiene una instrucción de pago voluntaria. La industria que opera del otro lado construye meses de relación para que la transferencia parezca una decisión propia. El proceso de contratación convertido en puerta de entrada mueve nómina legítima hacia un destinatario ilegítimo. Y cuando la voz deja de ser una credencial confiable, la autenticación que valida la operación deja de probar quién estaba del otro lado.

Cinco puertas distintas que desembocan en el mismo pasillo: una operación que el sistema clasifica como tuya. Es el mismo patrón que aparece cuando desaparece el árbitro en cualquier ecosistema informativo: la regla sigue existiendo, pero ya no describe el terreno que pretendía cubrir.

México: nadie está discutiendo el default

El vacío mexicano no es de instituciones. La CONDUSEF existe, el procedimiento existe, los plazos existen y el Buró de Entidades Financieras publica los números trimestre a trimestre. Lo que no existe es la discusión sobre quién debe absorber la pérdida cuando el engaño ocurrió aguas arriba del banco.

Ese es el orden que siguieron las jurisdicciones que sí movieron el default: primero obligaron a publicar quién reembolsa y cuánto, y solo después redistribuyeron el costo. México ya completó la primera parte sin haber abierto la segunda. La cifra se publica; el reparto no se debate.

Y ahí queda la pregunta que ninguna de las seis entregas de esta serie puede responder sola: si la operación autorizada seguirá siendo, por definición y antes de cualquier investigación, el punto donde el sistema deja de buscar responsables.