El Canadian Centre for Cyber Security ha publicado ITSAP.00.080, "How to use online banking securely", como parte de su serie de concientización. El documento tiene fecha de octubre de 2026 y está disponible en el sitio del Cyber Centre en formato web y como PDF (810 KB). Se trata de orientación pública, no de una regulación: no contiene plazos, sanciones ni umbrales. Su audiencia es cualquier persona que acceda a su banco a través de un sitio web o una aplicación móvil, lo que en Canadá representa a la mayor parte de la población adulta y una proporción considerable de las cuentas en redes sociales de sus mascotas.

La publicación comienza describiendo lo que ofrece la banca en línea: acceso en tiempo real a información financiera, con la posibilidad de transferir dinero, pagar facturas y gestionar cuentas en cualquier momento a través de un sitio web o una aplicación móvil. A continuación señala el compromiso implícito. Esa misma comodidad, afirma el Cyber Centre, "también puede crear oportunidades para el fraude y el acceso no autorizado". Los actores de amenazas pueden intentar robar credenciales de inicio de sesión, redirigir pagos o engañar a los clientes para que autoricen transacciones.

Hay un punto que destaca para quienes diseñan o gestionan sistemas de identidad. El Cyber Centre menciona explícitamente la inteligencia artificial, tanto en la propia banca como en las estafas en línea, como parte de la tecnología en evolución que cambia la forma en que estos riesgos llegan a los clientes. El boletín no profundiza en técnicas de IA específicas en el material revisado para este informe, pero el hecho de que una publicación gubernamental de concientización dirigida al público general mencione ahora la IA junto al phishing dice mucho sobre cuán generalizada se ha vuelto esa preocupación.

El documento está estructurado en cuatro partes: riesgos comunes en la banca en línea, cómo proteger la información bancaria, pasos a seguir si ocurre un fraude y una sección de "más información" con referencias a recursos relacionados. La orientación completa está disponible en el Canadian Centre for Cyber Security.

En cuanto al riesgo, el Cyber Centre adopta un tono mesurado. Afirma que la banca en línea es "generalmente segura", y luego señala que los actores de amenazas pueden intentar acceder a las cuentas de diversas formas y combinar métodos. El resultado de una combinación exitosa se describe como acceso o actividad no autorizados en cuentas bancarias. Ese enfoque es relevante. La orientación no trata una contraseña filtrada como el final de la historia, sino como un eslabón en una cadena que también incluye la redirección de pagos y el engaño al cliente para que autorice una transacción que no tenía intención de realizar.

La primera categoría de riesgo que cubre el boletín es el phishing y la ingeniería social. El Cyber Centre los describe como intentos de manipular al cliente para que comparta información sensible o autorice transacciones, mediante contactos por mensaje de texto, correo electrónico y otros canales. En otras palabras, el ataque no apunta al stack de autenticación del banco, sino a la persona que sostiene el teléfono, quien es también, de forma inconveniente, la que tiene autoridad para pulsar "aprobar".

Las secciones sobre medidas de protección y respuesta al fraude están enumeradas en la publicación, pero no se incluyeron de forma completa en el material revisado aquí, por lo que este informe no resume sus recomendaciones específicas. Los lectores deben consultar la fuente directamente. Lo que sí puede decirse es que el Cyber Centre enmarca toda la publicación como una explicación de los riesgos comunes y los pasos que una persona puede tomar para mantenerse segura, lo que la sitúa claramente en la categoría de educación al consumidor y no en la de cumplimiento normativo.

¿Por qué un boletín de concientización para consumidores tiene cabida en una publicación sobre IAM? Porque la persona para la que está escrito este documento es su cliente, y cada riesgo que describe recae en un flujo que su equipo gestiona. El robo de credenciales impacta el inicio de sesión. La redirección de pagos impacta la gestión de beneficiarios y la autorización de transacciones. Engañar a alguien para que apruebe una transacción impacta el diseño de su MFA y sus notificaciones push. Que un organismo gubernamental le pida al público que tenga cuidado es bienvenido. Es también, leído de cierta manera, una nota cortés en el sentido de que los controles del lado del banco no deberían depender de que el público tenga cuidado.

El aspecto alentador: nada de esto es terreno nuevo para los equipos de CIAM en instituciones financieras, y la propia valoración del Cyber Centre es que la banca en línea es generalmente segura. Eso es un reconocimiento, ganado a lo largo de años de trabajo poco glamoroso en modelos de fraude y gestión de sesiones. El aspecto ácido: "generalmente" hace un trabajo considerable en esa frase.

Para los equipos de identidad y seguridad, hay tres aspectos que vale la pena verificar a la luz de este boletín. Primero, examine cómo se presentan las aprobaciones de transacciones a los clientes en su aplicación y si el aviso muestra suficiente contexto, como importe, beneficiario y canal, para que una persona pueda reconocer una transacción que no inició, dado que la orientación señala las aprobaciones engañosas como un riesgo diferenciado. Segundo, revise los controles en torno a la incorporación o modificación de un beneficiario y si esos eventos se registran, tienen límite de frecuencia y se confirman fuera de banda, porque la redirección de pagos se menciona de forma separada al robo de credenciales. Tercero, confirme que sus comunicaciones dirigidas a clientes no se parezcan al phishing contra el que advierte el Cyber Centre: sin enlaces en mensajes de texto que pidan iniciar sesión, identidades de remitente coherentes y una declaración publicada sobre lo que su institución nunca solicitará por correo electrónico o mensaje de texto.