El fraude financiero está mutando. Ya no se dirige únicamente a engañar al usuario, sino a manipular directamente las aplicaciones de las instituciones bancarias. Los ciberdelincuentes están utilizando herramientas de instrumentación —originalmente diseñadas para que los desarrolladores analicen y depuren software— para alterar el funcionamiento de las apps sin que el cliente lo advierta.
Herramientas como Frida, Objection, Xposed y LSPosed, que son legítimas en manos de programadores, están siendo utilizadas para insertar código malicioso, evadir medidas de seguridad y alterar funciones críticas como las transacciones o los pagos automáticos.
“Este tipo de ataques representa una preocupación para la seguridad de las aplicaciones bancarias. Las medidas como el doble factor de autenticación y la biometría ayudan a proteger el acceso, pero no sustituyen los mecanismos diseñados para detectar manipulaciones en la propia aplicación”, explica Mario Barrera, director comercial de Nubatech.
Defensas en tiempo de ejecución
El riesgo es de tal magnitud que OWASP incluyó las fallas de integridad de software y datos entre los principales riesgos en su listado Top 10 de 2025. Los atacantes no solo pueden robar credenciales, sino también distribuir versiones manipuladas de la aplicación para que los usuarios crean que están interactuando con la oficial del banco.
Para contrarrestar esto, la industria está adoptando tecnologías de autoprotección de aplicaciones en tiempo de ejecución (RASP). Estas permiten verificar la integridad del código, detectar intentos de depuración (anti-debug) y bloquear manipulaciones (anti-tampering) mientras la app está funcionando.
“Es importante contar con mecanismos de protección, monitoreo, comprobaciones, alertas y bloqueos en tiempo real. Estas capacidades ayudan a reaccionar cuando una aplicación es alterada o republicada”, concluye Barrera.
