Las ventas en línea durante El Buen Fin 2025 alcanzaron 45,900 millones de pesos, un crecimiento anual de 31%, de acuerdo con la AMVO. La suplantación de identidad, las interrupciones tecnológicas y los ciberataques apoyados en inteligencia artificial plantean nuevos desafíos para comercios e instituciones financieras, de acuerdo con la experiencia de IQSEC.
De cara a El Buen Fin 2026, que se realizará del 13 al 17 de noviembre, IQSEC destaca la importancia de fortalecer la protección de los consumidores y garantizar la continuidad de los servicios digitales, ante riesgos como la suplantación de identidad, el fraude electrónico y las interrupciones tecnológicas.
La magnitud de las operaciones durante esta temporada refleja la importancia de contar con mecanismos de seguridad confiables. De acuerdo con la Asociación Mexicana de Venta Online (AMVO), las ventas por internet durante El Buen Fin 2025 alcanzaron 45,900 millones de pesos, equivalentes al 21% de las ventas totales de la campaña. Por su parte, la Asociación de Bancos de México (ABM) reportó 196 millones de transacciones con tarjetas bancarias durante el mismo periodo.
Esta tendencia va más allá de las temporadas promocionales. Según la AMVO, el comercio electrónico minorista en México alcanzó 941,000 millones de pesos en 2025, un crecimiento anual de 19.2%, con 77.2 millones de compradores digitales. En este contexto, proteger la identidad de los usuarios, asegurar las transacciones y mantener la disponibilidad de los servicios resulta fundamental para fortalecer la confianza en el comercio digital.
La suplantación de identidad amenaza la confianza del consumidor
Durante las promociones circulan mensajes, sitios y perfiles falsos que aparentan ser de comercios, bancos o empresas de mensajería. Buscan robar datos y credenciales o inducir operaciones fraudulentas. Las organizaciones no solo deben advertir a los consumidores; también deben facilitar la identificación de sus canales oficiales.
“En temporada de promociones, la urgencia deja de ser una señal de alerta suficiente. Los mensajes legítimos también incluyen descuentos, fechas límite y enlaces de seguimiento. Antes de pedirle al consumidor que desconfíe, las organizaciones deberían preguntarse si han hecho verificable su propia comunicación”, señaló Manuel Moreno, Consultor de Ciberseguridad de IQSEC.
El fraude no es el único riesgo. Una interrupción en plataformas de comercio, servicios bancarios o proveedores tecnológicos puede impedir que los clientes concluyan sus compras.
“La pregunta no es solamente qué tan seguro es el proveedor de pagos, sino qué hará el comercio si ese proveedor deja de responder durante las horas de mayor actividad. La continuidad operativa debe evaluarse considerando también las tecnologías que la empresa no controla directamente”, agregó el especialista de Ciberseguridad de IQSEC.
La inteligencia artificial amplía la capacidad de los atacantes
Gambit Security documentó en septiembre de 2026 una campaña en la que un atacante usó herramientas de IA para ejecutar 105 proyectos de ataque en seis días. La firma identificó al menos 27 organizaciones comprometidas y el robo de más de 600,000 registros de tarjetas de pago de dos empresas.
“Aunque estos casos no corresponden a incidentes documentados durante El Buen Fin en México, muestran cómo la IA aumenta la velocidad y el alcance de los ataques, sobre todo contra organizaciones con vulnerabilidades sin corregir, credenciales comprometidas o controles de acceso insuficientes”, explicó Manuel Moreno.
Ante este escenario, IQSEC recomienda que comercios e instituciones financieras consideren las siguientes prioridades:
- Garantizar la continuidad operativa: revisar la disponibilidad de los canales de pago, identificar dependencias tecnológicas y definir alternativas.
- Reforzar los controles de acceso: limitar privilegios innecesarios de empleados, administradores y proveedores, e implementar autenticación multifactor.
- Fortalecer la prevención del fraude, supervisando operaciones para detectar comportamientos inusuales.
- Proteger la identidad digital y la marca, identificando sitios, dominios y perfiles falsos.
- Preparar la respuesta a incidentes con responsables y procedimientos de contención y recuperación.
“Los consumidores pueden reducir su exposición comprando en sitios oficiales, verificando enlaces, no compartiendo contraseñas ni códigos de autenticación y activando las alertas bancarias”, concluyó Manuel Moreno, Consultor de Ciberseguridad de IQSEC.
