El crecimiento de los pagos digitales en Perú obliga al sector financiero a reforzar sus controles de seguridad sin añadir fricción a la experiencia del usuario.
La aceleración de los servicios financieros digitales ha transformado la forma en que los peruanos realizan pagos y transferencias desde sus celulares. Según la SBS, al cierre de 2025, el 67% de los adultos en Perú ya contaba con una cuenta o billetera digital, frente al 42% registrado en 2020, mientras que solo en diciembre se realizaron 1.255 millones de operaciones mediante billeteras digitales y aplicativos móviles. Esta expansión exige reforzar la seguridad sin añadir fricciones a la experiencia del usuario.
El BCRP reportó 665 pagos digitales por adulto en 2025, en un ecosistema cada vez más diverso de bancos, billeteras, fintech y plataformas de pago. Esta expansión también amplía los puntos de riesgo y plantea a los directores de TI y CISOs el reto de fortalecer la ciberseguridad sin añadir fricción a la experiencia digital del usuario.
“Durante años, la respuesta corporativa al riesgo digital fue apilar capas de control. Si había fraude, se sumaban tokens, formularios extensos, validaciones por SMS y contraseñas más complejas. Hoy sabemos que esa estrategia es insostenible. Cada barrera adicional castiga las métricas de conversión comercial. El desafío actual ya no es elegir entre blindar la infraestructura o facilitar el negocio, sino lograr ambas mediante la invisibilidad de los controles”, señala Pablo Garcia, BDM Cyber de TIVIT Latam.
La identidad digital como nuevo perímetro de ataque
Los cibercriminales entendieron que vulnerar la identidad de un usuario puede ser más efectivo que comprometer directamente la infraestructura de una institución financiera. Para los líderes de ciberseguridad, las amenazas evolucionaron hacia vectores que el KYC (Know Your Customer) tradicional ya no logra contener por sí solo, como:
- Evasión biométrica y deepfakes: La IA generativa permite manipular imágenes y videos utilizados durante procesos de identificación remota, haciendo necesario complementar la validación facial con mecanismos capaces de detectar señales de vida.
- Identidades sintéticas: Los ciberdelincuentes combinan información real con datos ficticios para construir perfiles aparentemente legítimos, dificultando la detección del fraude mediante controles convencionales.
- Account Takeover: El robo y reutilización de credenciales, el secuestro de sesiones y las tácticas de fatiga de autenticación multifactor pueden permitir que un atacante tome control de una cuenta legítima.
CIAM: seguridad silenciosa e inteligente
“Para cumplir con las normativas de la SBS sin asfixiar la agilidad del negocio, las organizaciones financieras deben migrar hacia arquitecturas de gestión de identidades y accesos de clientes (CIAM)”, sostiene Pablo García.
En el contexto peruano, este enfoque cobra relevancia frente a un ecosistema financiero cada vez más digital. La regulación de la SBS establece requerimientos de seguridad de la información y ciberseguridad para las entidades supervisadas, incluyendo mecanismos de autenticación para los servicios ofrecidos a través de canales digitales.
El especialista de TIVIT sostiene que la clave reside en orquestar la seguridad en segundo plano, basándose en tres pilares:
- Validación de identidad de alta disponibilidad: Conectar los procesos de onboarding con fuentes oficiales, como RENIEC, permite fortalecer la validación desde el inicio de la relación con el cliente y contar con mecanismos de contingencia que eviten interrumpir el proceso.
- Biometría conductual: Analizar señales pasivas como la forma de interactuar con el dispositivo, la cadencia de tipeo o los patrones de navegación puede ayudar a identificar si quien opera es el usuario legítimo o un potencial atacante, sin exigir pasos adicionales.
- Autenticación continua y basada en riesgos: Bajo un modelo Zero Trust, la validación no termina en el login. Los motores de decisión pueden evaluar cada operación en tiempo real. Una transferencia habitual desde un dispositivo conocido puede realizarse sin fricción, mientras que una operación inusual desde un dispositivo desconocido puede activar automáticamente una validación adicional.
El crecimiento de los servicios financieros digitales en Perú exige incorporar la seguridad desde el diseño. El reto para las organizaciones es equilibrar protección y usabilidad mediante tecnologías que detecten riesgos en tiempo real y hagan que la ciberseguridad opere en segundo plano, protegiendo al usuario y al negocio sin interrumpir su experiencia digital.
