En 2024 los clientes del sistema financiero ecuatoriano presentaron 3.913 denuncias por delitos informáticos ante la Fiscalía, unas 326 al mes. El 94 % fueron por apropiación fraudulenta por medios electrónicos: dinero que salió de una cuenta mediante una transferencia que el titular no quiso hacer. Así se ve, desde el cliente, la ciberseguridad en la banca de Ecuador.
La otra cara es la del propio banco. La noche del 10 de octubre de 2021 un incidente informático dejó a Banco Pichincha sin banca móvil, banca web, corresponsales no bancarios ni la billetera Deuna, según informó la Superintendencia de Bancos. Las agencias y los cajeros siguieron funcionando, y los canales digitales volvieron de forma gradual desde el martes 12.
Qué exige la Superintendencia de Bancos para la ciberseguridad en la banca de Ecuador
Las reglas de control de la Superintendencia de Bancos están reunidas en su Codificación de normas. El Libro I agrupa las normas para las entidades financieras públicas y privadas, y su Título IX, "De la gestión y administración de riesgos", reúne los riesgos que deben gestionar los bancos, entre ellos el operativo, donde encaja el tecnológico.
Un banco, por tanto, responde ante un supervisor que puede inspeccionarlo, pedirle información sobre sus controles y sancionarlo cuando fallan. La ciberseguridad en la banca de Ecuador no se deja a la buena voluntad de cada entidad: es materia de supervisión, igual que la liquidez o la calidad de la cartera.
El ejemplo más reciente y detallado es la Resolución SB-2025-02325, del 25 de septiembre de 2025. Creó el Título XXI para supervisar a las entidades de servicios financieros tecnológicos, es decir, prestamistas digitales y empresas de dinero electrónico y pagos, y las remite a una sección específica de seguridad de la información dentro de su norma de riesgos.
Esa resolución pide a las fintech políticas de seguridad, monitoreo frente a amenazas, un plan y un equipo de respuesta a incidentes, capacitación continua y auditorías de seguridad y pruebas de vulnerabilidad al menos una vez al año. Es un mínimo razonable, y cualquier cliente puede preguntar a su billetera digital si lo cumple.
Antes, en mayo de 2025, la Junta de Política y Regulación Financiera había encargado a la Superintendencia fijar lineamientos específicos de ciberseguridad y seguridad de la información para las entidades de asesoría y finanzas personales. La tendencia es clara: cada nuevo tipo de entidad financiera que se regula llega ya con su capítulo de seguridad informática incorporado.
Ciberseguridad en la banca de Ecuador: obligaciones que se suman desde 2026
La Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada el 22 de mayo de 2026, añade una capa. Según el análisis del despacho Andersen, sus sanciones se aplican de inmediato en sectores con supervisor especializado y normas previas, como el financiero, mientras que otros sectores disponen de 24 meses de adecuación.
Un incidente relevante puede exigir hoy tres comunicaciones: al supervisor financiero, al CSIRT Nacional dentro de las 72 horas de la nueva ley y, si hay datos personales comprometidos, a la Superintendencia de Protección de Datos Personales en cinco días hábiles. La guía de la Ley de Ciberseguridad de Ecuador detalla ese régimen.
La Ley de Protección de Datos Personales pesa especialmente sobre las entidades financieras. Tratan datos crediticios, que el artículo 28 regula aparte, deciden créditos con modelos automatizados que el titular puede impugnar según el artículo 20, y una filtración de su base de clientes es casi siempre una vulneración que debe notificarse.
Cómo opera hoy el fraude contra clientes bancarios
El patrón que describen los casos de la Fiscalía casi no varía. Llega un correo o un SMS que parece del banco o de la cooperativa, con un enlace a una página que imita la banca en línea. La víctima escribe su usuario y su clave, y en minutos salen transferencias o compras desde el exterior.
Las variantes cambian de canal, no de lógica: un falso asesor que llama y pide el código recibido por SMS para cancelar una compra, un WhatsApp que anuncia un bloqueo de cuenta, un anuncio pagado que lleva a una copia de la web del banco. La guía sobre cómo reconocer un correo de phishing explica cómo distinguirlas.
El intercambio de SIM, o SIM swapping, ataca el número de celular que recibe los códigos de verificación. El delincuente consigue un duplicado del chip y, cuando el teléfono de la víctima se queda de pronto sin señal, ya recibe sus SMS. Por eso conviene preferir una aplicación de autenticación o la clave dinámica de la app del banco.
El SMS no sirve como única defensa para cuentas con dinero. Es mejor que nada, pero depende de la seguridad de la operadora telefónica, no del banco ni del cliente, y un duplicado de SIM lo anula por completo. Pedir a la operadora una clave para cualquier cambio de chip cierra buena parte de ese hueco.
Detrás de casi cada transferencia fraudulenta hay una cuenta receptora y, detrás de ella, una mula bancaria: alguien que prestó su cuenta a cambio de una comisión, a menudo tras una falsa oferta de empleo. El artículo 231 del Código Orgánico Integral Penal castiga con tres a cinco años a quien facilita su cuenta para captar dinero así.
Prestamistas no autorizados y falsas inversiones
El 19 de mayo de 2026 la Superintendencia de Bancos alertó sobre 19 entidades no autorizadas que ofrecían créditos sobre todo por redes sociales, aplicaciones móviles y páginas web, entre ellas Plata Puntual, Dinerofácil, Crédito Smart y Crediquito. En 2025 sus listas habían llegado a 25, 29 y 48 entidades en tres alertas sucesivas.
El esquema que más se repite es un WhatsApp con un "crédito preaprobado" que pide copia de la cédula y un depósito previo, por ejemplo de USD 200, a la cuenta de una persona natural para liberar el préstamo. El préstamo nunca llega. Una entidad legal descuenta sus costos del desembolso, no cobra por adelantado.
Las falsas inversiones usan el mismo vocabulario. En enero de 2026 la Fiscalía del Azuay investigaba a Capitalika y SCB Smart Capital por captación ilegal de dinero con promesas de rendimientos en criptoactivos, con pérdidas cercanas a USD 500.000. Ambas figuraban ya en la lista de entidades no autorizadas de la Superintendencia de Bancos.
Ese último dato es el que más debería pesar. La lista existía antes de que los inversionistas perdieran su dinero, y consultarla toma un minuto en superbancos.gob.ec. La guía de estafas frecuentes en Ecuador recoge otros esquemas, desde falsas multas de tránsito hasta ofertas de empleo por WhatsApp, que terminan igualmente en una transferencia.
Cooperativas y la Superintendencia de Economía Popular y Solidaria
Las cooperativas de ahorro y crédito no están bajo la Superintendencia de Bancos sino bajo la Superintendencia de Economía Popular y Solidaria, la SEPS. Esa entidad mantiene un observatorio especializado en seguridad de la información y ciberseguridad que publica alertas para el sector, como la de julio de 2026 sobre una campaña contra equipos Fortinet.
La SEPS publica también su lista de entidades financieras no autorizadas, con 134 entradas numeradas al revisarla en octubre de 2026, y advierte que muchos nombres se parecen a los de cooperativas legales sin tener relación con ellas. Antes de entregar dinero conviene revisar su catastro oficial o llamar a su central, 02-3948840.
Las cooperativas también atraen a los grupos de extorsión digital. En mayo de 2025 el grupo de ransomware Qilin afirmó en su sitio de filtraciones haber robado unos 100 GB a una cooperativa de servidores públicos del Ministerio de Educación. Para una entidad pequeña, una filtración así expone a miles de socios a fraudes posteriores con sus propios datos.
Cómo reclamar una transacción fraudulenta
El orden importa, porque cada hora cuenta para frenar transferencias en curso y porque el banco pedirá pruebas de que el cliente reaccionó a tiempo. Los pasos siguientes van de lo más urgente a lo más lento, y conviene anotar la fecha y la hora de cada llamada, cada correo y cada número de trámite recibido.
- Bloquear. Llame al número oficial que figura en la tarjeta o en la web del banco: la banca telefónica de Banco Pichincha es el (02) 2999 999, el call center de Produbanco el 02 400 9000 y el de Banco del Pacífico el 3731500.
- Cambiar claves de la banca en línea y del correo desde un equipo distinto al que pudo estar comprometido.
- Reclamar por escrito al banco cada operación no reconocida, con fecha, monto y número de trámite.
- Denunciar en la Fiscalía General del Estado, con capturas, mensajes recibidos y estados de cuenta.
- Escalar a la Superintendencia de Bancos con su formulario gratuito de reclamos si el banco no responde o rechaza el reclamo sin fundamento.
Para los débitos no autorizados existe una regla concreta. La Resolución 463, vigente desde el 26 de octubre de 2018, da a la entidad 30 días para demostrar que el débito reclamado tenía autorización; si no puede hacerlo, debe devolver el dinero con intereses a la tasa legal del Banco Central del Ecuador.
Las transferencias hechas con la clave del propio cliente son más difíciles de recuperar. El banco suele sostener que se autorizaron con credenciales válidas, y el reclamo se juega en los detalles: alertas no enviadas, montos fuera del patrón habitual, destinos nuevos sin verificación adicional. Conviene pedir por escrito los registros de cada operación.
Para el reporte penal, la guía sobre cómo denunciar un delito informático en Ecuador explica qué llevar a la Fiscalía. Un detalle práctico: el reclamo al banco y la denuncia penal son trámites independientes, y conviene presentar los dos el mismo día, adjuntando a cada uno el número del otro.
Lo que un cliente puede revisar hoy en su banca en línea
La protección más eficaz depende de ajustes que el propio cliente controla. Activar las notificaciones de cada movimiento, fijar límites diarios bajos para transferencias a terceros, desactivar las compras en el exterior cuando no se viaja y revisar los dispositivos autorizados reduce mucho el daño posible de una clave robada.
Esos ajustes están en la mayoría de aplicaciones bancarias y se configuran en unos minutos. El más útil es el límite diario: si un atacante entra con su clave y el tope de transferencias a terceros es de USD 300, el daño máximo de ese día queda en USD 300, aunque el saldo de la cuenta sea mucho mayor.