De las 54 principales instituciones bancarias que operan en México, 42% no utiliza la política más estricta de protección de dominios frente a la suplantación por correo electrónico, de acuerdo con un análisis de Proofpoint.
El protocolo de seguridad de correo electrónico para autenticación, informes y conformidad de mensajes basados en dominio (DMARC, por sus siglas en inglés) forma parte de las medidas de ciberseguridad contra la suplantación de identidad por correo electrónico y permite a las organizaciones establecer qué debe ocurrir con los mensajes que aparentan provenir de sus dominios, pero no superan las validaciones de autenticación.
Proofpoint analizó en agosto de 2026 a las instituciones bancarias del listado de la Asociación de Bancos de México (ABM) y encontró que 91% tiene implementado algún nivel de DMARC. Solo 58% utiliza Reject, la política que solicita al servidor receptor rechazar los mensajes que no superan las comprobaciones de autenticación.
Otro 22% utiliza Quarantine, que indica que los mensajes sospechosos deben tratarse como tales, mientras que 11% permanece en Monitor, una política orientada al seguimiento de los resultados de autenticación. El 9% restante no cuenta con DMARC.
El director general para México de Proofpoint, Luis Isselin, señaló en un comunicado que el sector bancario de México se encuentra en un punto de inflexión crítico. “A medida que nuestra economía digital se acelera, los cibercriminales aprovechan el correo electrónico para suplantar a bancos reconocidos y defraudar a los usuarios”, comentó.
Índice de temas
Adopción de DMARC y políticas Reject en la banca mexicana
De las 54 instituciones analizadas, 31 utilizan Reject, 12 tienen configurado Quarantine y seis permanecen en Monitor. Las cinco restantes no cuentan con autenticación, informes y conformidad de mensajes basados en dominio.
Proofpoint señala que la diferencia entre contar con algún nivel y utilizar la política Reject representa una brecha frente a los ataques que buscan utilizar dominios legítimos para suplantar a instituciones financieras.
Un correo que aparenta proceder de una institución financiera puede utilizarse para dirigir a clientes hacia sitios fraudulentos, solicitar credenciales o inducirlos a realizar alguna acción.
“Si bien es alentador ver que más de la mitad de los bancos en México cuentan con una autenticación de correo electrónico sólida, aún persisten brechas significativas que dejan a millones de personas expuestas a ataques sofisticados de phishing”, afirmó Isselin.
La compañía recomienda verificar las comunicaciones recibidas por correo electrónico y desconfiar de mensajes que soliciten credenciales o amenacen con suspender una cuenta o servicio si el usuario no hace clic en un enlace.
Impacto financiero del phishing en México
El phishing representa una amenaza relevante para los usuarios de servicios financieros. The Competitive Intelligence Unit (CIU) reportó en 2025, con datos de 2024, que 13.5 millones de personas en México habían sido víctimas de phishing.
De ellas, 23.1% reportó haber perdido dinero, con una pérdida promedio de $8,750 pesos.
El mismo análisis señala que siete de cada 10 fraudes registrados en 2024 ocurrieron mediante canales digitales, entre ellos servicios como la banca en línea y los pagos electrónicos.
La firma de ciberseguridad también recomienda utilizar mecanismos de autenticación multifactor resistentes al phishing, como las llaves de acceso (passkeys).
