Incode advierte sobre los riesgos para Colombia

Los delincuentes usan inteligencia artificial para fabricar identidades falsas e intentar acceder a servicios financieros. Ahora, mediante programas conocidos como agentes de IA, pueden coordinar estos ataques y modificar su estrategia después de cada rechazo. Incode, advierte que esta evolución representa un riesgo para bancos, fintech y usuarios de todo tipo de plataformas digitales en Colombia, porque permite multiplicar los intentos de engaño entre distintas entidades.

La alerta se produce en un contexto de alta exposición al fraude. Según un informe de Asobancaria publicado en septiembre de 2026, la banca colombiana recibió más de 765.000 reclamaciones por fraude durante 2025, por un monto superior a $967.000 millones. Aunque estas cifras abarcan distintas modalidades, muestran la dimensión del desafío que enfrenta el sistema financiero ante herramientas que facilitan la creación de documentos e imágenes cada vez más difíciles de distinguir de los originales.

La suplantación también tiene consecuencias directas para las personas. La Superintendencia de Industria y Comercio informó en junio de 2026 que, desde 2020, había recibido 40.316 denuncias por suplantación de identidad. El uso indebido de los datos puede traducirse en cobros por servicios que la víctima nunca contrató, obligaciones financieras a su nombre y reportes negativos que dificultan su acceso al crédito.

A este problema se suma la posibilidad de crear identidades sintéticas: perfiles que combinan información real, como datos personales robados, con elementos inventados. Los atacantes también pueden utilizar fotografías o vídeos manipulados con inteligencia artificial, conocidos como deepfakes, para intentar hacerse pasar por otra persona durante una verificación digital.

Cómo la inteligencia artificial permite repetir y mejorar los ataques

Durante años, buena parte del fraude de identidad dependió de personas que preparaban documentos y probaban distintas formas de engañar a una entidad. Con los agentes de IA, varias de esas tareas pueden coordinarse de manera automatizada: generar una imagen, presentar una solicitud y, si el sistema la rechaza, ajustar los elementos del ataque para volver a intentarlo.

Incode denomina esta modalidad fraude agéntico. Su característica principal es la capacidad de utilizar el resultado de cada intento para modificar el siguiente. Esto permite probar variaciones de una misma identidad falsa y dirigirlas a distintas organizaciones con mayor rapidez.

El problema se vuelve más difícil de detectar cuando cada entidad observa únicamente sus propias solicitudes. Un atacante puede usar diferentes documentos o nombres y presentarse ante varios bancos o fintech, mientras cada organización interpreta su solicitud como un caso independiente.

Un caso identificado por Incode en un país de América Latina ilustra esta situación: un solo atacante estuvo asociado con 426 sesiones de verificación, 35 documentos y actividad en 8 fintech. La conexión entre esos intentos permite entender que detrás de solicitudes aparentemente distintas puede existir una misma operación de fraude.

“Para una entidad, una solicitud puede parecer correcta porque el documento, la imagen y los datos que recibe son convincentes. Pero, al revisar el contexto, puede encontrar que ese mismo rostro se ha presentado con otros documentos o que un dispositivo se está utilizando para registrar numerosas identidades. Ahí es donde resulta fundamental conectar las señales y entender qué ocurrió antes. En Colombia, fortalecer esa capacidad puede ayudar a proteger a las personas frente al uso indebido de sus datos y a las instituciones frente a ataques que cambian después de cada rechazo. El reto es reconocer esos patrones a tiempo y facilitar, a la vez, el acceso de los clientes legítimos”, afirmó Juan Camilo García, Head de Estrategia y Operaciones para Latam de Incode.

Detectar conexiones entre solicitudes para prevenir nuevos fraudes

Frente a este escenario, Incode recomienda complementar la revisión del documento y del rostro con información sobre los dispositivos utilizados, la frecuencia de los intentos y el historial de la identidad. Por ejemplo, que un mismo documento aparezca asociado con varios rostros puede ser una señal que requiera investigación.

El seguimiento también debe continuar después de la apertura de una cuenta. Superar la verificación inicial no elimina la posibilidad de que más adelante aparezcan comportamientos sospechosos, por lo que las instituciones necesitan evaluar el riesgo durante el uso de sus servicios.

Como respuesta a este desafío, Incode desarrolló TrustGraph, una red que conecta señales de fraude y confianza entre las instituciones participantes. Su tecnología permite identificar coincidencias relevantes sin reunir los registros de los clientes en una base central ni dejar que una entidad consulte los registros de otra. Cada organización conserva su información y decide cómo actuar ante las señales que recibe.

En el programa de adopción temprana de Incode, la institución con el mejor resultado detectó hasta un 53% más de fraude que con sus modelos existentes por sí solos, lo que equivale a hasta 53 casos adicionales por cada 100 que ya identificaba. Este resultado corresponde al programa y no a una medición del mercado colombiano.

Para los bancos y las fintech que operan en Colombia, reconocer estas conexiones puede ayudar a evitar que un atacante rechazado por una institución vuelva a presentarse ante otra como si fuera un usuario sin antecedentes. Al mismo tiempo, contar con mejores señales permite reducir revisiones innecesarias para las personas que utilizan legítimamente los servicios financieros.