Las denuncias por fraude y estafas digitales pasaron de unas 5.000 a cerca de 30.000 en Uruguay, según las cifras presentadas por el director general de Cibercrimen, Paulo Rocha. Frente a ese crecimiento, la Policía comenzó a modificar la forma de investigar estos delitos: en lugar de abordar cada denuncia como un hecho aislado, busca conexiones entre casos y estructuras criminales.
El dato fue presentado durante el encuentro “Ciberseguridad 360°”, organizado por la Asociación de Bancarios del Uruguay (AEBU), donde especialistas de la Policía, la academia, el sector financiero y la ciberseguridad analizaron cómo cambió el delito en el entorno digital y cuáles son las nuevas dificultades para prevenirlo y perseguirlo.
Según los expertos, el fenómeno dejó de estar asociado exclusivamente a hackers capaces de vulnerar sistemas: hoy existen mercados clandestinos donde se venden accesos, datos y herramientas para cometer ataques, mientras las organizaciones criminales funcionan con estructuras cada vez más profesionalizadas.
“Hay un desborde. [...] En el 2013 había cerca de 2.000 denuncias de fraude y estafas y pasamos a cerca de 30.000. A eso de la una, dos de la tarde hay colas haciendo denuncias en nuestra dirección [...] Realmente hay una demanda muy importante. La Dirección General de Cibercrimen trata de tener un enfoque macro del país, no trabajamos los casos uno a uno, sino que buscamos las conexiones y los grupos”, sostuvo Rocha.
La propia estructura policial refleja ese cambio. Cibercrimen funciona como una Dirección General, al mismo nivel jerárquico que áreas como inteligencia, crimen organizado y drogas, y trabaja de forma transversal con otras unidades en investigaciones que pueden involucrar criptomonedas, lavado de activos y organizaciones criminales, explicó.
Un delito con menos riesgo y más escala
Para el abogado Juan Ginés, uno de los factores que explica el crecimiento del ciberdelito es que modificó la relación entre riesgo y rentabilidad para quien delinque. Ya no es necesario estar físicamente frente a la víctima ni exponerse de la misma manera que en un delito tradicional.
“El ciberdelincuente ya no tiene la necesidad de exponerse físicamente como lo hacía en la estafa tradicional. [...] El riesgo bajó, porque aumentó la probabilidad de escape y subió la posibilidad también de las personas que se pueden afectar. [...] Ahora, a través de determinadas técnicas, puedo atacarlos a todos ustedes con un mismo movimiento”, señaló el docente en la Universidad de la República.
El atacante puede encontrarse en otro país, utilizar infraestructura ubicada en distintos lugares y tener como víctima a una persona o una empresa en Uruguay. Esa dimensión transnacional también dificulta la investigación y la cooperación entre Estados.
Ginés señaló, además, que el ecosistema digital uruguayo ofrece una superficie de ataque considerable: presentó cifras de alrededor de 3,15 millones de usuarios de internet, 2,59 millones de usuarios de redes sociales y unos 7,3 millones de dispositivos conectados.
El fenómeno también tiene una dimensión geopolítica. Según planteó, las dificultades de cooperación internacional -incluida la relación entre grandes potencias como Estados Unidos y China- pueden incidir en la capacidad de perseguir delitos que no respetan fronteras.
“Con pocos conocimientos y a través de creaciones de perfiles en redes sociales, se pueden cometer distintos ciberdelitos. Se habla de ganancias de trillones de dólares y se cree que el cibercrimen es la tercera economía a nivel mundial”, afirmó.
Ya no hace falta ser hacker
El cambio no se explica solamente por una mayor cantidad de delincuentes. También por la profesionalización del negocio criminal. Ignacio Pérez Crisafulli, gerente general de Quinta Disciplina Consultores y especialista en ciberseguridad, explicó que alrededor del ciberdelito se desarrolló un verdadero ecosistema que incluye mercados clandestinos, ransomware como servicio (un modelo de negocio que permite que delincuentes sin conocimientos técnicos avanzados contraten herramientas ya desarrolladas para atacar sistemas) y actores que se especializan en conseguir accesos iniciales a organizaciones.
Su exposición, titulada “Deconstruyendo al hacker”, buscó precisamente desmontar la imagen del atacante solitario y mostrar cómo funciona actualmente el ecosistema delictivo.
“Cuando yo arranqué en este rubro hace 15 años, si no sabías técnicas de hacking, no podías [...] hackear a nadie”, explicó. “Hoy ya no se precisa saber de hacking para hackear a una empresa”.
Una de las claves es el denominado ransomware como servicio. En lugar de desarrollar por sí mismo el programa utilizado para bloquear los sistemas de una empresa, un atacante puede contratar a terceros para realizar la operación. A esto se suman los intermediarios que comercializan accesos ya obtenidos a sistemas. Pérez Crisafulli los describió como “puertas de entrada” que se ofrecen en mercados clandestinos.
“Se suma esa información con el servicio del ransomware como servicio y pueden ingresar a una compañía”, señaló.
El resultado es un mercado en el que diferentes actores pueden cumplir distintas funciones: unos consiguen accesos, otros desarrollan herramientas, otros realizan los ataques y otros se encargan de cobrar.
Pérez Crisafulli explicó que dos elementos facilitan este ecosistema: la posibilidad de operar de manera anónima en determinados espacios de Internet, como la dark web (una parte de internet que no aparece en los buscadores tradicionales y que permite un mayor grado de anonimato), y el uso de criptomonedas para realizar pagos.
La profesionalización del delito también modifica el perfil del atacante.
“No se imaginen que atrás de Kingdom Market (un mercado clandestino de la dark web) hay un flaco en un sótano con capucha que no se baña hace tres días”, ironizó Pérez Crisafulli. “Detrás de esto hay organizaciones, personas, estructuras jerárquicas, organigramas, gerentes generales, gerentes de marketing, gerentes financieros”.
Según explicó, estos mercados incluso incorporan mecanismos similares a los del comercio legal: promociones, comentarios de clientes y sistemas de reputación.
Para una empresa o para un Estado, eso significa que la amenaza puede provenir de una estructura organizada y no necesariamente de una persona que actúa de manera individual.
La víctima también cambió
La expansión de las estafas tampoco implica que exista una única víctima típica.
Christian Alcaide, integrante de la Dirección General de Cibercrimen, señaló que las franjas que concentran más denuncias se encuentran aproximadamente entre los 25 y los 45 años. Es decir, personas activas laboralmente y que suelen manejar dinero, cuentas y servicios digitales.
“Muchas veces pensamos que la tenemos clara, que estamos con toda la lucidez, pero somos los que caemos”, afirmó.
Los adultos mayores también son un objetivo frecuente, pero las modalidades pueden ser diferentes. Alcaide explicó que en esos casos suelen utilizarse vínculos familiares o situaciones emocionales para generar confianza.
Las redes sociales tienen un papel central. Fotografías de una casa, un automóvil, un barrio, una pareja, familiares o rutinas cotidianas pueden aportar información suficiente para construir un perfil de una potencial víctima.
A eso se suma que el atacante no necesariamente necesita vulnerar técnicamente un sistema si consigue convencer a una persona de entregar información o realizar una acción.
Uno de los ejemplos señalados durante la actividad fue la toma de cuentas de WhatsApp. En esos casos, el atacante puede intentar obtener el código enviado al teléfono de la víctima. La recomendación planteada fue activar la verificación en dos pasos y no compartir nunca códigos recibidos por mensaje.
La inteligencia artificial vuelve más difícil reconocer el engaño
A los mecanismos tradicionales se suma ahora la inteligencia artificial. Alcaide señaló que las faltas de ortografía o los mensajes mal redactados, que durante años podían funcionar como señales de alerta, ya no son necesariamente suficientes.
“Ahora es con la inteligencia artificial”, advirtió. “Ya la inteligencia artificial” permite que esas maniobras sean más sofisticadas.
Pérez Crisafulli relató durante su exposición un caso ocurrido en Hong Kong en el que un empleado recibió instrucciones durante una supuesta videollamada con el gerente general de su empresa para transferir 25 millones de dólares. Después se descubrió que la persona que aparecía en la llamada era un avatar generado con inteligencia artificial.
La regulación en Uruguay
El crecimiento de estas modalidades ocurre mientras el derecho uruguayo todavía está adaptándose al cambio tecnológico.
El abogado Nicolás Antúnez, catedrático de la Universidad de la República y director del Instituto de Derecho Informático, recordó que Uruguay tuvo su primer proyecto de ley sobre ciberdelitos en 1987 y que recién en 2024 se aprobó la Ley 20.327, después de décadas de discusión.
“Nos tomamos unos 40 años para tomar una decisión al respecto”, resumió Antúnez.
La norma incorporó figuras como el fraude informático, el acceso ilícito, la vulneración de datos, la suplantación de identidad y el abuso de dispositivos.
Para el especialista, la legislación permite establecer un marco que antes no existía, pero no resuelve por sí sola los problemas derivados de la transformación tecnológica.
“Con las normas no alcanza”, sostuvo, y señaló la necesidad de acompañar los cambios legales con capacitación, recursos y mejoras institucionales y técnicas.
El país también avanzó en la especialización de la persecución penal: se creó una unidad policial especializada en ciberdelitos en 2023 y, desde mayo de 2026, funciona una Fiscalía Penal de Montevideo especializada en esta materia.
“Dos instituciones que no van a dar abasto frente a una transformación de la criminalidad [...] El derecho y los recursos siempre van corriendo atrás”, advirtió Antúnez.
El nuevo debate: cuándo responde el banco
La transformación tecnológica también abrió una discusión sobre la responsabilidad de las instituciones financieras frente a operaciones fraudulentas.
Antúnez mencionó dos decisiones judiciales recientes que abren el debate sobre la responsabilidad de los bancos incluso cuando no existe necesariamente una falla técnica del sistema. “Ya demostrar solamente que no hay fallas no está alcanzando como exoneración de responsabilidad”, señaló Antúnez.
Para el especialista, estos casos abren una discusión sobre el alcance del deber de seguridad de las instituciones financieras.
“Se habla sobre la capacidad de reacción que habilita una institución frente a una señal de fraude, y que la falta de reacción oportuna es un incumplimiento al deber de seguridad”, afirmó.
Al mismo tiempo, advirtió que todavía no existe una línea jurisprudencial consolidada. “No visualizo que vaya a haber una línea jurisprudencial, que los fallos vayan para un lado. Pero entramos en zona de batalla al respecto”, sostuvo.
Desde el sector de la ciberseguridad, Pérez Crisafulli cuestionó la idea de que toda la responsabilidad recaiga sobre el usuario. “Yo no pongo la responsabilidad en la persona. Yo pongo la responsabilidad en mi sistema”, concluyó.
