La agencia I4C alerta a bancos y fintech de fraudes con agentes de IA

Cómo operan los atacantes

Según el aviso, los delincuentes aprovechan software sin parchear y servidores o sistemas informáticos mal configurados y expuestos a internet. Las interfaces de atención al cliente y de gestión de reclamaciones también pueden ser objetivo. Una vez dentro, atacan los sistemas automáticos de desembolso o las API de pagos y transferencias, y un marco de IA agéntica hace posible actuar a velocidad de máquina.

El dinero se envía a cuentas «mula» en distintos bancos y se mueve o retira rápidamente mediante IMPS o NEFT. Después borran registros y ocultan su rastro, lo que dificulta la investigación.

Qué deben hacer las entidades

Las instituciones financieras deben aplicar de inmediato las medidas de los avisos de severidad crítica del CERT-In y alinear sus controles con el plan de mayo de 2026 del CERT-In contra la explotación de vulnerabilidades asistida por IA, además de los marcos de sus reguladores sectoriales. Deben mantener un inventario completo de las API de pago y desactivar las interfaces obsoletas, sin uso o de prueba. También se pide una coordinación más estrecha entre el equipo del CISO, la monitorización de transacciones y los departamentos de TI.

Los incidentes deben notificarse al CERT-In en un máximo de seis horas desde su detección. Bancos y NBFC tienen que informar además al Reserve Bank of India mediante su portal DAKSH en el mismo plazo.

Los datos del Ministerio del Interior muestran la magnitud del problema: entre los ejercicios 2023-24 y 2025-26 se registraron más de 5.387.905 denuncias de ciberfraude en el portal NCRP y más de 181.271 FIR. Las pérdidas declaradas superan los 56.087 crores de rupias; más de 9.079 crores están retenidos y más de 206 crores se han reembolsado.