Así son los mensajes de texto falsos que están llegando sobre Bre-B y que buscan robar información a los usuarios para hacer transferencias entre bancos

Las campañas de suplantación de identidad digital que usan el nombre de Bre-B envían mensajes de texto sobre supuestos registros de llaves o transferencias pendientes para llevar a las víctimas a enlaces fraudulentos. Investigadores de Kaspersky advirtieron que el mecanismo busca capturar datos bancarios mediante la imitación de entidades financieras y no corresponde, por sí mismo, a una falla del sistema de pagos.

Las estafas que suplantan a Bre-B operan con mensajes urgentes y enlaces a portales falsos donde solicitan credenciales, códigos de verificación u otros datos personales. Para evitar el engaño, los usuarios deben ingresar por la aplicación o el sitio oficial de su entidad financiera, revisar los datos de cada pago y comprobar el abono en cuenta antes de entregar productos.

Precisamente, el abogado Juan Daniel Hidalgo, líder de Priceitcol, expuso una modalidad en la que el aviso puede llegar desde el mismo número telefónico que una entidad usa para notificar movimientos. “Nueva estafa con Bre-B. Vas a recibir un mensaje de texto que parece de tu banco. Lo peligroso es que está llegando desde el mismo número que te notifica tu banco de tus transacciones”, alertó.

Hidalgo indicó que el mensaje habla de un supuesto envío por Bre-B y da 24 horas para aceptarlo. “Además, te van a pedir que ingreses a este enlace. Si ingresas, te va a llevar a esta página que parece de Bre-B, en la cual te van a pedir tu cédula, tu número de celular y te va a llegar un código a tu número de celular con el cual van a poder ingresar a tus cuentas bancarias”, señaló.

Cómo operan los engaños que usan el nombre de Bre-B

Los investigadores de Kaspersky identificaron campañas de phishing que recurren a mensajes de texto con enlaces fraudulentos. Los textos aluden a una llave digital que supuestamente requiere registro o a una transferencia que debe aceptarse, y luego conducen a páginas que imitan los portales de bancos u otras entidades financieras. Una vez dentro de esos sitios, los delincuentes solicitan credenciales bancarias para acceder a las cuentas de las víctimas.

La compañía de ciberseguridad rastreó más de diez dominios vinculados con esa campaña de suplantación mediante mensajes de texto.

Otra práctica consiste en presentar comprobantes falsos a comercios para hacerles creer que un pago ya se acreditó. Una captura de pantalla o una notificación mostrada desde un teléfono no prueba que el dinero haya ingresado: el comercio debe confirmarlo directamente en el saldo o los movimientos de su cuenta. Los engaños también pueden adoptar la forma de mensajes atribuidos a clientes, proveedores o empleados que piden cambiar datos de pago o solicitan transferencias sin una comprobación previa. Los códigos QR requieren la misma precaución, ya que pueden ser reemplazados o manipulados en establecimientos abiertos al público.

Hidalgo recomendó no usar los enlaces que llegan por mensajería, incluso cuando aparenten proceder de una institución conocida. “Así que para evitar esto, nunca abran los enlaces que les envían por mensaje de texto. Mejor vayan directamente a la aplicación de su banco”, afirmó.

Las cifras de Bre-B y las lecciones de Pix y CoDi

El Banco de la República, administrador de Bre-B, informó que el sistema superaba los 36 millones de usuarios al 6 de octubre de 2026 y había procesado más de 1.700 millones de transacciones. Durante octubre, además, se registraron más de 116 millones de llaves asociadas a cuentas para enviar y recibir pagos.

Dicho balance convive con otras cifras disponibles sobre la expansión inicial del sistema, que señalan:

• 35 millones de llaves registradas.
• 14,5 millones de usuarios activos en menos de tres meses.
• 170 entidades financieras participantes (bancos, cooperativas y empresas de tecnología financiera).
• Según esa medición, cada usuario tenía un promedio de 2,4 llaves.

Como se recordará, Bre-B comenzó a operar en julio de 2025 como un sistema interoperable de pagos inmediatos disponible las 24 horas, los siete días de la semana. Los usuarios pueden asociar una llave a su número de celular, cédula, correo electrónico o a un código alfanumérico, sin necesidad de compartir los datos completos de una cuenta bancaria.

La comparación regional suele dirigirse a Pix, el sistema brasileño lanzado en 2020, que superó los 160 millones de usuarios y procesa más operaciones que las tarjetas de débito y crédito juntas. Su adopción se atribuye a la facilidad de uso, la gratuidad para personas, la campaña educativa y la integración de las entidades bancarias. La experiencia de CoDi, lanzado en México en 2019, ofrece un contraste. El sistema mantiene una participación marginal por la falta de prioridad de los bancos, incentivos insuficientes para comercios y una comunicación limitada con los usuarios, factores que alimentaron confusión y desconfianza.

Desde CoDi sostienen que la estrategia colombiana busca tomar elementos de ambos casos regionales. “Colombia parece haber aprendido de ambas experiencias. Por un lado, adoptó las mejores prácticas de Pix: simplicidad, interoperabilidad y gratuidad en los primeros años. Por otro, busca evitar los errores de CoDi mediante campañas educativas y una implementación más gradual, que permita a las entidades adaptarse”, señalaron.

Las alertas de Kaspersky no cuantifican delitos cometidos a través de Bre-B ni prueban vulnerabilidades de seguridad en la plataforma. Los casos descritos se basan en el engaño digital, la suplantación de personas o instituciones y la confianza que los usuarios depositan en comunicaciones que parecen legítimas.

Antes de aprobar una transferencia, los usuarios deben:

• Revisar el nombre del destinatario, el valor y los demás datos que muestra la pantalla.
• Conviene activar las notificaciones automáticas.
• Consultar con frecuencia los movimientos de la cuenta.
• Desconfiar de los mensajes que plantean bloqueos, errores o plazos urgentes para actuar.

La elección de la llave también puede reducir la exposición de información personal. La cédula es un dato sensible usado en múltiples trámites; el número de celular puede facilitar intentos de phishing, suplantación mediante mensajes de texto o recepción fraudulenta de códigos de validación.

El correo electrónico puede servir para operaciones digitales, pero exige proteger la cuenta con contraseñas robustas y autenticación de dos factores. La llave aleatoria evita vincular directamente los pagos con datos personales, aunque su uso puede resultar menos intuitivo para quien debe recordarla.

Para pagos con desconocidos, ventas por internet o transacciones comerciales, una llave que revele menos información personal limita las posibilidades de que los delincuentes construyan engaños a partir de datos expuestos. La rapidez de los pagos inmediatos exige que esa protección vaya acompañada de una verificación previa en cada operación.