En las primeras horas de la tarde, en las oficinas del Ministerio del Interior que atienden casos de delitos informáticos, en el Centro de Montevideo, “hay colas de personas haciendo denuncias”, y muchas otras se reciben en dependencias en el resto del país. Desde hace unos años “hay una demanda muy importante” de este servicio, manifestó Paulo Rocha, director general de Cibercrimen de la Dirección de Investigaciones de la Policía Nacional.
El sistema financiero uruguayo es uno los objetivos principales de los ciberdelincuentes, no solo locales; por la fortaleza relativa del peso, “les renta mucho más” que hacer estafas bancarias en otros países de la región. Rocha y el encargado del área de Delitos Informáticos, Christian Alcaide, expusieron datos, algunos casos y recomendaciones, al participar junto a abogados y un ingeniero del Banco Central (BCU) en una charla sobre esta temática organizada a mediados de setiembre por la Asociación de Bancarios del Uruguay (AEBU).
Desde el punto de vista regulatorio, para reforzar la prevención de este tipo de delitos, empezarán a regir nuevas disposiciones aprobadas por el BCU para el sistema financiero. Desde hoy, jueves 1, la circular 2.497 extiende la obligación de los emisores actualmente vigente de aplicar un doble factor de autenticación a las transferencias o pagos a terceros realizados desde una cuenta bancaria y a las solicitudes de préstamos que fueran realizadas en forma no presencial para las siguientes operaciones: acceso de los clientes a los canales digitales de la institución; compras con tarjeta de crédito y débito realizadas en forma no presencial, y acceso, modificación o actualización de datos sensibles, incluidas credenciales, información personal, parámetros de seguridad o medios de contacto.
La disposición también incorpora requisitos mínimos que deberán cumplir los sistemas de monitoreo y control a efectos de detectar hechos irregulares vinculados con el uso del instrumento o el entorno en el que opera (identificación de transacciones inusuales o fuera de patrones habituales de comportamiento del cliente, verificación de geolocalización de dichas transacciones, alertas sobre el uso de dispositivos desconocidos e identificación de patrones sospechosos en transacciones rechazadas).
Asimismo, en lo que respecta a las notificaciones al usuario, la circular incorpora la obligación de notificar vía medios electrónicos cada vez que se intenten modificar datos tales como claves, número de identificación personal, dirección, teléfono, correo electrónico de contacto, medios y parámetros establecidos para recibir comunicaciones y notificaciones o cualquier tipo de parámetro operativo y/o de seguridad.
La disposición abarca a bancos y cooperativas de intermediación financiera, a administradoras de crédito, a entidades otorgantes de crédito, a empresas de servicios financieros, casas de cambio, de transferencia de fondos y a plataformas para préstamos entre personas.
“Codo a codo” ante el “desborde”
En el evento Ciberseguridad 360°, el director general de Cibercrimen destacó como una “fortaleza que se consiguió en los últimos años” el trabajo “codo a codo” con el sistema bancario frente una problemática en la que “hay (un) desborde, obviamente. En 2000-2013 había 2.000-3.000 denuncias de fraude y estafa. Hoy en día estamos cerca de las 30.000” anuales.
En el primer semestre de 2026 se denunciaron 14.035 casos de estafas y fraudes informáticos, casi 2% menos que en igual período del año pasado, pero muy por encima de las cifras de, por ejemplo, 2015 (930) o 2020 (5.404), según el último Boletín Semestral de Estadísticas Criminales del Ministerio del Interior.
En 2024, la ley 20.327 de prevención y represión de la ciberdelincuencia introdujo el delito de fraude informático como una figura penal autónoma, lo que implicó que una parte de los hechos que anteriormente se registraban bajo la carátula de estafa comenzaran a clasificarse según esta nueva tipificación. El boletín presenta de manera integrada ambos delitos para dimensionar de forma más consistente la evolución del fenómeno del fraude patrimonial y mitigar los efectos de los cambios normativos sobre la lectura de las series temporales.
“En nuestra Dirección de Cibercrimen, a eso de la 1, 2 de la tarde hay colas de personas haciendo denuncias”, contó Rocha. Y “no dan las sillas para sentarse”.
Denunciar rápidamente cuando el delito ocurre permite activar más rápido y con más chances de éxito una investigación, subrayaron los funcionarios policiales.
Funcionarios del Ministerio del Interior en el evento sobre ciberseguridad organizado por AEBU.
AEBU
Luego pasó de esas estadísticas generales a otras más específicas, que perfilan a los estafados. Dijo que la mayor proporción de denuncias vinculadas a ciberestafas son de personas laboralmente activas, de entre 25 a 45 o 50 años. “Pensamos que la tenemos clara”, pero estos “son los que caen”, afirmó el comisario, ubicándose dentro de esa franja de edades.
Alcaide acotó que el “adulto mayor es más desconfiado” y que, muchas veces, frente a la sospecha de que lo quieren estafar, llama directamente al banco, una práctica que aconsejó a cualquiera que esté ante esta situación.
¿Por qué los delincuentes informáticos no van detrás de personas jóvenes? El oficial respondió que es porque la acumulación de ahorro o de inversiones se da mayormente a partir de los 30 años.
Como ejemplos de distintas modalidades de estafa mencionaron el caso de ofrecimientos de presuntos descuentos al cargar nafta en estaciones de Ancap, notificaciones para retirar un paquete supuestamente a nombre de la persona estafada y otros con suplantación de identidad —“se usa mucho por Marketplace”— en el rubro automotriz. A un individuo que había caído en la trampa de un ciberdelito, días después lo llamaron desde un supuesto estudio de abogados para ofrecerle sus servicios en el caso y lo volvieron a estafar. “Las técnicas de estafa se van retroalimentando y mejorando a medida que dan resultado”, afirmó Rocha.
Los delitos informáticos “son transnacionales” y se ejecutan muchas veces desde fuera del país y, a nivel interno, también desde las cárceles, indicaron los funcionarios del Ministerio del Interior.
Alcaide dio su hipótesis de por qué desde países vecinos “atacan a Uruguay” vía informática. “Acá sacan $ 40.000 y son mil dólares, les renta mucho más” que obtener mediante estafa 40.000 pesos en Argentina, comparó.
Alertas y autenticación
Los policías advirtieron que los “errores y horrores ortográficos” que levantaban sospechas de phishing —un tipo de ciberataque y fraude digital que utiliza el engaño para robar información personal, contraseñas o datos bancarios—, al igual que los “remitentes sospechosos” de los mensajes, ahora aparecen menos porque los delincuentes se ayudan con inteligencia artificial. Esa herramienta tecnológica también “facilita mucho” el desarrollo de virus informáticos.
En varios pasajes de la presentación los funcionarios se expresaron confiados en el trabajo policial y en los resultados que da la coordinación con el sistema financiero. “El delincuente piensa: 'soy anónimo, uso criptomonedas, no tengo mi cuenta registrada a mi nombre.' (...) Se equivocan, ahí los agarramos”, afirmó Alcaide.
Habló de una “buena sinergia regional” y canales de contacto con empresas y plataformas del exterior que proveen información cuando se la solicita, incluso la georeferenciación de una persona en caso de secuestro. También hay una comunicación fluida con los bancos en general para enfrentar estos delitos. “Con el BROU (Banco República) trabajamos muy bien” con el bloqueo preventivo de las cuentas, cuando surge una denuncia y desde esa entidad les “avisan cuando el delincuente va a retirar el dinero” para esperarlo, contó.
Los funcionarios fueron críticos con la actitud poco cuidadosa en general de la población en el uso de redes sociales, al exponer información personal y para su resguardo. “No leemos, no leemos” y hay una “negación” o una “barrera” con la tecnología, lamentó el director general de Cibercrimen. Instó a utilizar el doble factor de autenticación: “les puedo decir que si no los jaquean esta semana, será en poco tiempo”, por no activarlo.
Rodrigo Céspedes, un ingeniero en computación que trabaja en el Departamento de Seguridad de la Información del BCU, señaló que “hay muchísimos ataques o intentos de ataques, pero la gran mayoría fracasa”. De todos modos, llamó a estar alerta y ponderó la autenticación multifactor como instrumento de seguridad.
Después de referirse a la circular bancocentralista que empezará a aplicarse desde este mes, indicó: “Hay muchas capas de seguridad que nos tiene que proteger, la última somos nosotros mismos”.
+ 
