Ciberseguridad en las fintech mexicanas: qué obliga la CNBV a reportar cuando hay un incidente

El crecimiento del crédito digital en México ha traído consigo una mayor exposición de datos personales y financieros sensibles en plataformas que operan enteramente en línea. Documentos de identidad escaneados, comprobantes de ingresos, información bancaria y datos biométricos transitan por sistemas que, como cualquier infraestructura digital, son objetivo potencial de ciberataques. Ante este escenario, la Comisión Nacional Bancaria y de Valores (CNBV) mantiene un marco de exigencias de ciberseguridad y reporte de incidentes aplicable a las entidades que supervisa, incluyendo instituciones de tecnología financiera (ITF) autorizadas bajo la Ley Fintech y, de forma creciente, a otras figuras del ecosistema de crédito digital.

Qué debe reportar una entidad ante un incidente de seguridad

Cuando una entidad regulada detecta un incidente que compromete la confidencialidad, integridad o disponibilidad de la información de sus usuarios —ya sea por un ataque externo, una vulnerabilidad explotada o un error interno con impacto en datos personales— la normativa aplicable a instituciones financieras y ITF prevé la obligación de notificar el evento a la CNBV dentro de plazos definidos, además de tomar medidas inmediatas de contención. La entidad conserva la responsabilidad de evaluar el alcance del incidente, identificar a los usuarios potencialmente afectados y, según la gravedad, informarles directamente para que puedan tomar precauciones adicionales, como el monitoreo de su historial en el Buró de Crédito ante un eventual intento de fraude de identidad derivado de la filtración.

Qué puede hacer un usuario si sospecha que sus datos fueron comprometidos

Si un usuario recibe una notificación de una entidad financiera sobre un posible incidente de seguridad, o sospecha por cuenta propia que sus datos pudieron haber sido comprometidos —por ejemplo, al recibir ofertas de crédito no solicitadas o notar movimientos desconocidos—, puede solicitar de inmediato su reporte de crédito especial ante el Buró de Crédito para verificar si se han abierto cuentas o solicitado créditos a su nombre sin autorización, y presentar una queja ante la CONDUSEF si la entidad no responde de forma adecuada. Verificar que cualquier plataforma de crédito esté efectivamente registrada ante la CNBV o el SIPRES antes de compartir información sensible sigue siendo la medida preventiva más efectiva frente al riesgo de que esos datos terminen en manos de una entidad no supervisada, con menores exigencias de ciberseguridad que las que aplican al sistema regulado.

Verifica siempre el registro del prestamista antes de compartir tus datos. En CréditoLab México listamos entidades verificadas, y en nuestro glosario financiero puedes revisar términos como ITF, incidente de seguridad y reporte especial de crédito.