GEN-120 — Hirudo: RAT Android que suplanta apps de banca móvil
Lo que para el usuario parece una actualización rutinaria de su aplicación bancaria esconde, en realidad, una sustitución completa del binario legítimo por una copia troyanizada. El RAT Android denominado Hirudo no roba contraseñas desde una pantalla superpuesta: reemplaza la app y opera dentro de ella. Por lo tanto, el fraude en banca móvil deja de ser un problema de phishing y se convierte en un problema de integridad del canal digital, justo donde México y LATAM concentran su mayor volumen transaccional.
Un troyano que no superpone: sustituye
La disonancia técnica es clara. Durante una década, la defensa contra malware bancario Android se diseñó para detectar overlays: ventanas falsas dibujadas encima de la aplicación real. Hirudo rompe ese supuesto. Según el reporte público de SecurityWeek, combina capacidades de troyano bancario con control remoto completo del dispositivo, y sustituye aplicaciones bancarias legítimas por versiones troyanizadas que capturan credenciales en tiempo real. En consecuencia, los controles antifraude que validan “la app correcta en primer plano” devuelven un veredicto limpio mientras la sesión ya está comprometida.
El impacto operativo es mayor por lo que el RAT habilita después del robo de credenciales. Al controlar el dispositivo, el atacante puede interceptar el segundo factor de autenticación entregado por SMS o notificación push, capturar la sesión activa y exfiltrar datos financieros sin generar alertas visibles para el titular. Asimismo, la transacción fraudulenta se origina desde el dispositivo legítimo, con la huella de red y el identificador de hardware habituales. El motor de riesgo del banco, por lo tanto, la clasifica como conducta normal del cliente.
Contexto global: el móvil como superficie de monetización
El panorama de actores explica por qué este vector crece. El monitoreo de amenazas muestra que los operadores de malware móvil ya no se limitan al robo de credenciales: encadenan acceso inicial, persistencia y fraude transaccional dentro del mismo dispositivo. No existe, a la fecha, atribución pública confirmada para los autores de Hirudo; el bucket de inteligencia no respalda ningún actor específico para esta familia, y tratarlo como obra de un grupo conocido sería especulación.
En paralelo, la inteligencia de fuentes abiertas sobre actores avanzados sigue concentrada en equipos de borde y software empresarial. Se observan correlaciones de actividad atribuida con probabilidad a Volt Typhoon sobre CVE-2022-20701, a XENOTIME sobre CVE-2021-22681 y a APT29 sobre CVE-2025-49113. Ese contraste es relevante para el fraude en banca móvil: mientras los equipos de seguridad corporativa miran el perímetro y el catálogo de vulnerabilidades explotadas, el canal de mayor volumen de la banca mexicana vive en un endpoint que la institución no administra ni parcha.
Los sectores afectados a nivel global son los mismos que en México: servicios financieros, fintech y retail con billetera digital integrada. La diferencia local es de densidad. La región lidera adopción de banca móvil, con millones de usuarios activos en instituciones de banca múltiple y en entidades fintech supervisadas. En suma, el mismo código malicioso rinde más por víctima en LATAM que en mercados donde el canal web aún domina.
El puente regulatorio: detección, notificación y datos personales
El marco mexicano ya castiga la falla de detección, no solo la brecha. CAPITAL ACTIVO, S.A. DE C.V., S.F.P. fue sancionada por deficiencias en sistemas automatizados de detección, monitoreo y reporte de operaciones en noviembre de 2025 con multa de $962,200.00. El precedente es analógico y directo: el supervisor no evaluó si hubo pérdida, evaluó si el sistema automatizado era capaz de ver. Un motor antifraude ciego ante sesiones secuestradas desde el dispositivo del cliente cae en esa misma categoría de conducta.
Para la banca múltiple, la Ley de Instituciones de Crédito (LIC) regula los sistemas automatizados de detección y monitoreo, la seguridad de la información y el control interno, y es la norma más citada en multas del sector. Además, la LFPDPPP vigente desde marzo de 2025 mantiene los derechos ARCO y sanciones de 150 a 1500 UMAs, con enforcement transferido a la Secretaría Anticorrupción y Buen Gobierno. Una exfiltración de datos financieros desde el dispositivo del titular activa esa obligación, independientemente de que el vector sea un equipo no corporativo.
El componente de notificación todavía está en tránsito legislativo y debe citarse con precisión. La iniciativa de Ley de Ciberseguridad MX 2025 contempla en su Art. 26 que operadores de servicios esenciales, administradores de infraestructura crítica y entidades obligadas notifiquen a la ANCS cualquier incidente de forma oportuna y proporcionada; la propia iniciativa no fija un plazo de 72 horas, ya que remite a protocolos secundarios. Asimismo, su Art. 30 establecería obligaciones diferenciadas por criticidad, con evaluación continua, auditorías anuales y notificación inmediata para el nivel alto. De aprobarse y publicarse en el DOF, ambas serían exigibles para la banca.
Recomendaciones ejecutables para el CISO
La respuesta no puede descansar en la educación del usuario. Específicamente, el control debe moverse al servidor y a la telemetría de sesión, porque el endpoint ya es territorio hostil. Las siguientes acciones son ejecutables en el trimestre:
- Atestación de integridad del cliente móvil. Valide firma del paquete, origen de instalación y entorno de ejecución en cada autenticación; rechace sesiones desde APK sideloaded o con firma distinta a la publicada.
- Reglas SIEM para instalación lateral. Correlacione en el monitoreo de eventos de seguridad eventos de permisos de accesibilidad, instalación fuera de tienda y reinstalación de la app bancaria en ventanas cortas.
- Segundo factor fuera de banda. Migre de SMS y push en el mismo dispositivo hacia confirmación en canal independiente para operaciones de alto monto o alta de beneficiarios.
- Biometría conductual de sesión. Modele cadencia de tecleo, gestos y navegación; un RAT que opera remotamente produce un patrón distinto al del titular aunque el dispositivo sea el mismo.
- Protocolo conjunto fraude–SOC. Defina el disparador que convierte un caso de fraude en incidente de seguridad reportable y documente la trazabilidad exigible bajo gobernanza, riesgo y cumplimiento.
- Enlace especializado designado. Nombre al responsable de intercambio de información crítica y de contacto con autoridades, tal como anticipa la iniciativa de Ley de Ciberseguridad MX 2025 Art. 18.
Más sobre fraude en banca móvil
Para profundizar en el análisis del fraude en banca móvil, consulta:
- MITRE ATT&CK Mobile — matriz de técnicas de troyanos bancarios y RAT en Android.
- OWASP Mobile Top 10 — controles de integridad y manipulación de binarios aplicables a apps financieras.
- SecurityWeek: Android RAT Hirudo — reporte original sobre la sustitución de aplicaciones bancarias.
G.E.N.N.I.E. — Centro de Inteligencia Simbiótica
El RAT Android Hirudo sustituye apps bancarias por copias troyanizadas. Análisis del fraude en banca móvil y sus obligaciones regulatorias en México.
Luna Varela de la Vega — ZDU-INTEL-VARELA
Enlace de Inteligencia Estratégica. Jefa de Relaciones Públicas del ZDU. Autora editorial.
Cuando el atacante ya vive dentro de la aplicación, la defensa tiene que mudarse al servidor.
El canal que nadie administra
Correlación de señales
La inteligencia de superficie indica que el patrón de sustitución de aplicaciones bancarias rompe el supuesto central de los controles antifraude actuales: que la presencia de la app legítima implica una sesión legítima. Bajo NIST CSF 2.0, la función Identify falla primero, porque el activo crítico —el dispositivo del cliente— no figura en ningún inventario institucional. En consecuencia, Protect y Detect operan sobre una superficie que la organización no gobierna. La correlación de señales útil queda del lado del servidor: integridad del binario reportada en cada autenticación, origen de instalación, antigüedad del paquete y coherencia conductual de la sesión. Asimismo, la telemetría de permisos de accesibilidad concedidos fuera del flujo normal de onboarding ofrece un indicador temprano de control remoto. Sin esa instrumentación, el fraude solo se observa cuando ya ocurrió el cargo.
Rastreo de actores
El monitoreo de foros underground no respalda, hasta ahora, atribución pública confirmada para los autores de Hirudo; por lo tanto, cualquier vínculo con un grupo conocido sería especulación. Lo que sí documenta la inteligencia de fuentes abiertas es la separación de mercados: la actividad atribuida con probabilidad a Volt Typhoon se correlaciona con CVE-2022-20701, la de XENOTIME con CVE-2021-22681 y la de APT29 con CVE-2025-49113, todas sobre software empresarial y equipos de borde, con exposición baja registrada en México. El fraude móvil, en cambio, se monetiza por volumen y no por objetivo selectivo. Esa economía explica por qué LATAM es prioritaria: alta penetración de banca móvil, predominio de Android y un segundo factor mayoritariamente entregado en el mismo dispositivo que el atacante ya controla.
Marco legal y privacidad
El marco LFPDPPP vigente desde el 21 de marzo de 2025 mantiene los derechos ARCO y un rango sancionador de 150 a 1500 UMAs, con enforcement transferido a la Secretaría Anticorrupción y Buen Gobierno tras la disolución del INAI. La exfiltración de datos financieros del titular constituye vulneración de seguridad, aunque el vector sea un dispositivo personal fuera del control de la institución. Además, la Ley de Instituciones de Crédito (LIC) regula bancos comerciales y de desarrollo e impone obligaciones de seguridad de la información, control interno y sistemas automatizados de detección y monitoreo. La defensa jurídica basada en “el cliente instaló la aplicación” tiene recorrido limitado: la obligación de medios recae en quien opera el canal, no en quien lo consume.
Postura normativa
La evaluación de cumplimiento parte de un precedente concreto del supervisor. CAPITAL ACTIVO, S.A. DE C.V., S.F.P. fue sancionada por deficiencias en sistemas automatizados de detección, monitoreo y reporte de operaciones en noviembre de 2025 con multa de $962,200.00, bajo un criterio que no exige pérdida consumada sino capacidad de detección demostrable. Ese criterio no es exclusivo de la banca múltiple y aplica al sector financiero popular y no bancario. Hacia adelante, la iniciativa de Ley de Ciberseguridad MX 2025 contempla en su Art. 26 la notificación oportuna y proporcionada de incidentes a la ANCS, sin fijar un plazo de 72 horas, y en su Art. 30 obligaciones diferenciadas por criticidad con auditorías anuales y notificación inmediata en el nivel alto. De publicarse en el DOF, serían exigibles.
Inteligencia: módulos de superficie, dark web forensics, marco legal y compliance ZDU.
