Un usuario recibió el pasado 23 de abril, a las 9:13 a.m., un mensaje supuestamente a nombre de una compañía de paquetería que indicaba un problema en una entrega.
“Para evitar posibles recargos, le invitamos a confirmar y corregir su dirección de destino”, exigió el SMS. La dirección electrónica para hacerlo terminaba en .cc/cr.
El mismo usuario recibió otro mensaje similar el 8 de mayo a las 10:57 a. m. Esta vez, la dirección electrónica terminaba en .bio/cr.
Aparte de que el usuario no tenía ninguna compra electrónica, ningún paquete ni ningún proceso en trámite, las dos direcciones web eran incorrectas (la real termina en .com).
Fueron dos intentos de fraude por mensaje corto de texto (SMS, por sus siglas en inglés).
Pese a las campañas y medidas adoptadas para evitar que las personas sean engañadas, los fraudes electrónicos parecen imparables. En Costa Rica, los intentos de engaño mediante SMS (conocidos como smishing) crecieron en 2025 más del 132%. Además, se detecta un promedio de 21.000 intentos de engaño al día. Y los operadores bloquearon más de 11 millones de llamadas enmascaradas (vishing) entre enero de 2024 y junio de 2025.
Por ese motivo, la Superintendencia de Telecomunicaciones (Sutel) aprobó el 18 de junio de 2026 una serie de normas que amplía una regulación previa aprobada hace tres años. Las autoridades, los operadores y los especialistas legales reconocen las dificultades técnicas y los riesgos legales en la protección de la privacidad.
“Las estafas digitales evolucionan constantemente y exigen respuestas regulatorias igualmente innovadoras”, dijo Federico Chacón, directivo de Sutel. “Con esta regulación damos un paso significativo para proteger a los usuarios”.
“Compartimos plenamente el propósito de estas medidas, pero su implementación representa un reto técnico y operativo considerable”, indicaron en la Cámara de Infocomunicación y Tecnología (Infocom).
Misión: minimizar los ciberataques
Las nuevas reglas solo minimizarán el impacto del smishing y del vishing, en particular ante el aumento de fraudes mediante el uso de la inteligencia artificial (IA).
Intentan, a la vez, responder a varios desafíos: el uso de aplicaciones a personas (A2P) como WhatsApp para envío de mensajes fraudulentos, mensajes de persona a persona (P2P), vacíos legales sobre la trazabilidad de las comunicaciones, el cumplimiento de la protección de los usuarios que exige la Ley General de Telecomunicaciones (N.º 8642) y el paso de un modelo reactivo a uno preventivo.
Para garantizar la trazabilidad de los mensajes, se establece el deber de usar sistemas de seguridad como cortafuegos (firewalls) que se adapten mediante IA y sistemas de inspección profunda de paquetes (DPI), un método avanzado para examinar el contenido de los paquetes de datos que componen los mensajes, detectar amenazas y aplicar políticas de seguridad efectivas.
Una vez detectados, se deben bloquear los mensajes maliciosos, los de tráfico no trazable, los de rutas grises internacionales y los números que simulan ser locales (spoofing).
En el caso de las llamadas de voz, los operadores deben integrar firewalls antispam para detectar llamadas fraudulentas y datos de señalización que identifiquen ‘robo llamadas’ y patrones de comportamiento sospechosos. Los operadores deben adoptar el estándar Out-of-Band Shaken (OOBS) para la autenticación de llamadas y el uso de números señuelo para identificar generadores de spam.
No son las únicas obligaciones. La Sutel estableció que los operadores deben conservar los registros detallados de las comunicaciones durante un mínimo de cuatro años, presentar informes de bloqueo, contar con centros de atención al usuario para recibir reportes de sospecha de fraude e implementar la opción de registros de excepciones para tráfico A2P autorizado.
La Sutel estableció tres fases para la adopción de todas estas medidas. A los 180 días, los operadores deben tener implementadas las medidas básicas; a los 360 días, las tecnologías avanzadas (IA, procesamiento de lenguaje natural, análisis heurístico y geolocalización del banco de tarjetas SIM); y a los 540 días, las medidas avanzadas en los servicios de voz y el cumplimiento de la norma OOBS.
No será tan fácil
La propuesta inicial de medidas recibió observaciones de CallMyWay, Claro, ICE, Liberty, Mitto AG, Millicom Cable Costa Rica (Tigo), Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) e Infocom.
Preocuparon aspectos de proporcionalidad, gradualidad, neutralidad tecnológica, seguridad jurídica, viabilidad técnica y consistencia con la protección de la privacidad y la confidencialidad de las comunicaciones.
Sutel acogió parcial o totalmente las observaciones. La Superintendencia respondió a El Financiero que las medidas son equitativas, abarcan las comunicaciones que pasan de la red de un operador a la de otro y diferencian los mensajes entre personas y los de aplicaciones, para bloquear los sospechosos.
Aunque se valora positivamente la gradualidad en la implementación de las medidas, será un reto técnico, operativo y económico “considerable” que implica procesos de adquisición, integración tecnológica, certificación y coordinación con proveedores, operadores, autoridades, instituciones públicas, empresas y usuarios.
La industria plantea que es impredecible delimitar claramente la responsabilidad de los operadores, pues en las telecomunicaciones intervienen varios actores (agregadores, carriers, plataformas externas).
En línea con esta situación, cualquier proceso de supervisión o eventual sanción debe aplicarse con proporcionalidad, razonabilidad y debido proceso, tomando en cuenta el “esfuerzo diligente y efectivo” de cada operador, diferenciando los incumplimientos atribuibles a cada compañía y los que dependen de terceros.
Existirían otros inconvenientes. La inspección DPI genera tensión respecto a la privacidad y la confidencialidad de las comunicaciones.
“La conservación de registros por cuatro años impacta la normativa de protección de datos personales”, advirtió Mauricio París, socio de ECIJA y especialista en el campo. “Deben analizarse a la luz de los principios de finalidad, proporcionalidad y calidad previstos en la ley”.
En todo caso, es claro que los ciberdelincuentes van adelante. Eso hace necesarias campañas de educación y hace que los usuarios deban estar alerta. “Siempre es recomendable que los usuarios rechacen comunicaciones donde el ofrecimiento es demasiado bueno para ser cierto o en aquellos casos en que les genere dudas su veracidad”, indicó Sutel.
Los operadores recuerdan que el fraude digital evoluciona constantemente. “Ninguna medida técnica elimina por sí sola el riesgo”, advirtió Infocom. “Por eso, estas medidas deben entenderse como una capa adicional de protección dentro de una estrategia más amplia”.
Los números de los fraudes
Otras cifras sobre la cantidad de delitos informáticos denunciados en Costa Rica:
—El Micitt informó que entre enero y abril de 2025 se presentaron 4.545 denuncias por delitos cibernéticos, principalmente por llamadas de supuestos funcionarios bancarios y ataques de phishing.
—El Organismo de Investigación Judicial (OIJ) informó que los delitos informáticos crecieron 9% en 2025, convirtiéndose en una de las principales amenazas en Costa Rica.
—En un reporte de marzo de 2026, el OIJ indicó que la cantidad de fraudes informáticos cometidos en el año anterior sumó 8.458, seguidos por las estafas (3.290) y el hurto (1.116), que encabezan el ranking de 15 tipos de delitos que más se cometen.
—El informe anual de la Defensoría de los Habitantes indica que hay más de 46.000 denuncias de estafas cibernéticas.
—A nivel global, el smishing aumentó 10 veces y en América Latina 14 veces, según Sutel. La entidad también reconoce que los estafadores recurren a la IA para automatizar envíos masivos y personalizados de mensajes fraudulentos, así como para replicar ataques de voz.
Fuente: entidades indicadas
