La posibilidad de pedir a un agente de inteligencia artificial que gestione tareas digitales también plantea una pregunta de seguridad: ¿qué información necesita para hacerlo? Bank of America alerta a sus clientes sobre los riesgos de compartir credenciales bancarias con estas herramientas. Una contraseña, un código de verificación o los datos de una tarjeta pueden abrir la puerta a operaciones no autorizadas si quedan expuestos o se utilizan de forma indebida. La recomendación central es clara: no entregar a un agente de IA las claves que permiten acceder a una cuenta financiera.
Por qué una clave bancaria no debe compartirse
Un agente de IA puede interpretar instrucciones y ejecutar tareas mediante aplicaciones o servicios conectados. Esa capacidad resulta práctica para organizar información, resumir documentos o automatizar pasos sencillos. Pero, si para completar una tarea se le proporciona una contraseña bancaria, el sistema recibe un dato que permite acceder a información y funciones sensibles.
La credencial no es un dato cualquiera. Puede dar acceso al saldo, los movimientos, los datos personales y, dependiendo de la configuración de la cuenta, a opciones para transferir dinero o modificar información de contacto. También puede servir para iniciar otros procesos de recuperación de acceso. Por eso, compartirla con un asistente digital implica más que pedirle que rellene un formulario: supone confiarle una llave de acceso financiero.
El riesgo no depende únicamente de que la herramienta tenga intención de causar daño. También puede surgir por errores de configuración, fallos técnicos, almacenamiento inadecuado o exposición accidental de la conversación. Una solicitud inocente puede terminar incluyendo información que no hacía falta para resolverla. Además, una persona no siempre puede saber con claridad dónde se conserva lo que escribe, durante cuánto tiempo o quién podría acceder a ello según las condiciones del servicio.
La advertencia atribuida a Bank of America pone el foco en una regla básica de protección: las contraseñas y los códigos de seguridad deben mantenerse bajo control del titular. Si un servicio pide esos datos para actuar en nombre del cliente, conviene detenerse y comprobar si existe una alternativa autorizada que no requiera revelar las credenciales.
El peligro de los códigos de verificación y los datos de tarjeta
Las claves permanentes no son el único elemento que puede poner en riesgo una cuenta. Los códigos de un solo uso enviados por mensaje o generados por una aplicación también son sensibles. Su función es confirmar que quien intenta acceder tiene el dispositivo o el método de autenticación registrado. Si se comparten con otra persona o con una herramienta, esa protección puede perder efectividad.
Los estafadores suelen intentar obtener estos códigos mediante engaños. Pueden hacerse pasar por una entidad financiera, un servicio de soporte o un contacto conocido y alegar que necesitan verificar la identidad del cliente. El mensaje puede parecer convincente, pero la petición de entregar una contraseña o un código de acceso debe considerarse una señal de alerta. Los códigos sirven para completar una autenticación, no para demostrar confianza a quien los solicita.
También conviene proteger el número completo de la tarjeta, su fecha de vencimiento y el código de seguridad. En conjunto, estos datos pueden facilitar compras no autorizadas o intentos de suplantación. Los números de cuenta, documentos de identidad, respuestas a preguntas de seguridad y capturas de pantalla de la banca en línea merecen la misma cautela. Incluso un fragmento de información aparentemente menor puede ayudar a completar un perfil personal.
Un agente puede pedir datos adicionales porque interpreta que los necesita para ejecutar una tarea. Eso no significa que el cliente deba proporcionarlos. Antes de compartir cualquier información, resulta útil preguntar si la gestión puede hacerse sin iniciar sesión desde la herramienta, si existe un canal oficial de la entidad o si basta con introducir los datos directamente en la aplicación bancaria.
Qué puede ocurrir si una herramienta accede a la cuenta
El impacto de una filtración depende de qué información se haya compartido, de los controles de la cuenta y de cómo se utilice el servicio. Si una contraseña queda expuesta, una persona no autorizada podría intentar iniciar sesión. Si además obtiene un código de verificación o controla el correo electrónico o el teléfono asociado, el riesgo puede aumentar. No hay una consecuencia única, pero la combinación de credenciales puede permitir desde consultas de información hasta intentos de transacción.
Otro problema es la reutilización de contraseñas. Algunas personas emplean la misma clave en varios servicios. Si esa contraseña se comparte con un agente y queda expuesta, el riesgo podría extenderse a otras cuentas, aunque estas no tengan relación con el banco. Por eso, cada servicio debería contar con una clave distinta y difícil de adivinar, guardada en un gestor de contraseñas confiable en lugar de en conversaciones o documentos sin protección.
También existe un riesgo de confusión sobre los permisos. Algunas herramientas conectadas pueden operar en nombre del usuario, mientras que otras solo generan instrucciones o recomendaciones. La diferencia debe quedar clara antes de autorizar una integración. Si una aplicación solicita permisos amplios, como leer información o ejecutar acciones que no corresponden a la tarea, es mejor revisar la configuración y cancelar el proceso hasta entender su alcance.
Una respuesta generada por IA tampoco debe tratarse como confirmación de que una operación bancaria se completó correctamente. El sistema puede interpretar mal una instrucción, mostrar información incompleta o equivocarse al describir un paso. Las transferencias y otros movimientos deben revisarse directamente en los canales oficiales de la entidad, con especial atención al destinatario y al importe antes de confirmar.
Cómo utilizar agentes de IA sin entregar credenciales
La inteligencia artificial puede servir para preparar una lista de preguntas, explicar conceptos financieros generales o ayudar a ordenar un presupuesto sin acceder a la banca en línea. Para obtener ese apoyo, no suele ser necesario compartir contraseñas, números completos de cuenta ni códigos de verificación. La información puede describirse de forma general o anonimizada, evitando detalles que identifiquen a una persona o permitan entrar en sus servicios.
Para reducir la exposición, conviene aplicar estas medidas:
- No compartir contraseñas ni códigos de un solo uso con agentes, chatbots o supuestos asistentes de soporte.
- Evitar introducir datos completos de tarjetas y cuentas cuando una descripción general sea suficiente.
- Revisar los permisos de las integraciones y retirar los que ya no sean necesarios.
- Usar claves únicas para la banca y activar las opciones de autenticación que ofrece la entidad.
- Confirmar cualquier movimiento desde la aplicación o el sitio oficial del banco, no solo desde una conversación con IA.
- Consultar las condiciones de privacidad del servicio para entender cómo trata la información introducida.
Si una tarea exige iniciar sesión, la opción más segura es acceder por cuenta propia a la aplicación o al sitio oficial y completar allí el proceso. El agente puede ayudar a entender los pasos, pero no necesita conocer la clave. En caso de que una integración bancaria autorizada esté disponible, deben revisarse sus permisos, el alcance de acceso y las condiciones aplicables antes de conectarla.
Qué hacer si ya se compartieron datos bancarios
Si se introdujo una contraseña o un código en una herramienta que no ofrece garantías claras, la primera medida es cambiar la clave desde el canal oficial del banco. Si esa contraseña se reutilizaba en otros servicios, también debe modificarse allí. El cambio debería hacerse desde un dispositivo confiable y evitando enlaces recibidos por mensajes inesperados.
Después, conviene revisar los movimientos y las alertas de la cuenta. Si aparece una operación que no se reconoce, o hay indicios de acceso ajeno, debe contactarse de inmediato con la entidad a través de sus canales oficiales. El banco puede indicar cómo bloquear una tarjeta, proteger el acceso o disputar una transacción, según el caso. También resulta prudente actualizar los datos de contacto y revisar los dispositivos o sesiones conectados cuando la banca digital ofrezca esa opción.
Si lo compartido fue un código temporal, la situación puede requerir atención rápida, porque esos códigos suelen estar vinculados a un intento de acceso o a una operación concreta. No se debe responder a mensajes que pidan otro código ni llamar a números incluidos en comunicaciones sospechosas. La entidad debe contactarse por un teléfono o una dirección obtenidos de una fuente oficial.
La prevención también incluye conservar un registro de lo ocurrido: qué dato se compartió, en qué servicio y cuándo. Esa información puede ayudar a explicar el incidente al banco y al proveedor de la herramienta. Si se sospecha una estafa o una suplantación, es recomendable seguir las instrucciones de seguridad de la entidad y las autoridades competentes de la jurisdicción correspondiente.
Preguntas frecuentes sobre banca e inteligencia artificial
¿Puede un agente de IA ayudar con una consulta bancaria sin conocer la contraseña?
Sí. Puede explicar términos generales, ayudar a redactar una consulta para el servicio de atención o resumir pasos que el usuario ya haya consultado. Para ese tipo de ayuda no hacen falta credenciales. Los datos privados deben mantenerse fuera de la conversación siempre que no sean imprescindibles.
¿Es seguro pegar una captura de la banca en línea en un chat?
No es recomendable si la imagen muestra nombres, saldos, números de cuenta, movimientos, códigos o datos de tarjeta. Aunque el propósito sea pedir una explicación, la captura puede revelar más información de la necesaria. Si se necesita describir una pantalla, conviene ocultar los datos identificativos y limitarse a explicar el mensaje de forma general.
¿Qué diferencia hay entre una contraseña y un permiso de conexión?
La contraseña permite autenticarse como titular y puede abrir múltiples funciones de la cuenta. Un permiso de conexión puede limitar el acceso a determinadas acciones, pero su alcance depende del servicio y de la autorización concedida. No debe asumirse que una integración es segura solo por no mostrar la contraseña: hay que revisar qué información puede consultar y qué operaciones puede realizar.
