Banco STP y fraudes en México: cómo operan, cómo identificarlos y dónde reportarlos

El Sistema de Transferencias y Pagos (STP) es una plataforma mexicana de pagos electrónicos autorizada y supervisada por la CNBV y el Banco de México. Los fraudes más comunes ligados a su nombre ocurren fuera de su infraestructura: phishing, vishing, sitios clonados y spyware que suplantan a bancos o a la propia STP. Este artículo explica cómo opera STP en México, cómo verificar una operación y ante qué organismos reportar si te toca.

¿A quién le puede tocar un fraude con STP y bajo qué reglas opera?

En México, STP funciona como una Institución de Fondos de Pago Electrónico (IFPE), una figura regulada por la Ley de Instituciones de Fondos Pago Electrónico y supervisada por la Comisión Nacional Bancaria y de Valores (CNBV) y el Banco de México. Su razón social completa es Sistema de Transferencias y Pagos STP, S.A. de C.V., según los tips de seguridad publicados por la propia empresa.

Perfiles con mayor riesgo:

• Usuarios que compran en línea y reciben ligas de pago por SMS, correo o WhatsApp.
• Comercios pequeños y medianas empresas que cobran vía transferencia y validan referencias a ojo.
• Personas mayores o con poca experiencia digital, blanco fácil de llamadas que se hacen pasar por "ejecutivos bancarios".

Reglas claras del entorno STP en México:

1. La cobertura es federal: CNBV y Banco de México son los supervisores, y la normativa aplicable es la Ley de Instituciones de Fondos Pago Electrónico.
2. El gobierno federal y las entidades paraestatales no garantizan los recursos de los usuarios ni responden por obligaciones entre particulares frente a STP.
3. Una operación "por STP" siempre ocurre entre bancos o entidades autorizadas en México; nunca con cuentas en el extranjero que pidan supuestos "depósitos en dólares".

Si te piden una transferencia fuera del sistema bancario mexicano presentándola como "operación STP", no lo es: cierra la conversación.

Qué información y documentos tener listos para verificar o reportar

Antes de levantar un reporte o una aclaración, junta estos datos:

• Tu CLABE interbancaria (18 dígitos) y el estado de cuenta donde se refleja la operación, en PDF o captura.
• Número de operación, fecha, hora y monto exacto en pesos mexicanos.
• Capturas de pantalla del mensaje, correo, página o perfil desde donde te contactaron.
• Nombre del contacto sospechoso (usuario, número telefónico, URL completa del sitio falso).

Sin esta información, tanto el banco receptor como CONDUSEF tardan más en abrir el expediente. La banca suele pedir la "reclamación de cargos no reconocidos" con estado de cuenta adjunto; CONDUSEF pide además el número de folio que te asigna el banco.

Ejemplo real. Karla, en Guadalajara, vende artículos por Marketplace. Una "compradora" le manda una liga para "confirmar el pago". Karla captura sus claves y ve un cargo de 12.500 pesos (MXN) en su app. Cuando revisa su estado de cuenta, la CLABE destinataria no coincide con la supuesta compradora: ahí tiene todos los datos (monto, hora, CLABE y captura del chat) para reportar.

Verificar una operación «por STP» y los costos habituales

Para validar si una transferencia "por STP" es legítima, sigue este orden:

1. Beneficiario: el nombre debe coincidir con la persona o empresa que te pidió el pago.
2. CLABE: 18 dígitos, sin caracteres raros, guiones ni letras, y correspondiente a un banco mexicano conocido.
3. Referencia o concepto: un dato reconocible (número de pedido, nombre, folio). Si no lo reconoces, no deposites.

Sobre costos, la mayoría de las transferencias que pasan por STP no generan comisión para el usuario final, según se explica en el análisis de Aplazo sobre STP y la seguridad en pagos. El monto puede variar según la plataforma o el banco emisor: algunos cobran una comisión fija cuando el envío sale de un entorno 100% digital sin cuenta tradicional.

Recuerda: STP es la vía, no el cobre. Lo que valida tu operación son tres datos exactos en pesos mexicanos; si uno falla, la operación no es tuya.

Tipos de fraude más comunes vinculados a STP

Los fraudes no están en la red de STP, sino en los canales que te llevan a ella. Esta tabla resume los más reportados en México:

Fuentes: tips de seguridad de STP y guía de Aplazo para evitar fraudes en pagos.

Modalidades que imitan a STP o a tu banco

El phishing usa correos con remitentes casi iguales a los oficiales (por ejemplo, "soporte@stp-mx.com" en vez de los dominios reales). El vishing mezcla presión ("su cuenta será bloqueada") con una pantalla emergente o un SMS pidiendo el token. El pharming clona la pantalla de Enlace Financiero para que claves tu usuario y contraseña en una página idéntica pero fuera del dominio real. El spyware se instala cuando te piden "descargar la nueva versión" desde un enlace sospechoso.

Canales que llevan al sitio o perfil falso

Los anuncios en Google, Facebook, Instagram y TikTok que prometen "inversiones seguras" o "devolución de impuestos" son un gancho común. También circulan perfiles que se hacen pasar por STP o por bancos mexicanos en redes sociales. La documentación técnica de STP y sus soluciones de CoDi y pago de servicios se contratan vía canales formales, no por mensajes directos.

Señales de alerta para identificar un movimiento sospechoso

• Urgencia fuera de contexto: "solo hoy", "última oportunidad", "su cuenta se bloqueará".
• Premios o supuestos reembolsos que no pediste y llegan por SMS o WhatsApp.
• Datos que no cuadran: nombre del beneficiario distinto al proveedor, CLABE con letras, referencia vacía.
• Pantallas emergentes que piden tu contraseña, NIP, token o número de teléfono en nombre de STP.
• Correos con hipervínculos que llevan a dominios sin https o con certificados vencidos.
• Ofertas para mover dinero a cuentas en el extranjero presentándolas como "operaciones STP".

STP es clara al respecto: nunca solicita contraseñas, NIPs ni datos personales por SMS, correo, llamada o pantallas emergentes, según los tips de seguridad publicados. Si te los piden, no eres tú quien verifica: te están verificando a ti.

Una regla práctica: si la urgencia te obliga a meter una clave en menos de un minuto, es casi seguro un fraude. Cierra la ventana y entra directo a la app de tu banco.

¿Dónde reportar en México un fraude ligado a STP?

1. Tu banco o STP: llama al 55 52 64 84 18, opción 2-2, para sospecha de compromiso de datos, según los tips oficiales de STP. El horario es lunes a viernes en jornada bancaria.
2. CONDUSEF: registra tu reclamación para que la IFPE o el banco deban responder en un plazo formal. Sirve para llevar un folio y escalar si no hay respuesta.
3. Policía Cibernética de tu estado: en la CDMX está la Policía Cibernética de la SSC; en cada estado hay unidades equivalentes, además de la Guardia Nacional para delitos federales.
4. Fiscalía: si hubo monto mayor y patrón de suplantación, la denuncia ante la fiscalía estatal o la FGR (si el dinero salió del país o afecta el sistema financiero) abre la carpeta de investigación.

Datos de contacto corporativo de STP en México: sede CDMX en Av. Insurgentes Sur 1425, Insurgentes Mixcoac, alcaldía Benito Juárez, C.P. 03920, con teléfono 55 52648418 opción 1-1, según los datos oficiales. El aviso de privacidad para clientes aplica a cualquier dato personal que la propia STP trate.

Fraude con STP no significa que la plataforma falló: lo que falló fue un clic fuera de lugar. Más vale tardar un minuto en validar la CLABE que lamentar la transferencia.

Preguntas frecuentes sobre Banco STP y fraudes