La propuesta deriva de la CURP biométrica, cuya era inició formalmente el 16 de octubre de 2025 y que se perfiló como documento necesario para trámites de salud y apoyos gubernamentales. El texto de la iniciativa aclara que el uso de la CURP digital no será obligatorio para realizar trámites, aunque se presenta como una capa adicional de verificación para el sector financiero que buscaría facilitar el acceso a instrumentos de ahorro, crédito y seguros sin acudir a una sucursal.
David González, investigador de seguridad informática de la compañía global de ciberseguridad ESET, explica que México atraviesa una transición hacia un sistema de identidad digital que integra datos altamente sensibles: huellas dactilares, iris, fotografía y firma electrónica. Esa centralización, dice, responde a la necesidad de combatir el fraude financiero, cuyas quejas de la banca ante la Condusef crecieron 8.7% durante 2025, al acumular 5.21 millones de reclamaciones.
El riesgo central, según González, es que todos los biométricos de la población queden alojados en una única base de información, de forma que un ataque exitoso podría exponer datos irremplazables de millones de personas al mismo tiempo. A diferencia de una contraseña, una huella dactilar o un iris no pueden cambiarse una vez comprometidos, lo que convierte a esa base en un objetivo atractivo para los ciberdelincuentes.
"Una filtración podría facilitar la suplantación de identidad, fraudes o accesos no autorizados. Además, persisten las dudas sobre la tecnología exacta que utilizarán, cómo van a proteger esa información y la transparencia del proceso, lo cual incrementa la incertidumbre", afirma David González, investigador de seguridad informática de ESET.
El especialista ejemplifica el escenario de riesgo: si un ciberdelincuente logra ingresar a la CURP digital, a las credenciales de acceso o a los datos biométricos asociados, podría intentar hacerse pasar por el titular para solicitar un crédito de manera fraudulenta ante una institución financiera que confía en esa verificación remota.
Para mitigar esos escenarios, González plantea controles adicionales: verificación en tiempo real contra bases oficiales, mecanismos de autenticación multifactor, cifrado de la información y un registro de evidencias de cada operación realizada con la CURP digital. Considera que bancos, aseguradoras y otras instituciones financieras deberán adoptar modelos de identidad por capas y tecnologías de detección de fraude, además de monitorear operaciones sospechosas y notificar de inmediato cualquier movimiento al usuario.
La inclusión no basta sin educación financiera
Jaime Márquez Poo, socio y director ejecutivo de Desarrollo de Negocios en Sistema de Transferencias y Pagos (STP), coincide en que el uso de la CURP digital como identificación oficial puede representar un avance para ampliar el acceso a productos financieros en el país, al simplificar procesos que hoy exigen trámites presenciales. Pero advierte que el acceso, por sí solo, no garantiza una inclusión real: antes de incorporar a más personas al sistema, sostiene, debe asegurarse que entiendan costos, beneficios y obligaciones de lo que contratan.
"La educación financiera debe avanzar de la mano de la innovación y la inclusión. No se trata solamente de poner más productos financieros al alcance de las personas, sino de darles las herramientas para tomar decisiones informadas y aprovecharlos en beneficio de su bienestar", sostiene Jaime Márquez Poo, director ejecutivo de Desarrollo de Negocios en STP.
Márquez Poo plantea que la responsabilidad no recae únicamente en el gobierno federal: bancos, empresas fintech e instituciones financieras deben generar información clara y accesible, además de ofrecer experiencias sencillas con mecanismos robustos de autenticación y protección de datos que permitan a los usuarios identificar operaciones legítimas y reaccionar ante situaciones sospechosas.
El antecedente de exposición masiva de datos oficiales no es hipotético en México: en 2016 se filtró en un servidor sin protección el Padrón Electoral del INE con datos de cerca de 93.4 millones de ciudadanos, episodio que expuso la vulnerabilidad de las grandes bases estatales. Ese precedente alimenta las reservas de los especialistas frente a una base que ahora concentraría biométricos irreemplazables.
La discusión sobre la CURP digital se inscribe en un debate más amplio sobre el manejo de datos personales por el gobierno federal y el sector privado, en un contexto donde la digitalización financiera avanza con rapidez: la inteligencia artificial ya reduce a 8 minutos trámites de pólizas que antes tomaban 20 horas en Sura, pese a las dudas sobre ciberseguridad que rodean a la identidad digital.
La iniciativa de Ley de economía digital forma parte del paquete económico 2027 que analiza el Congreso de la Unión. Ni el texto ni los especialistas consultados detallan qué autoridad concentrará la operación técnica de la base biométrica ni qué esquema de auditoría o transparencia se aplicará sobre esos datos, un vacío que González identifica como parte de la incertidumbre que rodea al proyecto.