La Auditoría de la Caja Costarricense de Seguro Social (CCSS) advirtió sobre altos riesgos de posibles fraudes financieros y suplantaciones de identidad contra pensionados del régimen de Invalidez, Vejez y Muerte (IVM) y del Régimen No Contributivo (RNC).
Mediante el oficio AD-AFINPE-0039-2025, fechado el 9 de junio pasado, el auditor Olger Sánchez Carrillo informó a las gerencias de Pensiones y Financiera sobre una práctica detectada en el proceso de otorgamiento de pensiones, que consiste en utilizar una fotocopia de la carátula de la tarjeta de débito personal para validar datos bancarios.
Los hallazgos forman parte de la Auditoría de carácter especial sobre el otorgamiento y recálculo de las pensiones en el régimen del IVM, en el periodo del 1.º de enero de 2022 al 31 de marzo de 2025, para la cual se realizó una revisión documental de una muestra de expedientes de pensiones otorgadas entre enero del 2023 y marzo del 2025.
El órgano fiscalizador examinó tanto archivos digitales en formato PDF, almacenados en el Sistema Integrado de Pensiones (SIP), como documentos físicos en cinco oficinas adscritas a la Dirección Regional de Sucursales Huetar Norte.
Tras estas revisiones, se determinó que las fotocopias se emplean como medio de verificación de la cuenta bancaria IBAN del solicitante para validar y conceder la pensión, ya sea del IVM o del RNC.
“La inclusión de esta información en los expedientes representa un riesgo elevado de exposición indebida de datos personales, así como un potencial escenario para la comisión de fraudes financieros o suplantación de identidad”, señala el oficio de auditoría, del cual La Nación tiene copia.
Este diario consultó a Gustavo Picado, gerente financiero de la CCSS, sobre la posición oficial de la institución ante la advertencia emitida por la Auditoría Interna. Asimismo, se le preguntó si se adoptaron medidas correctivas para frenar este tipo de solicitudes y qué ocurrirá con los solicitantes que enviaron dichas imágenes.
Al cierre de esta edición, no se obtuvo respuesta.
LEA MÁS: Crisis en pensiones del IVM: en 2050 Costa Rica tendrá solo 2,4 trabajadores por cada jubilado
‘Debilidad institucional en materia de protección de datos personales’
Como parte del informe, la Auditoría Interna calificó la inclusión de la fotocopia de la tarjeta de débito como una “posible debilidad institucional en materia de protección de datos personales y de resguardo de información financiera sensible”.
El órgano señaló que, si bien los formularios de solicitud de pensión por vejez, invalidez o muerte requieren el número de cuenta IBAN del solicitante para efectuar el depósito del beneficio, no se exige un documento que respalde dicha información.
Además, no se identificó una normativa institucional vigente que regule o estandarice un mecanismo para acreditar documentalmente, mediante un respaldo como una fotocopia, el número de cuenta declarado.
En ese contexto, la Auditoría subrayó que la copia de la carátula de la tarjeta de débito no solo incluye el número de cuenta IBAN (dato que se busca verificar en estos trámites), sino también otros elementos sensibles como el número completo de la tarjeta, la fecha de vencimiento, el nombre del titular y, en el reverso, el código de seguridad (los tres dígitos ubicados detrás).
Esto eleva a un nivel “alto” el riesgo de que los pensionados expongan indebidamente su información personal y, además, facilita un posible escenario para la comisión de fraudes financieros o suplantación de identidad.
Asimismo, el oficio de Auditoría advierte de que, entre las vulnerabilidades de la población que solicita este tipo de beneficios, destaca la existencia de limitaciones relacionadas con el nivel educativo, especialmente en lectura, escritura y reconocimiento de números.
Esto se evidenció, según la Auditoría, en las firmas de algunos expedientes, pues en múltiples casos se utilizó la huella dactilar debido a que la persona no sabía leer ni escribir.
“Dentro de las vulnerabilidades de parte de la población que solicita este tipo de beneficios, en su mayoría por su grado de escolaridad muestran limitaciones en la escritura o dominio de las letras o números. (...) (Este) aspecto además les podría dificultar si se exponen o no a un riesgo inclusive por solicitar una fotocopia de su tarjeta de débito fuera de las instalaciones de la institución, para completar sus datos”.
— Oficio AD-AFINPE-0039-2025.
LEA MÁS: Fraudes informáticos ya casi alcanzan a las denuncias por asaltos
Auditoría ordenó medidas correctivas
La Auditoría concluyó que la ausencia de un lineamiento institucional vigente que establezca de forma clara los medios válidos para acreditar la cuenta bancaria de los solicitantes de pensión lleva a que estos, para cumplir con los requisitos del trámite, presenten como alternativa la fotocopia de la tarjeta de débito.
En ese sentido, aunque responde a razones de accesibilidad económica, esta práctica no es un método seguro ni adecuado para acreditar el número de cuenta IBAN, según el órgano fiscalizador.
“(Esta práctica) expone tanto a la persona solicitante como a la institución a diversos riesgos, entre ellos: la posible utilización indebida de información financiera sensible, vulneraciones a la confidencialidad de los datos personales, y la posibilidad de fraude o suplantación de identidad”, advierte el informe.
Por ello, la Auditoría alertó a la institución sobre la necesidad urgente de revisar y fortalecer los procesos que verifican la cuenta bancaria en los trámites de ambos regímenes de pensión.
Asimismo, señaló que la revisión debe considerar no solo aspectos técnicos y normativos vinculados a la protección de datos personales, sino también el contexto socioeconómico de los usuarios.
Entre las recomendaciones, se planteó valorar opciones que permitan una verificación segura sin generar costos para los solicitantes, como establecer convenios con entidades financieras o desarrollar mecanismos de validación digital o física que confirmen la coincidencia entre la cuenta reportada y la tarjeta de débito.
Para ello, brindó un plazo no mayor a tres meses para que la institución informe sobre las acciones implementadas o programadas para subsanar la situación.
