El aumento de ciberdelincuentes más inteligentes requiere defensas contra el fraude más sólidas

La creación de identidades sintéticas alguna vez fue dominio de piratas informáticos experimentados, pero ahora se puede hacer con solo unos simples consejos. Así como la IA ha impulsado innumerables innovaciones empresariales, también ha sido una bendición para los malos actores, permitiendo a los ciberdelincuentes cometer fraude con menos costos y mayor sofisticación.

En un podcast reciente de PaymentsJournal, Danica Kleint, gerente de marketing de productos para soluciones antifraude en Plaid, y Jennifer Pitt, analista senior de gestión de fraude en Javelin Strategy & Research, analizaron cómo la inteligencia artificial está volviendo obsoletos los métodos antifraude y las herramientas y tecnologías que las organizaciones pueden utilizar para defenderse contra amenazas futuras.

efecto volante

Los malos están utilizando la inteligencia artificial como campo de pruebas. En el modelo de IA, los ciberdelincuentes pueden crear y probar credenciales falsas. A diferencia de las empresas legítimas, los actores de amenazas no se ven obstaculizados por límites regulatorios o éticos, lo que les permite desarrollar sus métodos más rápido que los profesionales de prevención del fraude.

Estos malos actores también se están aprovechando de las grandes cantidades de datos personales robados en un número creciente de violaciones de datos y de las grandes cantidades de información compartida en línea por consumidores y empresas. Con más datos y herramientas avanzadas, los ciberdelincuentes ahora pueden construir identidades sintéticas que son extremadamente difíciles de detectar.

Para agravar el problema, muchas instituciones financieras todavía dependen de métodos de verificación obsoletos.

“Cuando trabajaba en un banco, tenía que mirar los números de atención al cliente y recibí varias llamadas de estafadores que se hacían pasar por víctimas”, dijo Pete. “Proporcionan información de identificación estática – eso es todo lo que estos centros de llamadas piden: nombre, fecha de nacimiento, número de cuenta – y no verifican nada más. Esa es información que pueden obtener fácilmente en Internet a través de las redes sociales, o que ha quedado expuesta a través de filtraciones de datos”.

Para empeorar las cosas, los ataques de fraude actuales a menudo están altamente coordinados y ejecutados por bandas de fraude organizadas y de gran alcance.

“No sólo tienen mejores herramientas contra el fraude, sino que también los vemos colaborar más y compartir consejos e ideas”, dijo Klett. “Ha sido un volante de fraude en rápido aumento en todo el ecosistema. Recuerdo que no hace mucho tiempo, los estafadores eran sólo dos tipos en un dormitorio tratando de descifrar algo aquí y allá”.

“Ahora tienen una operación tan grande que incluso tienen TikTok listo para aprender a cometer fraude”, dijo.

Defensa contra fraude en capas

Las instituciones financieras ya no pueden depender de una única línea de defensa para combatir esquemas de fraude cada vez más sofisticados. La estrategia más eficaz es crear una defensa por niveles: un sistema coordinado de herramientas, datos y análisis que trabajen juntos para detectar y prevenir el fraude desde múltiples ángulos.

Si bien a algunas organizaciones les preocupa que este enfoque pueda aumentar la fricción con los clientes, los avances en la tecnología han reducido significativamente estas preocupaciones.

Un punto de partida eficaz es aprovechar los datos importantes de los clientes que ya tienen las instituciones financieras. Con el análisis adecuado, las agencias pueden utilizar estos puntos de datos para realizar controles de identidad sintéticos o robados, lo que ayuda a detectar identidades o registros falsos asociados con personas fallecidas.

Además de la verificación de identidad, las instituciones financieras tienen ahora un número cada vez mayor de herramientas a su disposición.

“Un enfoque interesante que hemos descubierto recientemente es la detección de duplicación facial, que ha descubierto muchos fraudes”, dijo Klett. “Es un concepto súper simple: ¿estamos viendo esta cara varias veces en nuestra plataforma o servicio?”

“Pero no muchas empresas están haciendo esto”, afirmó. “Tomas una fotografía de una tarjeta de identificación o una selfie y luego puedes ver si has visto esa cara varias veces en toda la organización”.

Además de la detección de duplicaciones faciales, las instituciones financieras también deberían implementar sistemas que detecten la duplicación de otros elementos de identidad. Por ejemplo, si un banco identifica el mismo nombre o fecha de nacimiento utilizado para abrir una docena de cuentas, esto podría indicar una actividad fraudulenta coordinada.

La inteligencia de dispositivos y el análisis de comportamiento añaden otra capa crítica de protección. Estos sistemas pueden identificar patrones atípicos de interacción del cliente con la plataforma y alertar a las instituciones sobre riesgos potenciales en tiempo real.

En última instancia, las organizaciones pueden beneficiarse de una visión comparativa más amplia del comportamiento del cliente. Al evaluar la actividad de un individuo en comparación con sus pares en grupos demográficos similares, las instituciones financieras pueden diferenciar entre un comportamiento aberrante legítimo y un comportamiento verdaderamente sospechoso.

“Lo que les falta a muchas instituciones financieras que cuentan con algún análisis de comportamiento es que sólo se centran en clientes individuales”, dijo Pitt. “Esto resuelve el problema de la apropiación de cuentas para este cliente, pero no resuelve problemas como el fraude de cuentas nuevas”.

“Observa la inteligencia del dispositivo desde el principio, viendo si el dispositivo se ha utilizado antes”, dijo. “¿Es este comportamiento típico de un cliente de esta población que proporciona información típica de KYC? Es fundamental observar los datos históricos de este cliente y compararlos con esta población”.

cambiar estrategia

La tecnología por sí sola no es suficiente. Cada vez más organizaciones se están dando cuenta de que la verdadera resiliencia requiere un cambio de estrategia, no solo un cambio de herramientas.

“Las empresas se centran en el fraude desde el principio, pero ocurre durante todo el ciclo de vida del cliente”, afirmó Kleint. “A menudo, olvidan que más adelante en el viaje pueden hacerse cargo de la cuenta, y estamos viendo que eso es muy común ahora”.

Si bien la prevención continua del fraude es importante, uno de los cambios estratégicos más críticos para las instituciones financieras es abrir líneas de comunicación con sus pares.

Al compartir datos dentro de alianzas industriales, las organizaciones pueden comenzar a aprovechar los conocimientos colectivos de la red no solo para comprender cómo se comportan los individuos o los dispositivos en sus propias plataformas, sino también cómo ese comportamiento se extiende a otras organizaciones.

Debido a que los malos actores a menudo operan en grupos organizados, las empresas de servicios financieros deben trabajar juntas para que los ataques fraudulentos puedan rastrearse hasta la organización responsable.

Aún así, muchas instituciones financieras siguen siendo reacias a participar en el modelo de consorcio debido a preocupaciones de cumplimiento y privacidad. Si bien estas preocupaciones son válidas, siempre que los clientes comprendan plenamente cómo se utilizan sus datos y cómo las organizaciones cifran la información personal, los miembros de la alianza son libres de compartir inteligencia sin dejar de cumplir con sus obligaciones regulatorias y de privacidad.

“Las instituciones financieras a veces dudan por cuestiones de privacidad”, dijo Pitt. “No sólo les preocupa violar las leyes de privacidad, sino que también les preocupa que compartir información aleje a los clientes. Pero la colaboración será clave, y si no podemos trabajar juntos, seguiremos perdiendo esta batalla”.

en todo el ecosistema

Lamentablemente, la lucha contra el fraude es cada vez más difícil. Las herramientas de inteligencia artificial generativa y agentiva están evolucionando a un ritmo rápido, brindando a los malos actores nuevas formas de engañar y explotar. Para mantener el ritmo, las empresas deben adoptar tecnologías que cierren la brecha y trabajar juntas para construir estándares más sólidos en toda la industria para identificar y prevenir el fraude.

Quizás lo más importante es que las organizaciones deben aprovechar al máximo los sistemas existentes.

“La red de Plaid impulsa las finanzas digitales: uno de cada dos estadounidenses ha utilizado Plaid de alguna manera”, dijo Kleint. “Ya estamos viendo mil millones de dispositivos conectados en todo el ecosistema y, debido a esa escala, podemos ver cómo se comportan esos dispositivos e individuos en todo el ecosistema financiero”.

Después de todo, el fraude tiene como objetivo, en última instancia, obtener ganancias financieras, y la forma más confiable de detectar y rastrear el fraude es seguir el dinero.

“Nos sentamos en el medio, por lo que tenemos una perspectiva que otras personas no tienen”, dijo Klett. “Podemos ver patrones en los que una persona se conecta a seis aplicaciones fintech diferentes en una semana. Usan diferente información de identificación personal, pero usan el mismo dispositivo o el mismo correo electrónico. Los estafadores no conocen estos patrones. No saben que podemos verlo todo, y es muy poderoso en términos de comprender los riesgos potenciales”.