El control sobre el fraude es una necesidad incuestionable para toda empresa que quiera tener un crecimiento sostenible y con el menor número de sobresaltos posible. Los esfuerzos realizados para llevar a cabo dicho control son muy heterogéneos, en función del volumen de negocio, el sector, la actividad o el grado de madurez de la compañía.
El fraude para las compañías expuestas digitalmente (Fintech, Comercio Digital, Pasarelas de Pago, Entidades Financieras, Juego Online, …) no solo es ineludible, sino que crece de manera significativa en 2023, hasta un 93% en alguno de los sectores, según datos de la red global de protección contra el fraude de la compañía americana Sift Science.
No es un fenómeno esporádico ni una actividad que se comete de forma casual o son acciones propias de individuos aislados. Por el contrario, cada vez es más organizado, con estructuras perfectamente diseñadas, partiendo de los procesos de obtención de los datos necesarios para realizar las estafas hasta la ocultación de los botines y beneficios de estas actividades, incluyendo el lavado de dinero, pasando por toda una serie de tutoriales, código, documentos y utilidades, en lo que se viene a llamar la democratización del fraude, con anuncios semi-privados para la compra-venta de credenciales, tarjetas de crédito o procedimientos para la presentación de devoluciones y contracargos falsos.
La tecnología permite un elevado grado de intercambio de información y colaboración, desde la Deep/Dark web hasta canales privados de Tiktok y Telegram, sin mencionar el impacto de la IA generativa en el fraude y todo ello frente a compañías que tienen dificultades para una coordinación interna (silos, áreas de ciberseguridad, áreas de prevención fraude financiero, conceptos de seguridad perimetral de sucursales y subsidiarias, …) y la colaboración con otras compañías, restringida también por la reglamentación (GDPR).
Es cada vez más evidente la relación entre los ataques perpetrados contra las infraestructuras, redes, procesos y almacenamiento, y los incidentes de fraude en pagos y en otros intercambios de contenidos e información, como ya reflejamos en otras publicaciones.
Sin embargo, aún son pocas las iniciativas que permiten hacer uso de datos derivados del tratamiento de los ataques al código o las infraestructuras, dentro de modelos predictivos de prevención de fraude en intercambios financieros y de pagos.
Tampoco son muchos los sistemas inteligentes de alerta y ciberseguridad que consideran en sus protocolos y diagramas de trabajo, los casos de fraude previos o en curso, tratados por áreas de prevención de la compañía.
Los incidentes de phishing, vishing, smishing, catfishing y similares, están obviamente relacionados con incidentes posteriores de fraude, de modo que solo es entendible el escaso número de modelos de predicción que los toma en consideración, por la existencia aún de silos poco permeables en las compañías, más allá de las dificultades técnicas de búsqueda de los elementos óptimos de generación de predictibilidad.
Al margen de estos silos internos, la colaboración entre empresas es igualmente necesaria. Los efectos del ataque con éxito contra una compañía, especialmente en PSPs, Marketplace, entidades financieras y Fintech, son de tipo tsunami en el comercio digital. El robo de credenciales, o la suplantación de identidad en unas, permite el ataque masivo en otras, y todo ello a nivel global, a pesar de algunos de los esfuerzos por restringir el daño (tokenización).
