El Comercio Digital ha tenido siempre muy en cuenta las Tasas de Conversión, como no podía ser de otro modo, detallando escrupulosamente los parámetros por los que se rigen, llegando en ocasiones a escenarios de decisión entre imposibles y absurdos. Afortunadamente, el control del fraude digital se desliga cada vez más de la fricción, cuidando la experiencia de usuario, haciendo cada vez más compatible la prevención del fraude y una compra fluida, evitando la absurda dicotomía entre fraude y fricción.
El Marketing Digital es tan importante para las compañías que es impensable prescindir de este canal, antes al contrario, está en un continuo proceso de optimización para incrementar su eficiencia. Sin embargo, como lleva ocurriendo con el control y prevención del fraude, es necesario tomar medidas para evitar identificarlo sistemáticamente con el spam o aun peor con tácticas de phishing que lo sitúen en el punto de mira de la seguridad.
Veamos la siguiente aproximación:
- Recibimos un volumen considerable de comunicaciones procedentes de orígenes diversos, incluyendo aquellas que son spam. Consideremos que estas suponen 100 mensajes diarios.
- Según varios estudios, entre 45 y 85 de estos 100 mensajes son spam, como media lo supondremos 65.
- Con los datos actuales, se estima que 1,2% de los correos recibidos son phishing. En un alto porcentaje, digamos un 90% de estos correos malintencionados están entre los 65 en spam.
- Las medidas antispam pueden reducir por tanto hasta en un 90% la entrada de correos con características de phishing.
- Una vez pasados los filtros antispam tendremos del orden de 35 correos de esos 100 que entraron en la bandeja de entrada, de los cuales un 0,12% (1,2% phishing global * 10%) son potencialmente peligrosos.
- Como hipótesis de trabajo, en el mejor de los casos un 70% de estos correos ya filtrados como spam, procederán de entidades con las que tenemos alguna relación previa y solamente alrededor de un 30% procederán de orígenes inciertos.
Según el razonamiento anterior, aproximadamente 10 correos de los 100 recibidos, no procederán de entidades con las que tenemos alguna relación y además concentrarán ese 0,12% de los potencialmente peligrosos; esto implica que aproximadamente cada mes tendríamos al menos un correo con phishing, en nuestra bandeja de entrada, esto siempre y cuando hallamos adoptado medidas antispam, si no es así, la probabilidad aumenta notablemente.
Este cálculo grosero, se ve afectado con la irrupción de la IA, incrementado estos riesgos, no solo por una redacción más sofisticada de los textos sino también por una gestión más precisa de la oportunidad, la urgencia y la elección de los individuos-empresas objetivo, de forma dinámica, considerando incluso parámetros de estacionalidad, volúmenes de negocio, vulnerabilidad, etc.
Retomando el análisis, es significativo que aplicando medidas antispam y discriminando los correos procedentes de empresas con las que no tenemos contacto previo, reduciríamos drásticamente los correos con capacidad de phishing; hablamos de revisar con mayor precaución aproximadamente un 30% de los correos que quedarían en nuestra bandeja de entrada.
Es eficaz disponer de una bandeja antispam, que nos libera de la pérdida de tiempo que supone la revisión sistemática de correos inútiles y potencialmente peligrosos. ¿Por qué no disponer de una bandeja de ‘comunicaciones no solicitadas’?
Implementar esta capacidad, extensible al canal de SMS, supondría una protección adicional, beneficiando además el marketing digital lícito, razonable y de cierta calidad.
Entramos así en el capítulo de las autorizaciones, las claves y los mecanismos tecnológicos, pero sin perdernos en ellos. Es razonable solicitar:
- Capacidad del usuario de medios digitales (correos, chats, SMS, …) de autorizar la recepción de comunicaciones o/y marketing digital, de las entidades que él determine.
- Obligatoriedad de las entidades de firmar sus comunicaciones, capacitando a los usuarios para la verificación de dicha firma.
- Utilización de comunicaciones seguras entre entidades autorizadas y usuarios.
Tres reglas básicas perfectamente asumibles con las tecnologías disponibles, al alcance y en uso por parte de las entidades, sin elevar ostensiblemente la fricción para los usuarios.
La entidad ha de emplear un certificado para la firma de sus comunicaciones, compartiendo con el usuario una clave de verificación, entregada en el mismo acto en el que este usuario pone a disposición de la entidad una clave pública de autorización para la recepción de comunicaciones procedentes de dicha entidad. El usuario dispondrá de una clave privada de autorización, siendo todos estos procesos transparentes en gran medida para el usuario, por ejemplo, incorporándolo al proceso de registro, del mismo modo que el KYC es ya un requisito y no solo en los procesos con entidades financieras.
Desarrollando el gráfico que aparecía en una publicación anterior las comunicaciones de una entidad relacionada con nosotros pasarían por los siguientes pasos:
Tres pasos para aumentar la seguridad en la recepción de comunicaciones vía correo electrónico, aplicables al canal de SMS.
Intercambio de claves
Intercambio de claves con las entidades con las que tenemos relación, transparente para el usuario en el proceso de registro, que proporcionan la autorización para el envío de comunicaciones desde la entidad, así como la verificación de procedencia por el usuario.
- Clave pública de autorización (Usuario -> Entidad).
- Clave pública de verificación (Entidad -> Usuario).
Comunicaciones firmadas
Toda comunicación de la entidad al usuario se firma con la clave privada de verificación (propiedad de la entidad) y se asegura (encripta) con la clave pública de autorización del usuario (cedida a la entidad y propiedad del usuario).
Verificadas y autorizadas
Las comunicaciones recibidas por el usuario, procedentes de la entidad, se leen gracias a la clave privada de autorización del usuario y verificada con la clave pública compartida por dicha entidad.
Esta descripción del proceso interno de gestión de comunicaciones seguras y autorizadas puede ser completamente transparente para el usuario y ‘rutinaria’ para las entidades. Todo mensaje no firmado pasaría a la categoría de ‘comunicaciones no solicitadas’ y aquellos que procedieran de empresas suplantadas, no serían verificables, pasando directamente a la de ‘ilegibles o/y potencialmente peligrosos’.
La disminución de la probabilidad de Phishing no puede dejarse exclusivamente en manos del usuario final. La actuación proactiva de las compañías, que requieren del marketing digital para su actividad, es indispensable para establecer el nivel de protección necesario.
#FraudeDigital #Phishing #Smishing #RSA #TasaConversión #IA #ComercioDigital #PGA #SeguridadDitital
