Detección y prevención del fraude de identidad: Perspectivas del CTO

Dado que el fraude de identidad es una categoría amplia que abarca numerosas técnicas de estafa, primero definamos el concepto. En términos generales, el fraude de identidad consiste en el uso ilegal de la información personal de otra persona, incluidos datos identificativos como el nombre, la dirección, el número de Seguro Social, etc. Al cometer este tipo de fraude, los estafadores pueden perseguir numerosos objetivos, aunque obtener un beneficio económico suele ser el objetivo final.

Estos son los tipos más comunes de fraude de identidad:

Al intentar obtener acceso no autorizado a servicios en línea o a instalaciones y áreas físicas, los defraudadores recurren a documentos de identidad falsos, creando falsificaciones físicas o digitales. Si se utilizan los datos de otra persona, se considera un ataque de suplantación de identidad.

La definición de INTERPOL del fraude con documentos de identidad incluye tres categorías:

• Documentos falsos: cuando se reproducen documentos auténticos sin autorización

• Documentos alterados: cuando se modifica de alguna manera un documento auténtico

• Pseudodocumentos: cuando los defraudadores crean documentos de identidad falsos que nunca fueron emitidos realmente y no cuentan con reconocimiento oficial

La digitalización y el auge de la IA generativa han aumentado el número de herramientas disponibles para los delincuentes. Por ejemplo, cualquier persona puede generar un ID falso suficientemente convincente mediante generadores de imágenes o videos como OnlyFake. El costo de una falsificación de este tipo es alarmantemente bajo: alrededor de $15.

Los documentos de identidad falsos pueden utilizarse en una amplia variedad de escenarios de identificación, tanto presenciales como remotos, desde cruzar la frontera de un país hasta abrir una cuenta con un proveedor de servicios de pago.

Utilizar los datos biométricos de otra persona, como su rostro o sus huellas dactilares, para engañar a los inspectores es un ejemplo de este tipo de fraude. Cuando estos intentos se producen en línea, se denominan ataques de presentación.

Dado que la biometría se utiliza actualmente con frecuencia como factor de identificación y autenticación, los defraudadores recurren a ella para registrarse en servicios con una identidad falsa o tomar el control de las cuentas de otros usuarios. La creación de identidades sintéticas, en las que los datos de una persona real se combinan con datos falsos, también es una forma de fraude de identidad biométrico.

Los documentos de identidad auténticos o falsos y los datos biométricos se utilizan con frecuencia para llevar a cabo numerosas actividades fraudulentas. Por ejemplo, la información personal de un directivo de una empresa puede utilizarse para realizar un ataque BEC (business email compromise), en el que los defraudadores suplantan por correo electrónico a representantes de una organización para beneficiarse de una autoridad ficticia. Una medida útil contra este tipo de suplantación es una consulta de registros DNS, que ayuda a verificar si un correo electrónico se envió desde un dominio autorizado y reduce el riesgo de spoofing.

La lista de tipos habituales de fraude también incluye, entre otros, el fraude de pagos, el fraude en plataformas y las estafas de phishing.

La detección del fraude es un conjunto de técnicas destinadas a identificar el fraude en las operaciones de una empresa. Este proceso implica la participación de especialistas responsables y el uso de herramientas específicas. Normalmente, estos incluyen responsables de cumplimiento normativo, gerentes de riesgos y fraude o un equipo de especialistas de TI.

Un sistema de detección del fraude puede representarse como un marco compuesto por los siguientes elementos:

Como puede ver, para detectar el fraude de forma eficaz, necesita:

• Especialistas que conozcan bien la materia y mantengan contacto con los representantes de soporte de su proveedor de verificación de identidad

• Una solución automatizada de verificación de identidad que incluya tanto verificación documental como biométrica y que pueda adaptarse a las necesidades de su empresa mediante personalización

• Una base de datos completa de plantillas de documentos de identidad, con actualizaciones periódicas por parte del proveedor, para verificar documentos de identidad extranjeros

• Un conjunto de tecnologías avanzadas integradas en la solución de verificación de identidad que hagan que el proceso de verificación sea rápido y, al mismo tiempo, seguro

• Una evaluación del rendimiento destinada a identificar el porcentaje de usuarios señalados y evaluar el número de falsos positivos y falsos negativos para mantener el equilibrio adecuado entre los elementos de seguridad y la comodidad del usuario

• Un calendario de revisión de todos los componentes que permita hacer seguimiento de la aparición de nuevos estándares del sector y documentos de identidad actualizados

La prevención del fraude es una estrategia a largo plazo que abarca la evaluación de riesgos de una empresa, la detección del fraude y la gestión de sus consecuencias. Normalmente, cubre todos los puntos de contacto del recorrido del cliente, desde el registro hasta cada transacción realizada en el sistema. Las medidas de prevención del fraude deben implementarse tanto en las etapas de identificación como de autenticación del usuario.

Como parte de la gestión de riesgos, una estrategia de prevención del fraude suele ser elaborada por los responsables de los departamentos y aprobada por las partes interesadas y el consejo de administración de la empresa.

Entre otros aspectos, describe los objetivos, la documentación necesaria, las responsabilidades de los empleados, los procedimientos de prevención del fraude y los controles, incluida la resolución de casos de fraude.

Una estrategia de prevención del fraude también requiere revisiones periódicas para seguir siendo relevante. Dado que los defraudadores perfeccionan constantemente sus técnicas, las soluciones desactualizadas pueden pasar por alto intentos sofisticados de penetrar ilegalmente en su perímetro.

Por lo tanto, mientras que la detección del fraude funciona como un conjunto de herramientas, la prevención del fraude es un plan detallado que establece dónde, cuándo y cómo aplicarlas eficazmente para crear un ecosistema seguro. Sin embargo, ambas definiciones forman parte de la misma categoría de prácticas de gestión de riesgos. En las siguientes secciones de esta publicación, utilizaremos estos conceptos como partes de un mismo conjunto.

A la hora de elegir técnicas de detección y prevención del fraude, deben tenerse en cuenta los procesos empresariales actuales, así como el sector en el que opera la empresa.

Por ejemplo, a diferencia de un neobanco, que opera completamente de forma remota, un banco tradicional suele disponer tanto de oficinas físicas como de aplicaciones en línea para atender a sus clientes. Esto significa que, mientras un neobanco debe centrarse exclusivamente en escenarios remotos, un banco tradicional también necesita equipos y procedimientos adecuados para verificar documentos físicos de manera presencial.

En sectores regulados como la banca, también existen estándares obligatorios que deben cumplirse, como establecer un marco adecuado de Know Your Customer. Destinadas principalmente a prevenir el lavado de dinero y la financiación del terrorismo, las medidas de detección de fraude KYC también ayudan a reducir el riesgo de fraude de identidad.

Veamos con más detalle los elementos clave de un sistema sólido de protección contra el fraude de identidad.

Incluso los documentos de identidad nacionales cuentan con innumerables versiones legítimas. Los inspectores a menudo no saben exactamente qué datos y elementos de seguridad debe contener un pasaporte o una licencia de conducir determinados. Los defraudadores intentan aprovecharse de este hecho al crear falsificaciones.

Por eso, su solución de verificación de identidad debe contar con una amplia base de datos de plantillas de documentos de identidad. Por ejemplo, Regula Document Reader SDK utiliza una base de datos con más de 16,500 plantillas de 254 países y territorios.

Gracias a las tecnologías más recientes, los defraudadores pueden crear actualmente identidades falsas más convincentes. Para detectar con éxito indicios sofisticados de fraude, como la sustitución de fotografías o la clonación de chips RFID, necesita un software potente.

El conjunto de comprobaciones de autenticidad debe incluir, como mínimo, la evaluación de la calidad de la imagen del documento; la lectura y verificación de la MRZ, los códigos de barras y los códigos QR; la detección del tipo de documento; la validación de datos en la zona de inspección visual (VIZ); y la comprobación liveness de documentos. Cuantas más comprobaciones se realicen, más fiable será la solución.

Una solución completa también debe incluir un componente de verificación biométrica con comprobación de los rostros y prueba de vida para confirmar que el usuario es realmente la persona que afirma ser. Las pruebas de vida también ayudan a detectar ataques de presentación que utilizan máscaras de silicona, fotografías mostradas en pantalla y otros artefactos fraudulentos.

Cada vez más clientes utilizan sus dispositivos móviles para la incorporación y la autenticación. Sin embargo, surgen problemas cuando se integran smartphones de terceros en el proceso, ya que representan una amenaza constante. Los estafadores y ladrones de identidad pueden explotar eficazmente este canal remoto preparando ataques de presentación mediante numerosas técnicas, desde presentar selfies en pantalla hasta realizar inyecciones de video. En algunos casos, ni siquiera se realiza una verificación real; en su lugar, existe únicamente un resultado de “verificado”, preparado previamente por los defraudadores y enviado de vuelta a sus sistemas durante un ataque de inyección. Por eso, nunca es recomendable aceptar sin más los resultados de verificación procedentes de un dispositivo que no es de confianza.

El enfoque de confianza cero en dispositivos móviles consiste en volver a verificar, dentro de un perímetro de confianza, los resultados obtenidos desde el dispositivo móvil del usuario. Por eso, la verificación del lado del servidor es un elemento imprescindible dentro de los métodos de detección y prevención del fraude de identidad.

Los clientes esperan que sus apps no solo sean seguras, sino también rápidas y fluidas. Establecer el equilibrio óptimo entre estos aspectos también debería formar parte de su estrategia de detección y prevención del fraude.

Esto es, en parte, responsabilidad del proveedor de verificación de identidad, que debe cumplir los estándares del sector al desarrollar la solución. Según analistas de Gartner, la tasa media de repetición de selfies debe ser del 7% o menos. Mediante las tecnologías más recientes, como la captura del rostro y la evaluación de la calidad de imagen, este indicador puede reducirse aún más. Por ejemplo, las soluciones de Regula presentan actualmente una tasa media de repetición del 5% y una tasa de repetición de casi el 0% en el reconocimiento facial.

Por último, una estrategia sólida contra el fraude debe incluir campañas de concientización y programas periódicos de capacitación para el personal. Los defraudadores explotan con frecuencia la falta de conocimientos sobre ciberseguridad entre los empleados mediante correos electrónicos de phishing convincentes, que ahora pueden crearse con IA generativa.

También es fundamental establecer y formalizar un ecosistema adecuado de autenticación digital dentro de la empresa. Según un reciente informe del National Institute of Standards and Technology (NIST), las empresas no deberían obligar a sus empleados a cambiar periódicamente sus contraseñas corporativas. En su lugar, es más razonable restablecer las contraseñas u otros factores de autenticación únicamente cuando se hayan visto comprometidos. El problema es que los empleados suelen establecer contraseñas menos seguras y olvidar sus credenciales.

Definir una estrategia de detección y prevención del fraude es una tarea compleja. Principalmente, cualquier estrategia es un modelo de “cómo podría ser”, no de “cómo es”.

Estos son algunos de los obstáculos que puede encontrarse por el camino:

• Aparición de nuevos tipos de fraude de identidad y estafas: la estafa de inversión basada en relaciones, basada en atraer a usuarios de Internet para que inviertan en plataformas falsas de comercio de criptomonedas, es una de las más recientes. Según un estudio de Visa, el 10% de los adultos encuestados han sido recientemente objetivo de una estafa de pig butchering

• Emisión de nuevas versiones y tipos de documentos de identidad: por ejemplo, el lanzamiento el año pasado del programa de la Cartera Digital de la UE exige nuevos enfoques por parte del sector de verificación de identidad

• Adopción de nuevos escenarios de verificación: una encuesta de Regula reveló que el 73% de las empresas a nivel mundial opera actualmente tanto en línea como en establecimientos físicos. Esto significa que la verificación remota de identidad se está convirtiendo en un proceso obligatorio para más empresas

• Baja calidad de los dispositivos de los usuarios: una parte considerable de su público objetivo, especialmente en regiones de Asia y África, puede no utilizar las versiones más recientes de smartphones y depender, en cambio, de dispositivos móviles básicos o económicos. Como consecuencia, al entrar en determinados mercados puede enfrentarse a dificultades para procesar selfies y fotografías de documentos borrosas u oscuras. Sin embargo, implementar tecnologías como la evaluación de la calidad de imagen y proporcionar indicaciones claras a los usuarios puede ayudar a resolver este problema

• Presentación de documentos de identidad extranjeros en sus sistemas: el auge del nomadismo digital y la migración laboral son características de las economías posteriores a la pandemia en todo el mundo. La necesidad de incorporar nuevos clientes verificando sus pasaportes y licencias de conducir extranjeros puede convertirse en un desafío para una organización

• Carga de cumplimiento normativo: cada año se introducen nuevas regulaciones relacionadas con la verificación de identidad. Esto complica la situación para las empresas de los sectores de banca, FinTech y otras industrias reguladas

• Equilibrio entre UX y detección y prevención del fraude: por último, las empresas tienen que agilizar sus procedimientos y, al mismo tiempo, mantenerlos seguros y fiables

Los analistas de Gartner describen un proceso integral de verificación de identidad como un enfoque de cinco pasos. Incluye la captura de la imagen del documento, la evaluación del documento, la extracción de sus datos, la captura de una selfie y la comprobación de los rostros. Esto significa que las comprobaciones documentales y biométricas se realizan simultáneamente.

Regula Document Reader SDK, complementado con Regula Face SDK, cubre todas las etapas necesarias. Además, al optar por una solución de un único proveedor, puede evitar una infraestructura compleja basada en una combinación de software de diferentes proveedores. Agende una breve llamada introductoria para conocer mejor sus posibilidades con Regula.