Por qué los controles de frecuencia no logran detectar las redes de fraude ni las identidades sintéticas

Una entidad financiera nos envió un lote de 128 solicitudes que sospechaba estaban coordinadas. Al comparar los casos de fraude confirmado, casi todos tenían exactamente una cosa en común: el mismo nombre.

Nada más se repetía. Cada solicitud incluía su propia fecha de nacimiento, dirección, número de teléfono, correo electrónico y conexión.

Ninguna fue rechazada. Dos llegaron a financiarse.

En el papel, parecían personas distintas. Sin embargo, cuatro señales terminaron delatándolas.

En resumen

Nuestros hallazgos en pocas palabras:

• Aparecía un mismo nombre una y otra vez sin ningún otro dato repetido: siempre una nueva fecha de nacimiento, dirección, teléfono, correo y conexión.

• Los controles existentes de la entidad las aprobaron todas, incluidos los controles de frecuencia (velocity checks).

• Cuatro señales desenmascararon a la red: un mismo nombre asociado a múltiples identidades, datos de identidad pegados en vez de tecleados, el mismo proxy ocultando un origen en el extranjero y números de seguridad social (SSN) que no pasaron la verificación. Por separado, casi todas son señales débiles; juntas, son contundentes.

• Al contrastar este patrón con seis meses de historial, aparecieron 68 solicitudes adicionales que no figuraban en la lista de fraude de la entidad.

• La lección: vincule los datos de identidad, comportamiento, red y verificación en lugar de evaluar cada solicitud de forma aislada.

Qué ocurrió

La entidad financiera marcó 128 solicitudes como sospechosas de actividad coordinada. De ellas, 26 llegaron con el mismo nombre en un periodo de 51 días. Más tarde se confirmó que 22 eran fraudulentas.

Cada una presentaba su propia fecha de nacimiento, dirección, teléfono, correo y conexión, distribuidas en 15 estados. No se repetía nada excepto el nombre. Todas provenían de un Mac usando Chrome, pero al ser una de las configuraciones más comunes del mercado, no apunta necesariamente a un dispositivo compartido.

El flujo de trabajo habitual de la entidad no las detuvo. Tras casi 100 comprobaciones automáticas de fraude, el grupo no recibió ni un solo descarte ni rechazo. Incluso se llegaron a desembolsar dos préstamos.

¿Por qué los controles de frecuencia no detectan estas redes organizadas?

Los controles de frecuencia buscan repeticiones: la misma conexión, dispositivo o correo en un intervalo corto. Esta red no repetía nada salvo el nombre, por lo que no había nada que medir.

Ampliar los intervalos de tiempo tampoco funcionó. Al probar a extender la ventana de 30 minutos a 7 días, se marcaron miles de solicitudes pero casi no se detectó fraude. Ajustar la frecuencia al límite solo consigue saturar de alertas al equipo de revisión.

Cuando nada se repite, la clave está en analizar cómo se relacionan los datos entre sí.

¿Qué delató a esta red de fraude?

Revisamos los casos confirmados campo por campo: qué se introdujo, cómo se introdujo, de dónde venía y si era legítimo. Cuatro señales se repetían constantemente juntas.

Identidad

Empezamos por el nombre. Siempre aparecía con una fecha de nacimiento diferente. Una persona real solo tiene una fecha de nacimiento. Es natural que un nombre común tenga varias, ya que muchas personas se llaman igual, por lo que el umbral de detección debe fijarse muy por encima. Por sí sola, es una señal con mucho ruido: los nombres comunes en flujos con mucho tráfico acumulan fechas distintas y esto suele marcar a muchos usuarios legítimos.

Comportamiento

Después analizamos cómo se rellenaban los formularios. El nombre, la fecha de nacimiento y el SSN nunca se teclearon: se pegaron. Lo habitual es que las personas escriban su propia fecha de nacimiento, no que la peguen. Aun así, evaluar solo el copiado y pegado es demasiado impreciso, ya que muchos solicitantes reales pegan datos desde notas, documentos o gestores de contraseñas.

Red

Luego, las conexiones. Pasaban por el mismo grupo de servidores proxy configurados para simular un origen nacional. La conexión parecía local, pero los datos del dispositivo decían lo contrario. La inteligencia de red y dispositivos de Oscilar determinó el origen real tras el proxy: estaban en el extranjero, principalmente en Europa del Este y Oriente Medio. Por sí sola, esta señal también es demasiado amplia, ya que el uso de VPN, herramientas de privacidad y redes corporativas es muy habitual entre clientes reales.

Verificación

Por último, los números de seguridad social (SSN). No superaron las comprobaciones de verificación. Los defraudadores suelen reutilizarlos, por lo que los números de casos confirmados anteriormente se guardan en una lista de seguimiento donde cualquier reaparición se detecta al instante. Es la más sólida de las cuatro señales por sí sola, pero es muy específica y actúa tarde: solo salta si el SSN ya ha fallado antes o se ha vinculado a un fraude. Si usan un número nuevo, pasa desapercibido.

Los 22 casos confirmados de fraude presentaron exactamente este mismo patrón en las cuatro señales.

¿Por qué cuatro señales débiles son más fuertes al combinarse?

Cada señal por separado genera falsos positivos o resulta insuficiente. Al analizarlas en conjunto, se cubren los puntos ciegos entre sí:

• Muchas fechas de nacimiento para un mismo nombre delatan el uso de una identidad recurrente, el patrón de esta red. Por sí sola, los nombres comunes generan confusión.

• Los datos pegados indican que el solicitante no se sabía la información de memoria. Por sí sola, descarta a demasiados usuarios legítimos que también pegan datos.

• El origen oculto muestra que alguien intenta esconder su ubicación real; en este caso, en el extranjero. Por sí sola, no basta, ya que las VPN y redes de empresa están por todas partes.

• Un SSN fallido o en lista de seguimiento vincula la solicitud con identificadores fraudulentos o reutilizados. Por sí sola, no puede detectar un número nuevo.

Dado que un cliente legítimo rara vez activa las cuatro alertas al mismo tiempo, evaluarlas a la vez permite aislar la red con total precisión sin afectar apenas a solicitudes reales.

El control que diseñamos para esta entidad no toma ninguna de estas señales de forma aislada. Exige que coincidan: varias fechas de nacimiento bajo un mismo nombre en un periodo reciente, campos de identidad pegados, conexión a través de proxy y un SSN fallido o presente en la lista de seguimiento.

Con el tráfico habitual de esta entidad, el control combinado solo afecta a menos del 1 % de las solicitudes aprobadas, una cifra menor que si se usara únicamente la señal de las fechas de nacimiento. Este es su caso particular, no un estándar fijo; cada caso varía, por lo que conviene medirlo con datos propios.

Es la misma idea que expuse en Por qué las reglas antifraude dejan de funcionar (y cómo saber cuándo le ha ocurrido a usted): conviene abordar los ataques desde distintos ángulos para que un solo cambio no tire abajo todas sus defensas.

¿Cómo saber si su lista de fraude está completa?

Cuando un cliente nos entrega una lista de fraude, la tratamos como una pista, no como una conclusión definitiva. En cuanto localizamos un patrón, lo contrastamos con meses de tráfico para ver todo lo que activaría esa alerta.

En este caso, rastreamos el nombre a lo largo de seis meses de actividad de la entidad:

• Aparecieron 94 solicitudes, de las cuales 68 no estaban en la lista inicial de la entidad. Todas compartían el mismo patrón de cuatro señales.

• Dos de esas 68 habían superado los filtros hasta llegar a la última fase de revisión de fraude.

Al proyectar el patrón en el historial salieron a la luz otros dos casos a tener en cuenta:

• Un segundo nombre común con un comportamiento casi idéntico: unas 97 solicitudes en 112 días, 82 fechas de nacimiento distintas, 25 estados y solo cerca del 2 % bloqueadas. No figuraba en ninguna lista. Encaja con el patrón, aunque no está confirmado como fraude.

• Una dinámica completamente distinta: unos 56 nombres y cerca de 730 solicitudes donde una misma persona, manteniendo nombre, fecha de nacimiento y dirección, volvía a solicitar una y otra vez cambiando solo el correo electrónico. Ese comportamiento requiere un control específico que contabilice los correos asociados a una misma persona.

Una lista de fraude solo recoge lo que alguien ya ha detectado. El resto de la red suele estar operando justo al lado, y esa es la parte que sigue costándole dinero.

Planteamos estos puntos a la entidad para su revisión; coincidieron en que suponen un riesgo y nos confirmaron que ya están trabajando en solucionarlos. 

¿Conviene bloquear de inmediato con un nuevo control o ponerlo primero en observación?

Primero en observación. Los nuevos controles se activan en modo oculto («shadow mode»), analizando el tráfico real sin interferir en las decisiones, y revisamos los resultados con el cliente antes de aplicar cualquier bloqueo.

Esa revisión es clave también para resolver dudas del propio negocio. El patrón de reutilización de correos planteó una pregunta para esta entidad: ¿es habitual que los clientes vuelvan a solicitar con otro correo tras ser rechazados? Si es así, forma parte del comportamiento legítimo de sus usuarios y el control debe contemplarlo. Corresponde a la entidad decidir si esto supone un problema.

Un control que encaja bien sobre datos históricos necesita un tiempo de prueba con tráfico en tiempo real antes de bloquear a ningún usuario.

Cómo detectar si le está ocurriendo esto

Estos controles surgen directamente de este caso práctico:

• Contabilice cuántas identidades se asocian a cada nombre, SSN, correo electrónico y número de teléfono.

• Compruebe si los campos de identidad se pegan o se teclean.

• Mire más allá del proxy para dar con el origen real de la conexión.

• Mantenga una lista de seguimiento con los SSN procedentes de casos de fraude confirmados.

• Vaya más allá de su lista de fraude actual: busque los elementos comunes de los casos confirmados a lo largo de varios meses de historial.

Las redes de fraude se ocultan entre solicitudes, no dentro de ellas

Ninguna señal aislada delató a esta red. Hizo falta cruzar datos de identidad, comportamiento, red y verificación. Por eso en Oscilar los analizamos todos de forma conjunta.

¿Quiere verlo en acción? Reserve una demostración hoy mismo.

Preguntas frecuentes

¿Por qué los controles de frecuencia no detectan redes de fraude organizadas?

Los controles de frecuencia buscan elementos repetidos, como la misma conexión, dispositivo o correo en un plazo breve. Una red que introduce una fecha de nacimiento, dirección, teléfono, correo y conexión distintos en cada solicitud no deja nada que medir. Ampliar el margen de tiempo no lo soluciona: solo consigue marcar miles de solicitudes legítimas y sigue sin detectar el fraude.

¿Cómo detectar una red de fraude cuando cada solicitud parece distinta?

Deje de evaluar las solicitudes de una en una y analice cómo se relacionan entre sí. Señales que por separado dicen poco —como varias fechas de nacimiento para un mismo nombre, datos pegados, conexiones bajo proxy o un SSN incorrecto— se vuelven sumamente precisas cuando se exige que coincidan.

¿Qué es el fraude de identidad sintética?

El fraude de identidad sintética se produce cuando se crea una identidad ficticia combinando datos inventados y reales para solicitar financiación. Al no pertenecer a una persona física real, no suele haber nadie que pueda darse cuenta y denunciarlo a tiempo.