Plataformas de detección de cuentas mula: qué buscar

Última actualización: septiembre de 2026

Una cuenta mula recibe dinero ilícito y lo transfiere: ganancias de estafas, fondos robados o dinero en proceso de lavado. La mayoría de las cuentas mula pertenecen a personas reales y parecen normales cuando se revisan de forma individual. Lo que delata a una mula es cómo se mueve el dinero a través de la cuenta y qué comparte con otras cuentas; por eso, la detección debe evaluar el lado receptor y la red en tiempo real. Encontrar una mula debería llevarte a la organización que está detrás.

Resumen rápido

• El titular de una cuenta mula suele ser legítimo, razón por la cual los controles de identidad y comportamiento resultan aprobados.

• Las señales de alerta se encuentran en cuatro niveles: la cuenta, el flujo de dinero, los destinatarios de los fondos y su red. Solo el nivel de red revela una organización.

• Las cuentas se vinculan de dos maneras: atributos compartidos (dispositivo, IP, identificador) y comportamiento compartido (el mismo patrón de movimiento de dinero).

• La decisión debe tomarse cuando se recibe un depósito, antes de que los fondos se transfieran, y una sola mula confirmada debería sacar a la luz al resto de la red.

• Las normas de control de fraude de Nacha están en pleno vigor y cada institución receptora de la red ACH debe supervisar los depósitos que recibe.

• Evalúe una plataforma analizando la vinculación de cuentas, la capacidad de cambiar reglas sin necesidad de desarrollo técnico, la consolidación de casos por red y una prueba retrospectiva (backtest) y en modo pasivo (shadow run) con sus propios datos.

¿Cómo detectan las instituciones financieras las cuentas mula?

Las instituciones financieras detectan las cuentas mula observando lo que una verificación de identidad individual no puede ver. Analizan el flujo de dinero a través de la cuenta (muchos ordenantes a una sola cuenta, fondos que se retiran poco después de llegar, cuentas inactivas que de repente comienzan a recibir fondos), los destinatarios (nuevos ordenantes emparejados con nuevos receptores, transferencias recurrentes al mismo beneficiario) y los vínculos de la cuenta con otras cuentas mediante dispositivos, identificadores y patrones de comportamiento compartidos.

La evaluación debe realizarse en el lado receptor, en el momento en que ingresa un depósito y antes de liberar los fondos. Una mula solo es útil para un estafador mientras el dinero pueda pasar a través de ella. Una vez que los fondos se han transferido, la detección se convierte en un proceso de recuperación.

Una plataforma de detección de cuentas mula es la herramienta que realiza esto a gran escala: evaluación en tiempo real de los depósitos recibidos, vinculación de cuentas y gestión de casos, de modo que el equipo de riesgos actúe sobre el patrón en lugar de hacerlo sobre una alerta individual.

¿Por qué el monitoreo de cuentas individuales no detecta las mulas?

El monitoreo de cuentas individuales no detecta las mulas porque, por lo general, el titular de la cuenta es quien dice ser. El director de identidad, fraude y productos de apertura de cuentas de un importante proveedor de tecnología bancaria lo expresó con claridad: "el análisis de comportamiento no funciona tan bien con las mulas porque... así son ellos, ¿verdad?". Las verificaciones de identidad y de dispositivos se aprueban, y la persona que inicia sesión es la misma que abrió la cuenta.

El tipo de mula define qué señales se activan:

• Las mulas cómplices abren o prestan cuentas a sabiendas, por lo general a cambio de una comisión.

• Las mulas reclutadas responden a una oferta de trabajo o a una solicitud en línea, y se les dice que están procesando pagos.

• Las mulas involuntarias suelen ser víctimas de estafas. El responsable de estrategia de fraude en una fintech de banca de consumo describió el caso de una víctima que abrió una cuenta desde su propio dispositivo, le pagó al estafador y luego le entregó la cuenta. La cuenta, bajo la identidad legítima de un cliente de edad avanzada, se convirtió en el destino del dinero de otras víctimas.

• Las cuentas usurpadas son cuentas legítimas que un estafador controla tras un robo de cuenta (account takeover).

En los cuatro casos, el patrón es acumulativo y repetitivo. Si se analiza desde una sola cuenta, lo más probable es que no se detecte a la mula, porque quienes dirigen el esquema lo repiten cada vez con un cliente y un beneficiario nuevos. Para el estafador, la identidad, el dispositivo, la cuenta vinculada y los fondos forman un único esquema. La mayoría de las instituciones lo ven a través de sistemas separados de registro, transacciones e investigaciones, y la mula queda libre en esa brecha intermedia.

El monitoreo de transacciones para la prevención de lavado de dinero (AML) no cierra esa brecha por sí solo. Un gerente de operaciones con inversores que anteriormente desarrolló el área de fraude de un neobanco propiedad de un banco tradicional describió la situación en la que se encuentran muchos equipos: "Hay un monitoreo constante de AML, pero no hay nada que te alerte de que el comportamiento de este usuario indica que podría ser una mula de dinero". El control en la apertura de cuentas detiene a algunas mulas cómplices, pero no puede detectar a un cliente legítimo que se convierte en mula más adelante.

Señales de alerta de cuentas mula, nivel por nivel

Las señales de alerta de mulas de dinero se dividen en cuatro niveles. Cada uno muestra algo que los demás pasan por alto, y cada uno genera falsos positivos si se utiliza por separado.

La cuenta. Una cuenta inactiva que se reactiva para recibir fondos de un nuevo ordenante es una de las señales más claras. Un científico de datos de fraude de una plataforma global de pagos transfronterizos describió cuentas inactivas durante meses o años que comenzaron a recibir fondos de alguien nuevo, y que luego resultaron ser fraudulentas. El director de producto de tecnología bancaria mencionado anteriormente describió mulas en cuentas con historial donde los depósitos se liberaban rápidamente y se habían vinculado cuentas externas, de modo que el dinero retirado de otra cuenta podía transitar y salir de inmediato.

El dinero a través de la cuenta. La actividad clásica de una mula de dinero es la recepción múltiple seguida de una salida rápida: muchas personas depositan en una sola cuenta, que luego transfiere el dinero o lo retira en efectivo. El director de BSA/OFAC de una gran cooperativa de crédito en EE. UU. describió que esto llegaba en forma de tres alertas separadas (pagos entrantes P2P, transferencias salientes y retiros de efectivo estructurados) cuando en realidad se trataba de un único patrón. Un suboficial de BSA de un banco regional de EE. UU. señaló que los escenarios de comportamiento y las reglas detectan las tipologías de mulas mejor que la mayoría de los sistemas, pero los pagos de montos bajos estructurados por debajo de los límites siguen siendo difíciles de identificar.

Los destinatarios de los fondos. La relación entre ambas partes importa más que cualquiera de las cuentas por separado. El líder de un equipo de fraude en una plataforma global de pagos transfronterizos afirmó: "las entidades pagadoras más nuevas son más riesgosas, especialmente cuando se asocian o combinan con entidades receptoras nuevas". El líder de fraude de un banco digital describió el tipo de variable que un equipo de riesgos necesita crear: "sumar el monto total enviado entre mi cliente y el beneficiario". La dispersión de fondos (una sola cuenta que paga a muchos receptores en montos pequeños) también pertenece a este nivel.

La red. Un mismo dispositivo en múltiples cuentas, identificadores o URLs compartidos entre cuentas y grupos de cuentas registradas casi al mismo tiempo. Un miembro del equipo de operaciones de fraude de una fintech de financiamiento de compras (BNPL) en EE. UU. que lanzaba un producto de depósito solicitó exactamente esto: "un solo dispositivo que se activa en varias cuentas diferentes al mismo tiempo".

Los primeros tres niveles se pueden calcular con los datos de una sola cuenta. El cuarto requiere analizar todas las cuentas a la vez, y es el nivel que transforma una cuenta sospechosa en una red de fraude.

Ver la red de fraude, no solo la cuenta

La detección de redes de fraude se basa en dos tipos de vínculos. El primero son los atributos compartidos: el mismo dispositivo, dirección IP, número de teléfono o identificador. El segundo es el comportamiento compartido. El responsable de estrategia de fraude de la fintech de banca de consumo describió la necesidad de "identificar relaciones directas basadas en el mismo dispositivo, la misma IP o cualquier elemento idéntico, pero también a partir de la minería de patrones, identificando cuentas que se comportan bajo el mismo esquema". Los vínculos de atributos encuentran cuentas conectadas físicamente. Los vínculos de comportamiento encuentran cuentas que operan bajo el mismo manual de juego, incluso si cada una usó un dispositivo limpio.

La calidad de los vínculos depende de la consolidación de identificadores de múltiples fuentes de datos. Un director de fraude de una fintech de BNPL en EE. UU. señaló que dos sistemas de huella digital de dispositivos pueden asignar dos tokens distintos a un mismo dispositivo físico. Si los datos se integran de manera simple, el vínculo desaparece y la plataforma no reporta la red que debería revelar.

La profundidad importa más que cualquier coincidencia individual. En una entrevista sobre fraude de identidad sintética, el Banco de la Reserva Federal de Boston describió la detección relacional, que busca "relaciones más amplias que solo esos pocos componentes", como el historial de correo electrónico y la antigüedad de la línea telefónica. Para las mulas, esto se traduce en un perfil de cliente que integra sesiones, dispositivos, fuentes de financiamiento, transacciones y relaciones de red, donde las decisiones de fraude, registro y cumplimiento consultan y actualizan este perfil.

Las mulas no son la única tipología que depende de esto. Un analista de riesgos de una fintech de pagos y finanzas integradas señaló: "fraude de quiebra intencional (bust-out). Necesito análisis de vínculos para eso. Y luego para cualquier tipo de fraude relacionado con mulas de dinero". Las señales de fraude de primera persona que preceden a un bust-out se detallan en una guía independiente sobre detección de fraudes de primera persona.

Las redes también cruzan instituciones. Una organización de fraude suele recibir dinero en un banco y transferirlo a otro, por lo que cada entidad solo tiene la mitad de la información. La hoja informativa de la Sección 314(b) de FinCEN de junio de 2026 aclara que el puerto seguro cubre el intercambio de información sobre sospechas de fraude que puedan constituir una actividad ilegal específica para el lavado de dinero, y reemplaza la hoja informativa de diciembre de 2020. Para saber qué significa esto en la práctica, consulte la guía 314(b) de FinCEN sobre el intercambio de información de fraude.

Actuar antes de que el dinero se retire

Una mula solo vale la pena detectarla mientras el dinero sigue en la cuenta, por lo que la decisión debe tomarse al recibir un depósito. La velocidad es necesaria pero no suficiente: la plataforma de Oscilar ofrece decisiones en menos de 100 ms, pero una puntuación rápida no detectará una red si los datos de comportamiento que la sustentan están desactualizados o incompletos.

Opciones de respuesta, de menor a mayor impacto:

1. Retener la disponibilidad de los fondos recibidos mientras se revisa el caso.

2. Aumentar el contacto con el titular de la cuenta, lo que a menudo revela a una mula involuntaria.

3. Restringir los pagos salientes manteniendo la cuenta abierta.

4. Terminar la relación comercial una vez confirmado el patrón.

Consolide las alertas por cliente y red, no por alerta individual. El director de BSA/OFAC de la cooperativa de crédito señaló que no quería que varias alertas de un mismo miembro se asignaran de forma aleatoria a distintos investigadores. Un patrón debe constituir un único caso, con el dispositivo, el comportamiento habitual de la cuenta y sus vínculos asociados, ya que una alerta que solo indica que una cuenta tuvo un comportamiento inusual no permite tomar medidas. Ese es el trabajo de la gestión de casos.

Encontrar una mula debería revelar al resto de la red. El líder de fraude del banco digital describió la pregunta que sigue a una mula confirmada: "¿Transaccionaron entre sí? ¿Hay alguien más en mis registros que deba dar de baja en este momento?". Esa pregunta debe responderse con rapidez mediante los datos que la plataforma ya posee.

Errores comunes que dejan pasar a las redes de fraude

• Análisis de vínculos manual. Un gerente de operaciones de AML en una fintech de banca de consumo describió a investigadores buscando otros clientes vinculados a un ID de dispositivo y armando un registro de dispositivos y cuentas compartidas en una hoja de cálculo. Esto funciona para un caso, pero no para desarticular una red.

• Investigar redes solo tras sospechas previas. Un director de riesgo, confianza y seguridad en una plataforma de pagos comerciales señaló que las investigaciones exhaustivas de redes solo comienzan cuando una revisión inicial sugiere actividad vinculada, ya que consultar cada IP y pago toma demasiado tiempo. "Sin duda ha habido casos en el pasado donde los detectamos tarde y resultaron más costosos". La red debe estar calculada previamente, no armarse para cada caso.

• Reglas que solo analizan ingresos de dinero. Los ingresos que activan una alerta pueden ser legítimos, mientras que el cliente sigue fraccionando las salidas de dinero. Una regla basada únicamente en los ingresos de fondos marcará a clientes honestos, y bloquear a un buen cliente genera pérdida de ingresos, no solo pérdida de tiempo de los analistas.

• Tratar las alertas de AML como detección de mulas. Reportar actividades sospechosas y decidir sobre un depósito recibido son tareas distintas. Un programa que solo realiza lo primero encuentra a las mulas una vez que el dinero ya no está.

Por qué las instituciones receptoras asumen ahora la obligación

En la red ACH, la institución receptora tiene ahora una obligación de monitoreo explícita. Las normas de control de fraude de Nacha están en pleno vigor. La Fase 1 entró en vigor el 20 de marzo de 2026 para todas las ODFI y para los originadores más grandes, proveedores de servicios de terceros, remitentes de terceros y RDFI según el volumen de 2023. La Fase 2 entró en vigor el 19 de junio de 2026, con efectos prácticos el 22 de junio, y eliminó esos umbrales. Cada RDFI debe contar ahora con procesos basados en riesgos para identificar transacciones de depósito recibidas bajo sospecha de no estar autorizadas o de haber sido autorizadas mediante engaños (False Pretenses).

La obligación consiste en una capacidad operativa, no en un simple trámite. Las normas de Nacha exigen que las partes "establezcan e implementen procesos y procedimientos basados en riesgos con el fin razonable de identificar transacciones ACH iniciadas por fraude". Esto no exige un control en tiempo real de cada transacción, pero un banco receptor debe ser capaz de demostrar cómo analiza los depósitos entrantes, que es donde opera una mula. "Engaño" (False Pretenses) es un término definido que abarca la falsedad de identidad, de autoridad para actuar en nombre de alguien o de la propiedad de la cuenta que recibe el depósito, por lo que no todas las estafas entran en esta categoría. Estas reglas complementan las prácticas habituales de detección de fraude en ACH.

La atención de los reguladores apunta en el mismo sentido. El 3 de septiembre de 2026, FinCEN emitió el aviso FIN-2026-Alert005, sobre lavado de dinero vinculado a centros de estafas de inversión con activos digitales. En él se detallan señales de alerta y se pide a las instituciones vigilar transacciones que involucren a operadores de estafas, mulas de dinero, empresas fantasma y redes profesionales de lavado de dinero.

La mayoría de las cuentas mula existen para recibir los ingresos de estafas en las que se convence a las víctimas de enviar el dinero ellas mismas. El fraude de pago autorizado (APP) es la causa principal de esto y cuenta con su propia guía. Oscilar es un socio preferente de Nacha para validación de cuentas, monitoreo de fraude y prevención de riesgos y fraude.

Qué debe cumplir una plataforma de detección de cuentas mula

El software de detección de mulas es tan bueno como los vínculos que puede ver y la velocidad con la que el equipo de riesgos puede actuar sobre ellos. Evalúe seis capacidades clave:

1. Evaluar el lado receptor en tiempo real, teniendo disponibles al momento de decidir los niveles de la cuenta, flujo de dinero, destinatarios de los fondos y red.

2. Vincular cuentas por atributo y por comportamiento, consolidando identificadores entre fuentes de datos para no perder un vínculo cuando dos sistemas describen un mismo dispositivo de forma diferente.

3. Permitir a los equipos de riesgos crear variables de relación sin soporte técnico de desarrollo. Las tipologías de mulas cambian constantemente. Si sumar el total acumulado entre cliente y beneficiario requiere una solicitud de ingeniería, la red habrá mutado antes de implementarse.

4. Consolidar casos por red, presentando al investigador las cuentas vinculadas, dispositivos y destinatarios de fondos, mostrando al analista en la fila el motivo de cada puntuación.

5. Probar con sus propios datos y seguir optimizando. Solicite una prueba retrospectiva (backtest) con sus alertas históricas seguida de un modo pasivo (shadow mode) en la fila de trabajo real, con un análisis de resultados al finalizar. Tras el lanzamiento, un analista de riesgos de una empresa de pagos describió el ciclo: identificar las reglas que más se activan, añadir atributos para reducir falsos positivos, probar y repetir.

6. Mantener un registro de auditoría completo por decisión con su justificación, diseñado con intervención humana constante (human-in-the-loop). La retención de fondos de un cliente o el cierre de una cuenta deben poder explicarse con claridad al cliente, a un auditor y a su propio equipo.

El sistema de monitoreo de fraude en transacciones y cuentas mula de Oscilar está diseñado para detectar señales de mulas de dinero, como cuentas que reciben depósitos grandes o frecuentes para luego transferir esos fondos a cuentas externas no relacionadas. Funciona sobre una plataforma unificada: estructura de datos en tiempo real, inteligencia de dispositivos y comportamiento, reglas y gestión de casos en una sola solución integrada, con agentes nativos en ella.

Preguntas frecuentes

¿Qué es una cuenta mula de dinero?

Una cuenta mula se utiliza para recibir fondos ilícitos y transferirlos, generalmente ganancias de estafas, dinero robado o fondos en proceso de lavado. El titular puede ser cómplice, haber sido reclutado, ser una víctima involuntaria de una estafa o haber sufrido un robo de cuenta. Dado que el titular suele ser una persona real, la cuenta suele pasar las pruebas de identidad habituales.

¿Cómo detectan los bancos las cuentas mula?

Los bancos detectan las cuentas mula evaluando los depósitos recibidos en tiempo real a través de cuatro niveles: el historial de la cuenta, el flujo de dinero, los destinatarios de los fondos en cada transacción y sus vínculos con otras cuentas. El nivel de red que analiza dispositivos, identificadores y comportamientos compartidos es lo que conecta a una sola mula con una organización de fraude.

¿Cuáles son las señales de alerta de una cuenta mula?

Las señales comunes incluyen una cuenta inactiva que de repente recibe fondos de un nuevo ordenante, múltiples ordenantes depositando a una sola cuenta seguidos de transferencias rápidas al exterior o retiros de efectivo estructurados, y nuevos ordenantes vinculados a nuevos receptores. Las alertas de red incluyen un mismo dispositivo para varias cuentas y grupos de cuentas creadas simultáneamente. La combinación de estos factores importa más que cualquier señal individual.

¿Por qué el monitoreo individual de cuentas no detecta las redes de mulas?

Cada cuenta en una organización puede parecer normal de manera individual, y su titular suele aprobar los controles de identidad y comportamiento. La evidencia se encuentra repartida entre varias cuentas (como un dispositivo compartido aquí y un beneficiario recurrente allá), por lo que solo una visión de conjunto permite identificar el patrón.

¿Qué capacidades debe tener una plataforma de detección de cuentas mula?

Debe evaluar depósitos entrantes en tiempo real, vincular cuentas mediante atributos y comportamiento compartidos, y consolidar identificadores de múltiples fuentes de datos. Debe permitir a los equipos de riesgos modificar reglas sin desarrollo de ingeniería, consolidar casos por red de fraude, ofrecer pruebas retrospectivas y modo pasivo antes del lanzamiento, y registrar una bitácora de auditoría detallada para cada decisión.

¿Cómo pueden los equipos reducir falsos positivos sin aumentar las pérdidas por fraude?

Combine niveles en lugar de endurecer uno solo. Una regla basada únicamente en los depósitos entrantes marcará a muchos clientes honestos, mientras que un depósito combinado con salidas rápidas, un destinatario de fondos nuevo y un vínculo de red resulta mucho más preciso. Realice pruebas retrospectivas de cada cambio sobre alertas históricas, pruébelo en modo pasivo en el flujo de operaciones reales y continúe optimizando las reglas más frecuentes.

Si está analizando por dónde se filtran las mulas actualmente, comience por el nivel que su sistema de monitoreo actual no puede ver. La solución de fraude de transacciones de Oscilar abarca el control de señales de mulas de dinero y el análisis de conexiones entre cuentas para desarticular redes de fraude; ofrecemos una demostración si desea probarla con sus propios datos.