6 minutos de lectura 
Nos hemos reunido con Ilona Balsiukaitė, responsable de fraude de ConnectPay, para hablar sobre las complejidades y las diversas formas de fraude a las que se enfrentan a diario las empresas fintech. En esta conversación de amplio alcance, analizamos los principales tipos de conductas fraudulentas, las formas en que las empresas fintech las abordan y en qué aspectos se quedan cortas, así como los problemas de larga data relacionados con la concienciación, y qué cabe esperar de la PSD3 y otros avances futuros a corto y medio plazo.
¿Cuáles son los tipos de fraude más habituales que deben tener en cuenta las empresas fintech? ¿Cómo podrían combatirlos?
Existen muchos tipos diferentes de fraude, como el uso de una marca sin permiso, el intento de dañar su reputación, el secuestro de la página web con fines no autorizados o el robo de fondos. Los casos concretos son muy diversos. Un ejemplo muy común es el fraude del «CEO», en el que un estafador suplantó la identidad del directivo en cuestión. Además, pueden darse casos de facturas falsas y de interceptación de comunicaciones, en los que un estafador se interpone en el proceso de pago a un proveedor y desvía los fondos a su propia cuenta.
Incluso cuando el fraude se produce a través de los bancos, las empresas fintech pueden verse implicadas en ocasiones, siempre que hayan participado en las transacciones en cuestión en algún momento u otro, aunque sea de forma indirecta. En esencia, una empresa fintech puede ver solo una parte de la transacción y, por lo tanto, convertirse en partícipe del fraude sin saberlo. Por ello, es fundamental contar con un protocolo sólido diseñado para impedir la incorporación de «mulas de dinero».
Las formas de fraude más habituales hoy en día son el phishing y, sobre todo, el smishing (phishing por SMS), que afecta principalmente a los bancos y otras entidades financieras. Las fintech, por su parte, son objeto de estos ataques con menor frecuencia debido a su menor visibilidad en el mercado. Sin embargo, las fintech de mayor tamaño también se ven muy afectadas.
Además, hay casos en los que los propios clientes se convierten en estafadores, lo cual resulta bastante complicado. Es bastante difícil identificar y evaluar las intenciones de un cliente durante el proceso de solicitud. A veces, un cliente totalmente normal, sin indicios de fraude, puede acabar resultando ser un delincuente. También hay casos en los que los estafadores abren cuentas a propósito en empresas fintech, esperando que abrir una cuenta allí les resulte más fácil que en los bancos tradicionales. Para prevenir y gestionar esta situación se requiere un riguroso proceso de KYC y un seguimiento continuo del comportamiento de los clientes.
En lo que respecta a los clientes que han sido víctimas de estafas, la mayoría de las tácticas utilizadas pueden clasificarse dentro de la ingeniería social, al igual que en las dos primeras categorías. Por ejemplo, ahora estamos empezando a ver cómo los estafadores hacen un uso ingenioso de los «deep fakes» y, en general, de la inteligencia artificial, pero se trata simplemente de nuevas herramientas empleadas en el marco de la misma estrategia de probada eficacia: convencer a las personas para que realicen una transacción de forma voluntaria. Desde el punto de vista de las fintech, resulta muy difícil distinguir qué transacciones son auténticas y cuáles se han realizado bajo la influencia de un estafador.
Últimamente se ha hablado mucho del fraude y, por eso, podría parecer que la mayoría de la gente entiende cómo funciona, que se ha convertido en algo de sentido común. Pero no es así. Las viejas estrategias siguen siendo eficaces porque la gente sigue siendo bastante ingenua en lo que respecta a las conductas fraudulentas. Y una vez que se ha ganado su confianza, la herramienta concreta que utilice el estafador tiene una importancia meramente secundaria.
Por este motivo, la responsabilidad al respecto no debería recaer únicamente en las empresas de tecnología financiera, sino en todas las entidades financieras en general. Necesitamos una mayor concienciación de nuestros clientes, y esa concienciación debería ser más clara; por ejemplo, hay que hacerles comprender de verdad que revelar información confidencial por Internet equivale exactamente a entregar la llave de su casa a un desconocido.
Cuéntanos un poco sobre las últimas estratagemas que utilizan los estafadores más experimentados.
Pues bien, ahora existe algo llamado «Fraud GPT». Basado en una versión mejorada del original, permite a los estafadores intercambiar información libremente a través de la darknet. Y esto, a su vez, forma parte de un fenómeno más amplio que podríamos denominar «Fraude como servicio». Por extraño que pueda parecer, los estafadores han creado ya su propia cuasi-comunidad difusa, en la que se intercambian por dinero valiosos datos sobre víctimas y métodos operativos.
Se trata de una evolución bastante preocupante, que permite a los estafadores actuar de forma coordinada. Huelga decir que no están sujetos al RGPD ni a ninguna otra normativa destinada a regular el intercambio de datos. Sin embargo, quienes tienen la misión de combatir este tipo de conductas tienen, en cierta medida, las manos atadas por el cumplimiento normativo.
Afortunadamente, esta «luna de miel» normativa, que ha permitido que se generalice este comportamiento delictivo, podría estar llegando ahora a su fin. La próxima PSD3 incluye un apartado destinado a fomentar el intercambio de datos y conocimientos técnicos entre empresas e instituciones con el fin de combatir y prevenir el fraude. Incluso establece un mecanismo prospectivo para que dichos intercambios de datos se produzcan de forma fluida, segura y sin vulnerar la privacidad de nadie.
¿Debería adaptarse la educación a los grupos demográficos y de otro tipo, o debería ser uniforme para todos?
Creo que debería ser diferente. En nuestro caso, no tiene tanto que ver con los grupos de edad como con los clientes corporativos y particulares.
El fraude también está, en cierta medida, estigmatizado, ya que las personas que lo sufren suelen sentirse avergonzadas por haber sido engañadas de esa manera. No siempre les resulta obvio que el fraude afecta a todo el mundo; no tiene nada que ver con la inteligencia. Para combatirlo, tenemos que encontrar formas de comunicarnos con la gente que no parezcan spam sin sentido o información que supuestamente ya tienen.
¿Cómo deberían abordar las empresas fintech la espinosa cuestión de delimitar las áreas de responsabilidad en los casos en que un cliente haya sido víctima de un fraude?
Lo primero, y más obvio, es evitar sacar conclusiones precipitadas. En casos de fraude, es importante reflexionar sobre si realmente has hecho todo lo que estaba en tu mano para proteger al cliente y recabar toda la información posible. Esto te permitirá ofrecerle una explicación detallada de cómo ha ocurrido todo y, a la larga, beneficiará a tu negocio, ya que obtendrás una visión de cómo operan los estafadores y de dónde pueden estar tus propios puntos débiles.
Con esa información a tu disposición, debes hacer todo lo posible para asegurarte de que el cliente recupere los fondos perdidos. El tiempo es fundamental en este caso. Si actúas con rapidez, las posibilidades de éxito son mucho mayores. Por ejemplo, es posible que los fondos aún estén en tránsito entre diferentes bancos y, por lo tanto, se pueda evitar que se ingresen en la cuenta del estafador. Si esperas una semana o un mes, es probable que ese dinero ya se haya gastado.
