Il futuro della prevenzione delle frodi nel settore fintech

Abbiamo incontrato Ilona Balsiukaitė, responsabile della lotta alle frodi presso ConnectPay, per parlare delle complessità e delle diverse forme di frode con cui le fintech devono confrontarsi quotidianamente. In questa conversazione ad ampio raggio, analizziamo le principali tipologie di comportamenti fraudolenti, le modalità con cui le fintech li affrontano e i loro punti deboli, oltre alle questioni di lunga data relative alla formazione, e cosa aspettarsi dalla PSD3 e da altri sviluppi futuri a breve e medio termine.

Quali sono i tipi di frode più comuni di cui le fintech dovrebbero preoccuparsi? Come potrebbero contrastarli?

Esistono molti tipi diversi di frode, come l’uso non autorizzato di un marchio, il tentativo di danneggiarne la reputazione, il dirottamento del sito web per scopi non autorizzati o il furto di fondi. Le modalità specifiche sono piuttosto diverse. Un esempio diffuso è la frode del CEO, in cui un truffatore si spaccia per il dirigente in questione. Inoltre, possono verificarsi casi di fatture false e di dirottamento delle comunicazioni, in cui un truffatore si intromette nel flusso di un pagamento destinato a un fornitore e reindirizza i fondi sul proprio conto.

Anche quando la frode avviene tramite le banche, le fintech possono talvolta essere coinvolte, a condizione che siano state coinvolte nelle transazioni in questione, in un modo o nell’altro, in un momento o nell’altro. In sostanza, una fintech potrebbe vedere solo una parte della transazione e diventare così, a sua insaputa, complice della frode. Per questo motivo è fondamentale disporre di un protocollo solido, progettato per impedire l’inserimento di “corrieri di denaro”.  

Le forme di frode più diffuse oggi sono il phishing e, in misura ancora maggiore, lo smishing (phishing via SMS), che colpisce principalmente le banche e altri istituti finanziari. Le fintech, invece, sono prese di mira con minore frequenza a causa della loro minore visibilità sul mercato. Tuttavia, anche le fintech di maggiori dimensioni subiscono danni piuttosto ingenti.

Inoltre, ci sono casi in cui sono gli stessi clienti a diventare truffatori, il che rende la situazione piuttosto complessa. È piuttosto difficile identificare e valutare le intenzioni di un cliente durante la procedura di richiesta. A volte un cliente apparentemente del tutto normale, senza alcun indizio di frode, potrebbe rivelarsi un criminale. Ci sono anche casi in cui i truffatori aprono intenzionalmente conti presso le fintech, convinti che aprirne uno sia più facile rispetto alle banche tradizionali. Per prevenire e gestire questa situazione sono necessari rigorosi controlli KYC e un monitoraggio costante del comportamento dei clienti.

Per quanto riguarda i clienti vittime di frodi, la maggior parte delle tecniche utilizzate può essere classificata come ingegneria sociale – proprio come nelle prime due categorie. Ad esempio, stiamo iniziando a osservare come i truffatori facciano un uso ingegnoso dei deepfake e, più in generale, dell’intelligenza artificiale, ma si tratta semplicemente di nuovi strumenti impiegati nell’ambito della stessa strategia collaudata nel tempo: convincere le persone a effettuare una transazione volontariamente. Dal punto di vista del fintech, è molto difficile distinguere quali transazioni siano autentiche e quali siano state effettuate sotto l’influenza di un truffatore.

Ultimamente si è parlato molto di frodi e potrebbe quindi sembrare che la maggior parte delle persone ne capisca il funzionamento, che sia ormai una questione di buon senso. Ma non è affatto così. Le vecchie strategie continuano a funzionare perché le persone sono ancora piuttosto ingenue quando si tratta di comportamenti fraudolenti. E una volta che la loro fiducia è stata compromessa, lo strumento specifico che un truffatore può utilizzare assume un’importanza puramente secondaria.

Per questo motivo, la responsabilità in merito dovrebbe ricadere non solo sulle fintech, ma su tutti gli istituti finanziari in generale. Abbiamo bisogno di una maggiore sensibilizzazione dei nostri clienti, e tale sensibilizzazione dovrebbe essere più chiara; ad esempio, bisogna far capire bene alle persone che divulgare informazioni sensibili online equivale esattamente a consegnare la chiave di casa a uno sconosciuto.

Raccontaci qualcosa sulle ultime tecniche utilizzate dai truffatori più esperti.

Ebbene, ora esiste una cosa chiamata “Fraud GPT”. Basato su una versione potenziata dell’originale, consente ai truffatori di scambiarsi liberamente informazioni tramite il darknet. E questo, a sua volta, fa parte di un fenomeno più ampio che potremmo definire “Fraud-as-a-Service”. Per quanto possa sembrare strano, i truffatori hanno ormai creato una loro sorta di comunità diffusa, in cui dati preziosi sui bersagli e metodi operativi vengono scambiati in cambio di denaro.

Si tratta di uno sviluppo piuttosto preoccupante, che consente ai truffatori di agire in modo coordinato. Inutile dire che essi non sono soggetti al GDPR né ad alcuna altra normativa volta a regolamentare lo scambio di dati. Tuttavia, coloro che hanno il compito di contrastare tali comportamenti hanno, in una certa misura, le mani legate dagli obblighi di conformità normativa.

Fortunatamente, questa “luna di miele” normativa, che ha permesso il diffondersi di comportamenti criminali su così vasta scala, potrebbe ora essere giunta al termine. La futura PSD3 contiene una sezione volta a incoraggiare lo scambio di dati e know-how tra aziende e istituzioni ai fini della lotta e della prevenzione delle frodi. Prevede addirittura un meccanismo per garantire che tali scambi di dati avvengano in modo fluido, sicuro e senza violare la privacy di nessuno.

L’istruzione dovrebbe essere adattata alle diverse fasce demografiche e ad altre categorie, oppure dovrebbe essere uniforme per tutti?

Penso che dovrebbe variare. Nel nostro caso, dipende meno dalle fasce d’età e più dal fatto che si tratti di clienti aziendali o privati. 

La frode è anche, in una certa misura, stigmatizzata, poiché le persone che ne sono vittime spesso provano vergogna per essere state ingannate in quel modo. Non è sempre chiaro per loro che la frode riguarda tutti: non ha nulla a che vedere con l’intelligenza. Per combatterla, dobbiamo trovare modi di comunicare con le persone che non sembrino inutili messaggi di spam o informazioni che presumibilmente già possiedono. 

In che modo le fintech dovrebbero affrontare la spinosa questione della delimitazione delle aree di responsabilità nei casi in cui un cliente sia stato vittima di una frode?

La prima cosa, la più ovvia, è: evitare di trarre conclusioni affrettate. Nei casi di frode, è importante riflettere se avete davvero fatto tutto il possibile per proteggere il cliente e raccogliere quante più informazioni possibili. Questo vi consentirà di fornire al cliente una spiegazione dettagliata di come si sia verificato l’episodio e, in ultima analisi, andrà a vantaggio della vostra attività nel lungo periodo, poiché acquisirete una maggiore comprensione delle modalità operative dei truffatori e potrete individuare i vostri eventuali punti deboli. 

Con queste informazioni a disposizione, dovresti fare tutto il possibile per assicurarti che il cliente recuperi i fondi persi. In questo caso il tempo è fondamentale. Se agisci rapidamente, le possibilità di successo sono molto maggiori. Ad esempio, i fondi potrebbero essere ancora in transito tra diverse banche e si potrebbe quindi impedire che vengano depositati sul conto del truffatore. Se aspetti una settimana o un mese, probabilmente quei soldi saranno già stati spesi.