El fraude es cada vez más frecuente en las redes P2P como Zelle y otras, como se ha puesto de relieve nuevamente hoy en el artículo de NYTimes.
A medida que más sistemas de pagos instantáneos en tiempo real como RTP o FasterPayments entren en funcionamiento en Estados Unidos, este problema solo empeorará. Lamentablemente, la regulación estadounidense para proteger a los consumidores de estos vectores de fraude está muy rezagada.
La misma razón por la que a los clientes les encantan los pagos instantáneos en tiempo real a través de P2P como Zelle, Venmo, SquareCash y también las criptomonedas es la misma por la que a los estafadores les encantan: con estos métodos de pago, el dinero puede transferirse al instante y no es recuperable.
En esta publicación, quería compartir algunas recomendaciones para consumidores, fintechs, bancos y reguladores sobre cómo enfrentar las estafas P2P en Zelle y otras plataformas. Con los pagos en tiempo real (también conocidos como RTP) de The Clearing House ya disponibles en varios bancos y el sistema de pagos más rápidos de la Reserva Federal entrando en funcionamiento en un par de años, este tipo de vectores de fraude no hará más que agravarse.
1. Los consumidores nunca deben confiar en el identificador de llamadas
En primer lugar, como consumidores, nunca debemos confiar en el identificador de llamadas (CallerID). Los estafadores a menudo logran hacerse pasar por un banco o una empresa fintech cuando realizan una llamada o envían un mensaje de texto. Es muy fácil para ellos asociar cualquier nombre (normalmente el de un banco) a su propio número de teléfono al llamar o enviar mensajes, mediante diversos métodos de suplantación de CallerID.
Para protegerte, siempre debes comprobar si ese número realmente pertenece al banco o a la fintech. La mejor manera de hacerlo es ir al sitio web del banco o de la fintech y verificar si el número del remitente aparece allí. Ten en cuenta que nunca debes confiar en el número de teléfono que aparece en los resultados de búsqueda de Google, ya que los estafadores suelen utilizar tácticas de SEO o anuncios muy ingeniosas para hacer pasar su número de teléfono como si perteneciera al banco.
2. La identidad es multifacética
En segundo lugar, los bancos y las fintech deberían dejar de usar los números de teléfono como único identificador de una persona. La identidad digital es cada vez más multifacética y la identidad real de alguien es una combinación de:
- ID de dispositivo
- ID de SIM
- Número de teléfono
- KYC — burós de crédito
- Documento de identidad — pasaporte, licencia de conducir
- Biometría: TouchId, FaceId
En este caso, el gran vacío en la prevención de fraude de Wells Fargo y Zelle es que están permitiendo que cualquiera verifique la posesión de un número de teléfono y vincule su número de teléfono a Zelle. El estafador pudo verificar el número de teléfono pidiéndole a la víctima los códigos mediante técnicas de ingeniería social. Wells y Zelle cometieron el error básico de no verificar si la identidad registrada en la compañía telefónica coincidía con la identidad de la cuenta de Wells.
En lugar de dar acceso a Zelle a cualquiera solo en función de su número de teléfono, un enfoque mucho más infalible es otorgar acceso en función de su identidad holística; es decir, si la identidad asociada al teléfono en las telefónicas coincide con la identidad en los burós (vinculada al SSN) o con los documentos de identidad (como pasaporte o licencia de conducir).
En Sardine, prevenimos el fraude en pagos creando una identidad holística del consumidor y utilizando múltiples facetas de la identidad de una persona, justo en el momento de la apertura de la cuenta. Usamos nuestros modelos de IA patentados para puntuar a un usuario en el momento de la apertura de la cuenta desde la perspectiva de qué tan probable es que cometa fraude en pagos más adelante.
3. Telemetría avanzada de dispositivos para prevenir estafas de ingeniería social
Las estafas de soporte técnico o de tipo romántico no se pueden detectar del lado del servidor. Tienes que realizar telemetría del lado del cliente utilizando productos avanzados de inteligencia de dispositivos como los nuestros en Sardine.
- La mayoría de los estafadores manipulan socialmente a las víctimas utilizando mensajes que parecen provenir de bancos.
- Luego se hacen pasar por el servicio de atención al cliente del banco y convencen a las víctimas de instalar una aplicación de escritorio remoto como Team Viewer o Any Desk.
La única forma fiable de saber si hay varias personas accediendo a la cuenta bancaria es analizando el comportamiento del lado del cliente. En Sardine, podemos detectar si varias personas —la víctima y el estafador— están moviendo el ratón o escribiendo al mismo tiempo.
Consulta esta entrada de blog anterior informativa y mira una demostración en vivo de cómo funciona nuestra tecnología.
4. Los nuevos métodos de pago exigen replantear la protección del consumidor
Por último, en materia de regulación, la CFPB y otros organismos deberían analizar lo que el Reino Unido tuvo que hacer frente a estafas similares en sus métodos de Faster Payments. El Reino Unido cuenta con pagos instantáneos en tiempo real a través de Faster Payments desde 2008 (es decir, una década antes que Zelle, que comenzó en 2017) y ha estado viendo estafas similares desde hace mucho más tiempo.
Este fue también el vector de ataque de crecimiento más rápido en el Reino Unido y se conoce como la estafa APP (Pagos Push Autorizados).
- Los bancos, bajo la supervisión del Payment Systems Regulator (PSR) en el Reino Unido, crearon un “fondo común” de dinero para pagar a las víctimas cuando no se pudiera atribuir la responsabilidad del fraude a ninguna parte. En Estados Unidos, la CFPB y otros organismos reguladores deberían tomarse en serio la protección del consumidor y establecer una figura similar de defensor del pueblo y un fondo de compensación similar para reembolsar a las víctimas.
- Además, cuando envías dinero mediante Faster Payments a un destinatario, puedes verificar si la cuenta bancaria del destinatario realmente pertenece a la persona a la que pretendías enviarlo, a través de un proceso llamado Confirmation of Payee (CoP). ¡Necesitamos algo muy similar en el momento de los pagos con Zelle!
En resumen, como muestran las revelaciones de esta semana del artículo de NYTimes, a medida que Zelle, RTP y FasterPayments siguen ganando popularidad, el fraude solo va a empeorar. El momento de abordar de frente estos vectores de fraude es ahora.