Hace varios años, asistí a un foro de usuarios de una empresa que ofrecía soluciones de fraude y AML a bancos de todo el mundo. En ese momento llevaba unos 5 años trabajando en tecnología AML y tenía un conocimiento muy limitado del mundo de la prevención de fraude en tiempo real. Durante una de las sesiones de mesa redonda, me senté junto a una persona de un proveedor de inteligencia de dispositivos.
Sabiendo casi nada sobre la tecnología en ese momento, lo acribillé a preguntas, que culminaron con: “¿Alguien utiliza la inteligencia de dispositivos para detectar el lavado de dinero?” Me dijo que no sabía de nadie que lo hiciera y los demás en la mesa, en su mayoría altos profesionales de cumplimiento contra el lavado de dinero (AML), eran escépticos de la idea. Cuando propuse que esta empresa se asociara con una gran institución financiera como prueba de concepto para ver qué podían encontrar, la propuesta fue desestimada y la conversación pasó a otros temas.
Varios años después, hemos pasado por el auge del fraude de identidad sintética impulsado por la COVID y el PPP, el surgimiento del fraude como servicio en las plataformas de redes sociales y, más recientemente, una explosión de fraude asistido por IA. El panorama ha cambiado por completo. Hoy me dedico a crear soluciones antifraude para todo el mundo, desde startups fintech en fase semilla hasta empresas Fortune 500. Muchas de estas compañías utilizan productos de Inteligencia de Dispositivos y Biometría del Comportamiento (DIBB) para prevenir el fraude, pero a medida que he trabajado con ellas, volvió a surgir una vieja idea: ¿y si analizáramos las conexiones de los dispositivos desde una perspectiva de AML?
Tengo el privilegio de trabajar con científicos de datos increíbles. Cuando los desafié a encontrar tipologías de LA/FT a partir de conexiones de dispositivos, se entusiasmaron con el reto. Pero antes de entrar en eso, repasemos algunos de los desarrollos en el ecosistema del fraude de los últimos años para entender los componentes del ciclo que va del fraude al lavado de dinero.
El ciclo de vida del estafador se ve más o menos así:
Encuentra una oportunidad:“¿Cuál es el eslabón más débil?” Ya sea una persona o un sistema, buscan el camino más fácil y explotable. ¿Por qué trabajar más de lo necesario?
Herramientas del oficio: Obtener “fullz” o información completa de la dark web, volcados de tarjetas, servicios de intercambio de SIM o mulas de dinero es fácil. Hay todo un mercado clandestino para esto.
Pruebas y calibración: Los estafadores ponen a prueba los controles del objetivo para ver qué funciona. Utilizan pruebas de bajo valor para comprobar si rechazarás una tarjeta robada, un dispositivo reutilizado o si activarás alertas por controles de velocidad. En esencia, están haciendo ingeniería inversa de tus controles antifraude.
Escalado: Una vez que descubren qué funciona, se mueven rápido. Si tu límite superior es de 500 $, empezarás a ver transacciones por 495 $. Si tu límite de transacciones por minuto permite 50, harán 49. No siempre es a una velocidad vertiginosa, pero se mantendrán justo por debajo de todos tus límites para causar el máximo daño lo más rápido posible.
Retiro de fondos: Aquí es donde se complica todo. Ya sea que obtengan mercancía o dinero, al final tienen que moverlo para ocultar el origen de los fondos. Esto suele ocurrir a través de exchanges de criptomonedas, redes P2P, tarjetas de regalo y redes de mulas.
Explicamos cómo estas redes de mulas y esquemas de estratificación aparecen en la monitorización en nuestro resumen de tácticas clásicas y emergentes de lavado de dinero.
Iteración: Cuando el exploit deja de funcionar, buscan un nuevo objetivo. Y como alrededor del 80% de los adultos reutiliza contraseñas, es bastante fácil. ¿Y ese mercado clandestino que mencioné antes? Venden “métodos” o instrucciones sobre cómo explotar vulnerabilidades en empresas específicas.
Las retiradas de fondos son donde realmente profundizamos. ¿Qué ocurre cuando tienes visibilidad de múltiples fintechs, neobancos e instituciones financieras y puedes ver el movimiento de dinero entre ellas? Ves muchas más conexiones que al observar a un solo cliente de forma aislada. Aquí tienes algunos ejemplos de lo que encontramos:
Ejemplo 1: descubrimiento de 1.200 cuentas únicas que comparten un mismo ID de usuario en un gran neobanco de EE. UU.
Utilizando nuestras capacidades de gráficos de red, Sardine vinculó más de 1.200 cuentas únicas que compartían un mismo ID de usuario móvil en un cliente neobanco. Este atributo a nivel de dispositivo debería ser único para cada dispositivo Android, pero se estaba utilizando en cientos de dispositivos. Solo hay una forma en que esto puede ocurrir: cambiándolo intencionalmente.
Esto puede plantear la pregunta: “¿Por qué alguien haría eso?”. Nuestra mejor explicación: el entorno de control previo a Sardine estaba creando listas de permitidos basadas en características específicas, y esta probablemente era una de ellas. La solución antifraude existente no tenía funciones de graficado de redes ni de detección de anomalías, por lo que nunca se activaron alertas. Como cada ID de dispositivo era diferente, nadie se dio cuenta.
Esta red operaba desde el Sudeste Asiático y movió cientos de miles de dólares entre cuentas antes de retirarlos hacia instituciones financieras tradicionales. Mulas de dinero: simple y claro.
Ejemplo 2: 50.000 cuentas conectadas que mueven fondos transfronterizos en un único remesador internacional de dinero
Los pagos transfronterizos son otra cosa completamente distinta. Antes incluso de empezar a hacer pruebas, ya sabía que íbamos a encontrar algo, pero la magnitud de lo que descubrimos superó con creces todo lo que esperaba. Siempre que se trabaja con pagos transfronterizos, la probabilidad de blanqueo de capitales es exponencialmente mayor que cuando se trata, por ejemplo, de un banco comunitario. La facilidad con la que se pueden enviar miles de dólares de un país a otro, al margen de las instituciones financieras tradicionales, hace que ocultar el origen de los fondos sea mucho más sencillo.
Al cabo de una semana, descubrimos una red de varios cientos de cuentas conectadas. Al mes, ese número superaba las 20.000. A los dos meses, estábamos llegando a 50.000 cuentas conectadas moviendo cantidades extraordinarias de dinero. La fórmula era sencilla: ingresar fondos desde un neobanco o un exchange de criptomonedas, hacerlos circular entre unos cientos de cuentas, consolidarlos en unas pocas cuentas receptoras y retirar todos los fondos hacia un banco tradicional. Lavar. Enjuagar. Repetir.
«Seguro que estas fintech hicieron KYC a sus clientes», podrías decir. Y sí, lo hicieron. Entonces, ¿cómo se crearon todas estas cuentas fraudulentas?
Ejemplo 3: Eliminación de soluciones alternativas en la economía de trabajos temporales
La respuesta vino de un lugar inesperado: una plataforma de economía colaborativa.
Este cliente inicialmente contrató nuestros servicios porque tenía trabajadores de otros países que falsificaban su ubicación para obtener una remuneración más alta basada en la geolocalización. Contaban con herramientas de verificación de identidad para asegurarse de que no estuvieran incorporando identidades sintéticas, pero los estafadores seguían encontrando la manera de eludirlas.
El cliente nos informó sobre una red de fraude que habían detectado en Bangladés y que no encajaba en el patrón típico que estaban buscando. Cuando lo investigamos, algo no cuadraba: todas las ubicaciones parecían concentrarse en unos pocos pueblos pequeños. Uno de nuestros científicos de datos representó los eventos de incorporación en un mapa para mostrar cómo la red crecía con el tiempo y surgió un patrón, claro como el agua. Los estafadores iban de puerta en puerta inscribiendo a cualquiera que estuviera dispuesto a compartir su información.
En Estados Unidos, he oído de delincuentes que se aprovechan de personas sin hogar, estudiantes universitarios y otros para usar sus identidades o cuentas bancarias y cometer fraudes, pero la magnitud de esto no se parecía a nada que hubiera visto antes. Docenas de rutas se enroscaban por los vecindarios donde se estaban creando nuevas cuentas, cada una de ellas yendo de norte a sur y luego regresando a su punto de partida en la calle siguiente.
Los delincuentes pagaban a la gente para que abriera cuentas y luego usaban esas mismas cuentas para abusar de la plataforma con fines económicos.
Este es el mismo mecanismo detrás de cómo se crearon los ejemplos 1 y 2: personas reales, KYC real e identidades reales entregadas a delincuentes, solo que con una variación.
Sigue el dispositivo, no el dinero
Lo que descubrimos en estos tres clientes no debería haber sido tan sorprendente, pero lo fue porque nadie lo estaba buscando. Los programas de AML se construyen en torno a la transacción. Los programas de fraude se construyen en torno al evento. El canal que los estafadores han creado corre por debajo de ambos.
He pasado tiempo en ambos lados de este problema y, sinceramente, la respuesta es que las herramientas capaces de cerrar esta brecha ya existen. Desde inteligencia de dispositivos hasta biometría del comportamiento y grafos de red, ninguna de ellas es ya experimental. Las usamos para encontrar 50.000 cuentas conectadas que movían millones de dólares, así que la pregunta no puede ser si sirven para AML. Sabemos que sí.
Gran parte de lo que hacemos hoy, como la monitorización de transacciones, sigue funcionando. Pero la cadena que va del fraude al blanqueo ha evolucionado más rápido que las herramientas de cumplimiento, y la brecha está completamente abierta. Cerrarla empieza por hacerse preguntas como:
- ¿Cómo se creó esta cuenta?
- ¿Qué dispositivo estaba detrás de esto?
- ¿Quién más comparte esa huella digital?
Un programa moderno de prevención de lavado de dinero (AML) que se toma esto en serio luce diferente de lo que la mayoría de los equipos de cumplimiento tienen hoy. Las huellas digitales de los dispositivos se verifican a lo largo de todo el ciclo de vida, no solo en la capa de transacciones. Los grafos de red ponen de relieve las relaciones entre cuentas en todo el portafolio, no solo dentro del historial de un único cliente. Y las señales de fraude, como la velocidad, la reutilización de dispositivos y las anomalías de comportamiento, se integran directamente en los flujos de trabajo de AML en lugar de quedar en un sistema separado que el equipo de cumplimiento nunca ve. Este es el argumento que presentamos a favor de la supervisión asistida por IA que conecta esas señales en nuestro artículo sobre cómo la IA mejora el rendimiento de la monitorización de transacciones.
Si tu programa no puede responder esas tres preguntas sobre cualquier cuenta de tu cartera, por ahí es donde están entrando. Los estafadores descubrieron esas brechas hace años. La pregunta ahora es cuándo los programas de cumplimiento se pondrán al día.