Las tres primeras partes de esta serie trataron la visión de arriba hacia abajo de los falsos positivos: los mides, los clasificas, y arreglas las partes de tu sistema que se comportan mal.
Pero incluso si haces todo eso a la perfección, todavía te enfrentas a un problema más: tu sistema antifraude es un laberinto.
Tienes reglas, modelos, agentes de IA, colas de revisión manual, respuestas de socios, decisiones de enrutamiento de pagos, verificaciones KYC, inteligencia de dispositivos y docenas de otros componentes, cada uno capaz de bloquear a un usuario.
Aunque cada componente sea “razonable” por sí solo, sus interacciones aún pueden producir falsos positivos en lugares que nunca imaginaste. Un usuario podría eludir una parte del sistema solo para ser bloqueado por otra.
Por eso, con el tiempo, los equipos de fraude más maduros acaban introduciendo un mecanismo completamente distinto: una capa de anulación de alto nivel que se sitúa por encima de toda la pila y evita que el sistema perjudique a usuarios en los que ya tienes motivos para confiar.
Piénsalo como la imagen inversa de una red de seguridad contra el fraude. Cuando cualquier actor del sistema, ya sea una regla, un modelo, un agente o una persona, intenta bloquear a un usuario, esta red de seguridad comprueba si hay pruebas sólidas de que el usuario en realidad es bueno. Si las hay, revierte el rechazo.
Esta idea es extremadamente poderosa cuando se implementa correctamente, pero requiere un diseño cuidadoso.
Veamos paso a paso cómo funciona.
Cómo diseñar sistemas de anulación
Hay dos preguntas que debes responder antes de diseñar cualquier lógica de anulación.
La primera se refiere a las partes de tu sistema que no deberían ser sobrescritas, y mucho menos de forma predeterminada.
La cuestión es que no todas las soluciones deben tratarse por igual.
Si una lista negra de tarjetas robadas indica que una tarjeta está comprometida, no deberías anular automáticamente esa decisión solo porque la IP parezca inofensiva. Al fin y al cabo, el proveedor de inteligencia de datos puede equivocarse.
No tienes que complicarlo, y no es necesario combinar las lógicas de detección de fraude con las lógicas de detección de falsos positivos. Solo marca en tu sistema las soluciones que tengan una precisión casi perfecta y que nunca deban ser anuladas.
La segunda cosa que debes considerar, obviamente, es qué heurísticas son lo suficientemente sólidas para detectar falsos positivos.
Eso ya supone un listón muy alto, pero no solo estás detectando falsos positivos. Los estás identificando dentro de una población rechazada que ya presenta una tasa de fraude significativamente más alta. Tus heurísticas deben ser totalmente infalibles si vas a aplicarlas a un segmento de tan alto riesgo.
Entonces la pregunta sigue siendo: ¿por dónde empiezas?
Me gustaría proponer cuatro heurísticas clave, o familias lógicas, que suelen resultar eficaces para filtrar poblaciones con altas tasas de fraude y encontrar falsos positivos en ellas.
Cuáles de ellos implementes y cómo exactamente hacerlo depende de tu contexto empresarial específico.
Familia 1: Usuarios confiables
Esta es la categoría más sencilla e intuitiva: usuarios que ya conoces y en quienes confías.
Estas señales pueden incluir cuentas de larga data con un historial de comportamiento limpio, o usuarios que hayan superado procesos de verificación de alta fricción. Y no me refiero a un KYC genérico, sino a algo que realmente confirme la identidad de manera significativa.
“Espera un momento,” debes de estar pensando, “¡esta es la información más trivial de la historia! Seguro que no habré perdido el tiempo para… ¿esto?!”
El problema es que, aunque marcar cuentas consolidadas es sencillo, la lógica cambia por completo cuando necesitas evaluar cuentas nuevas o usuarios de una sola vez. En muchos casos, estos “nuevos” usuarios pueden ser usuarios que regresan y, si logramos asociarlos con su actividad pasada, podríamos excluirlos de mecanismos de riesgo de alta fricción.
Por ejemplo, yo mismo tengo tres cuentas de PayPal porque he vivido en tres países diferentes y PayPal exige a los usuarios abrir una cuenta en cada nuevo país al que se mudan.
Este no es el recorrido ideal para el usuario, pero entiendo los requisitos de cumplimiento que deben mantener. Al mismo tiempo, también sé que cada vez que abro una nueva cuenta, la vinculan de inmediato con las anteriores.
¿Cómo? Simplemente porque estoy usando el mismo dispositivo para abrir una nueva cuenta con el mismo nombre de una cuenta que ya tengo. Ese soy yo.
La idea clave es que la confianza puede inferirse, no solo recopilarse. No tienes que esperar a que alguien construya un largo historial en una sola cuenta. Si es la misma persona detrás de varias cuentas y has verificado la legitimidad de una de ellas, la nueva hereda una parte de esa confianza.
Ahora bien, usar el mismo dispositivo y el mismo nombre para abrir una cuenta nueva no es precisamente una heurística revolucionaria (aunque ni siquiera todos los equipos tienen eso implementado). Pero es fácil encontrar lógicas similares que no dependan del mismo dispositivo y que sigan siendo igual de sólidas.
Aquí tienes algunos ejemplos:
- Tarjeta + dirección IP
- Correo electrónico + mismo artículo comprado
- Apellido + ubicación geográfica exacta (sí, también puedes inferir datos entre miembros de la familia)
Recuerda, no se trata de encontrar enlaces al azar. Se trata de vincular un nuevo evento con un evento sólido, comprobado y positivo.
Familia 2: Entornos de alta exposición
Los estafadores evitan los entornos donde su verdadera identidad o sus verdaderas afiliaciones podrían quedar expuestas.
Los usuarios legítimos, por otro lado, suelen operar de forma natural desde esos entornos.
Esto da lugar a una heurística sorprendentemente poderosa: si un usuario realiza transacciones desde un entorno de red altamente controlado o fácilmente rastreable, la probabilidad de que sea un estafador disminuye drásticamente.
Algunos ejemplos incluyen:
- Redes IP corporativas, gubernamentales y militares con un control de acceso estricto, donde es probable que el usuario sea un empleado.
- Redes IP universitarias, donde el usuario es miembro del personal o estudiante.
- Redes IP de grandes organizaciones sin fines de lucro (.org), donde es probable que el usuario sea un empleado.
Es muy poco probable cometer fraude desde una red de este tipo, ya que se supervisa en busca de brechas de seguridad y puede rastrearse hasta usuarios individuales con relativa facilidad.
Del mismo modo, enviar paquetes a una dirección de envío altamente controlada (por ejemplo, una base militar) es otro indicio de que es muy poco probable que el usuario sea un estafador.
Ten en cuenta que no se trata solo de identificar y procesar al estafador. La mayoría de ellos no teme a eso. Se trata más bien del miedo a ser sancionados por su propio empleador, lo que los disuadiría de utilizar estos recursos para cometer fraude.
Familia 3: Cadenas geográficas
Las discrepancias geográficas son una de las fuentes más comunes de falsos positivos. Hablamos de esto en la Parte 3 con el ejemplo de Estados Unidos y Canadá. Pero también podemos usarlo para identificar falsos positivos.
En concreto, me gustaría señalar dos tipos de cadenas geográficas:
1. Proximidad geográfica en regiones altamente específicas
Si una dirección IP se resuelve en una ubicación extremadamente cercana a la dirección de facturación legítima, eso por sí solo no es necesariamente un indicador favorable.
Por ejemplo, si la dirección se encuentra en Nueva York, probablemente no sea tan difícil encontrar una IP de proxy abierto a menos de 10 millas de distancia.
Pero, ¿qué pasa si la dirección está en un pueblo pequeño o en una zona rural? Cuando obtienes una coincidencia fuerte con la ubicación de la IP (<10 millas), esto puede ser un indicador de buen usuario más sólido de lo que la mayoría de la gente imagina. Los estafadores pueden suplantar fácilmente grandes ciudades. No pueden suplantar pueblos remotos con la misma facilidad.
2. Desajuste coherente con la nacionalidad (viajero)
De nuevo, es fácil usar ejemplos de mi propia experiencia personal: cuando uso mi tarjeta española en Israel, a menudo me bloquean. ¿Por qué? Por el desajuste entre el BIN ES y la IP IL.
Pero no debería ser así. Analizar mi nombre debería identificarlo como israelí (la tecnología existe), y hacer coincidirlo con la IP israelí debería ser fácil. Eso no significa que cuando un nombre comparte la misma nacionalidad que la dirección IP, se trate de un buen evento.
Sin embargo, cuando vemos un patrón muy específico en el que la tarjeta no coincide con la IP pero el nombre sí coincide con la IP, encontramos una correlación que es demasiado sutil como para que un estafador pueda imitarla.
Cuando un estafador ve una tarjeta española, simplemente utiliza una IP española. No hay ninguna razón para complicarlo más.
Esto es sutil y depende del contexto. Pero cuando la lógica se valida correctamente, puede eliminar una cantidad sorprendente de falsos positivos basados en la ubicación geográfica, introduciendo un riesgo adicional de fraude mínimo.
Familia 4: Artículos no revendibles o de bajo riesgo
Esta última heurística se aplica principalmente a negocios transaccionales.
Los estafadores ganan dinero revendiendo lo que roban. Su modelo económico depende de transferir los bienes robados, ya sean digitales o físicos, a otra persona. Si el artículo que se compra no tiene mercado de reventa, o solo uno muy limitado, rechazarlo por “riesgo de fraude” suele ser contraproducente.
Esto puede verse así:
- Bienes y servicios educativos
- Artículos de nicho o hiperpersonalizados
- Servicios que requieren consumo personal
Estas transacciones no deben tratarse con la misma sospecha que los bienes universalmente fungibles (electrónica, tarjetas de regalo, moneda digital, etc.). En un sistema de anulación bien diseñado, el “bajo valor de reventa” puede actuar como un freno que evita que tu sistema desperdicie energía en cosas que los estafadores no quieren en primer lugar.
Familia 1: Usuarios confiables conocidos | Familia 2: Entornos de alta exposición | Familia 3: Cadenas geográficas | Familia 4: Artículos de bajo riesgo | |
Señal principal | El usuario está vinculado a una identidad legítima previamente verificada | El usuario realiza transacciones desde una red rastreable y monitorizada | Los datos geográficos cuentan una historia coherente de "viajero" o de "local" | El artículo no tiene un mercado de reventa significativo |
Señales de ejemplo | Mismo dispositivo y nombre en varias cuentas, coincidencia de tarjeta e IP con un evento previo válido, vínculo de miembro de la familia | IPs corporativas, gubernamentales o militares; redes universitarias; direcciones de envío controladas | Proximidad rural entre IP y facturación (<10 millas); la nacionalidad del nombre coincide con la IP pero no con la tarjeta (patrón de viajero) | Servicios educativos, artículos hiperpersonalizados, servicios de consumo personal |
Por qué funciona | La confianza puede inferirse, no solo recopilarse: la misma persona ya ha sido validada en otro lugar | Los estafadores evitan entornos que puedan revelar su verdadera identidad o conducir hasta su empleador | Estos patrones son demasiado sutiles o contextuales para que los estafadores los diseñen; ellos toman el camino más sencillo | Los estafadores necesitan valor de reventa; si no hay mercado de reventa, no hay incentivo económico para robar |
Cuidado con | Vínculos débiles que los estafadores podrían imitar (por ejemplo, el correo electrónico por sí solo no es suficiente) | VPN que suplantan redes corporativas; IP institucionales compartidas | La lógica solo aplica en contextos geográficos específicos; debe ser validada por cada mercado | Algunos artículos "de nicho" todavía tienen valor de reventa en mercados secundarios |
Lo mejor para | Empresas con usuarios recurrentes, flujos de múltiples cuentas o recorridos entre dispositivos | Empresas con tráfico B2B o usuarios en entornos institucionales | Empresas con bases de usuarios internacionales y reglas de desajuste geográfico | Empresas de comercio electrónico y bienes digitales |
Cómo implementar la lógica de anulación de forma segura
Simplifiquemos las cosas: no activas la lógica de override para el 100% de tu tráfico desde el primer día. La pruebas. A fondo.
Un despliegue típico podría verse así:
- Implemente la regla de anulación solo en modo sombra.
- Mide los impactos y compáralos con tu análisis predictivo. ¿Está ocurriendo según tus expectativas?
- Reduce la regla en modo sombra al 80% de la población e introduce una regla desafiante que realmente anule las denegaciones para el 20% restante (toma estas cifras solo como ejemplos y decide cómo dividir la población según tu propia tolerancia al riesgo).
- Observa los resultados durante 30 a 60 días; esto debería mostrarte qué tan rápido madura el fraude en la población no rechazada.
- ¿Se ve bien? Aumenta gradualmente hasta el 50% y repite. ¿No está claro? Espera otros 30 días. ¿Picos de fraude? Vuelve al modo sombra al 100% (y a replantearlo todo).
- Aumenta gradualmente hasta alcanzar la implementación completa.
Algo que podrías descubrir durante este aumento gradual y prudente es que el fraude que logres detectar traspasando estas reglas puede provenir de un puñado de soluciones de detección de fraude.
Esto es bastante común y, en ese caso, deberías mover estas soluciones antifraude al nivel que no se ve sobrescrito. Cuando desarrollas lógicas de exclusión para otras lógicas de exclusión, sabes que vas a la cabeza.
Lo que deberías tener hasta ahora
Ahora cuentas con un marco completo para reducir los falsos positivos:
- En la parte 1, aprendiste cómo medir los falsos positivos a pesar de que tu sistema los oculta.
- En la segunda parte, explicamos cómo clasificarlos en grupos y decidir cuáles son los que realmente puedes influir.
- En la parte 3, aprendiste cómo corregir los componentes problemáticos de tu stack de fraude mediante el perfeccionamiento de reglas, el ajuste de umbrales y la resolución de problemas de calidad de los datos.
- Y ahora cuentas con un mecanismo de anulación a nivel de sistema que evita que los buenos usuarios se vean perjudicados incluso cuando una parte local de la lógica falla.
Si juntas las cuatro piezas, pasas de:
“Creemos que tenemos algunos falsos positivos en alguna parte…”
…a:
“Sabemos exactamente de dónde provienen nuestros falsos positivos, cómo medirlos, cómo reducirlos en el sistema subyacente y cómo protegernos de ellos a nivel de arquitectura.”
Así es como se ve una organización antifraude de alto rendimiento. No se trata solo de detectar el fraude, sino de permitir que tu empresa crezca de forma segura.
Y ahí es donde reside el verdadero potencial.
