"Todo fraude que ocurre pasa el KYC."
Steve Lenderman, director de Prevención de Fraude en iSolved, lo dijo claramente en un reciente episodio de Fraud Forward: KYC no está roto. Simplemente seguimos pidiéndole que haga el trabajo equivocado. Es el tipo de observación que cala porque la mayoría de los equipos de fraude ya saben que es cierta. Hoy en día, los kits de deepfake listos para usar cuestan 150 dólares. Son específicos para cada institución, no requieren conocimientos técnicos y los atacantes ya han incorporado la verificación de identidad en su modelo de costos. Para ellos, tus controles de onboarding son un punto de fricción conocido, no una barrera.
Eso vuelve a ponernos la presión a nosotros. La verdadera pregunta no es si el KYC funciona, sino si hemos construido los controles que lo rodean para que pueda funcionar. Eso significa evaluar el riesgo antes de que se envíe cualquier documento, superponer señales biométricas de comportamiento junto con las verificaciones de identidad y mantener visibilidad a lo largo de todo el ciclo de vida del cliente, no solo en la puerta de entrada. Una verificación única, por rigurosa que sea, deja la mayor parte de ese ciclo de vida en la oscuridad.
El problema del fraude de 150 dólares
El fraude como servicio ha convertido de hecho la verificación de identidad en una vulnerabilidad comercializada. Durante nuestro reciente seminario web sobre tendencias en fraude y AML, Chen Zamir, Director de Estrategia de Fraude en Sardine, explicó con detalle lo fácil que es hoy en día vulnerar los procesos de KYC. En este mismo momento, se venden en mercados de la dark web kits de evasión ya preparados, a menudo dirigidos a instituciones financieras o proveedores específicos. Como estos kits no requieren ninguna habilidad técnica para implementarse, incluso atacantes de bajo nivel pueden superar a gran escala las capas tradicionales de KYC.
Los kits de fraude para eludir flujos específicos de KYC se venden por tan solo 150 dólares. Estos precios siguen bajando a medida que la IA aumenta la oferta de medios sintéticos y acelera el desarrollo de nuevas vulnerabilidades, reduciendo aún más la barrera de entrada.
Los deepfakes, las identidades sintéticas y la suplantación de pruebas de vida han vuelto la verificación de documentos de identidad cada vez menos confiable como control independiente. Y esto no se limita a los servicios financieros. Las plataformas de comercio electrónico están viendo cómo se explota la misma vulnerabilidad en todos sus flujos de incorporación.
El resultado es una creciente brecha de confianza: las instituciones verifican una identidad durante el alta, asumen que esa verificación se mantiene y luego se ven sorprendidas cuando el fraude se materializa más adelante desde una cuenta que «aprobó» todos los controles.
Repensar el KYC como un sistema de tres capas
Chen propuso un marco útil para entender este tema: el KYC debe concebirse como tres capas diferenciadas, no como una sola.
Pre-KYCes la capa de detección basada en el riesgo que se sitúa antes incluso de que comience la verificación de identidad. Esta etapa analiza las huellas digitales de los dispositivos, la biometría del comportamiento y la velocidad de uso de direcciones de correo electrónico o físicas para predecir el riesgo antes de que un cliente llegue a enviar un documento. Estas señales son relativamente baratas de recopilar y de utilizar, y suelen detectar una proporción desmesurada del volumen de fraude, lo que implica que menos sesiones de alto riesgo lleguen a la puerta de verificación, que es más costosa. Para las fintech y los bancos más pequeños que todavía se saltan esta capa en favor únicamente de la verificación, esto supone tanto una mayor exposición al fraude como una ineficiencia en la forma en que se gasta el presupuesto de KYC.
El propio KYC funciona como la puerta de verificación activa, incorporando análisis forense de documentos, telemetría de prueba de vida biométrica y cotejo con fuentes de datos autorizadas. Dado que esta capa es actualmente el principal objetivo del fraude industrializado, de forma natural absorbe la mayor parte de los presupuestos de defensa institucional.
Post-KYC es la capa que con más frecuencia se descuida. Superar la verificación en el onboarding no garantiza que un cliente siga siendo seguro indefinidamente, y aun así la mayoría de las instituciones siguen tratando el onboarding y la monitorización de transacciones como disciplinas separadas, con equipos, proveedores y datos distintos. Esa separación es exactamente el vacío que explota el fraude sofisticado, y es el argumento más claro de por qué el onboarding y la monitorización de transacciones deben gestionarse como una disciplina unificada, no traspasarse entre equipos separados con proveedores y datos distintos. La monitorización continua del comportamiento, de los patrones de sesión y de la actividad de la cuenta solo tiene sentido cuando está informada por las señales de onboarding que se establecen sobre ese cliente desde el primer día.
El cambio de mentalidad fundamental aquí consiste en pasar de decisiones binarias a una evaluación continua basada en el riesgo, que evolucione y se adapte junto con la relación con el cliente.
La realidad de la validación continua
La detección eficaz de anomalías requiere una comprensión profunda de qué es lo normal para cada cliente. Eso implica construir continuamente una línea base de comportamiento para que, cuando ocurra algo realmente inusual, destaque frente al patrón de ese individuo en particular, y no solo frente a una regla genérica.
Las señales recopiladas durante el pre-KYC y el KYC deben alimentar directamente una clasificación de riesgo para cada cliente (bajo, medio o alto) en el momento del onboarding. Esa clasificación se canaliza luego a través de diferentes estrategias de riesgo a lo largo de todo el ciclo de vida del cliente. Esto es fundamentalmente distinto de la monitorización tradicional, que tiende a buscar comportamientos que encajen con una tipología de riesgo predeterminada. Un enfoque más eficaz utiliza esas señales de onboarding para construir una línea de base para cada cliente: los clientes de bajo riesgo enfrentan menos fricción y tienen más margen a medida que la relación se desarrolla, mientras que los clientes de alto riesgo reciben lo contrario. Esa clasificación se convierte entonces en el lente a través del cual se interpreta toda la monitorización posterior al KYC.
Que un cliente envíe una transferencia bancaria grande puede activar una alerta, pero ¿es algo inusual para esa persona? Si ese cliente envía regularmente transferencias internacionales de ese tamaño, la alerta es solo ruido. Si un cliente que nunca ha enviado una transferencia de repente inicia una a un nuevo beneficiario después de cambiar su configuración de notificaciones, eso es una señal clara.
El riesgo es evidente debido a la secuencia, incluso si el monto de la transacción es modesto.
Matt Vega, director de estrategia contra el fraude en Sardine, hace una observación relacionada: los anillos de fraude sofisticados han aprendido a mantener las señales individuales en un rango de riesgo bajo a medio, evitando los disparadores de alto riesgo que los sistemas tradicionales están diseñados para detectar. Sin un perfil de riesgo de referencia anclado a ese cliente específico, esas señales se interpretan como ruido. Con un perfil de riesgo de referencia, el patrón se vuelve legible a lo largo de todo el recorrido del usuario, conectando el comportamiento de inicio de sesión, los cambios en la cuenta, las incorporaciones de beneficiarios y los patrones de transacción en algo sobre lo que realmente se puede actuar.
Los gráficos de red ya no son opcionales
Una de las recomendaciones más enfáticas del seminario web: si no cuentas con capacidades de gráficos de red, prioriza conseguirlas.
Análisis de grafos permite a los equipos ver cómo los dispositivos, las identidades y los puntos de datos están conectados en su plataforma o en un consorcio más amplio. Esto puede incluir desde identificar un solo número de teléfono vinculado a docenas de cuentas, una dirección de correo electrónico que aparece en múltiples instituciones, o una huella digital de dispositivo compartida por cuentas sin ninguna relación legítima.
Estas conexiones suelen ser invisibles en los sistemas tradicionales basados en reglas, pero son exactamente la forma en que operan los anillos de fraude coordinado. Identificar estos vínculos es la única manera de desmantelarlos a gran escala. Vega describió casos en los que una sola sesión de análisis de vínculos podía identificar un anillo completo y permitir que se desactivara con una sola acción, en lugar de perseguir cientos de alertas individuales.
La convergencia del fraude y el cumplimiento AML
Este cambio también tiene importantes implicaciones en la forma en que los equipos de fraude y de prevención de lavado de dinero (AML) trabajan juntos. La Evaluación Nacional de Riesgos de Lavado de Dinero del Departamento del Tesoro de los Estados Unidos señaló el fraude como la principal preocupación en materia de lavado de dinero, una opinión compartida por organismos reguladores de todo el mundo.
FinCEN informó que el 42% de los Reportes de Actividad Sospechosa estaban vinculados a actividades relacionadas con la identidad, lo que representa más de 200.000 millones de dólares en transacciones sospechosas. Cuando el fraude y la vulneración de la identidad están profundamente entrelazados con el lavado de dinero, tratarlos como disciplinas separadas crea una brecha que los delincuentes aprenden a explotar.
Las instituciones que lo están haciendo bien están creando modelos de “fusión”. Esto implica visibilidad compartida y coordinación entre los equipos de fraude, AML, reclamaciones, centro de atención telefónica y seguridad. El objetivo es dejar de gestionar cada función en su propio silo, con sus propios proveedores, flujos de datos y procedimientos.
Qué hacer ahora
El camino a seguir requiere reconocer que el KYC es una sola capa dentro de un sistema que debe funcionar como una unidad. Mejorar tu postura para 2026 implica tres cambios operativos específicos:
- Filtrar el volumen: Utiliza un pre-KYC para identificar dispositivos y comportamientos de alto riesgo antes de que lleguen a tus puertas de verificación. Esto preserva tu presupuesto de KYC y evita que tu equipo quede sepultado bajo un ruido sofisticado de deepfakes.
- Establece la línea base: Mantén una supervisión del comportamiento que se mantenga durante todo el ciclo de vida del cliente. Si solo verificas en la incorporación, no verás las tomas de control de cuentas ni las estafas de cola larga que se materializan meses después
- Identificar la red: Implementa análisis de grafos para revelar los vínculos ocultos entre cuentas que aparentemente no están relacionadas. Si una red de fraude está operando en tu plataforma, el análisis de enlaces es crucial para desmantelar toda la operación.
La confianza ya no puede ser una decisión tomada una sola vez. En 2026, tendrá que ganarse de forma continua.