La seguridad es un pilar del producto: cómo Novo protege el dinero de las pequeñas empresas
«Proteger las cuentas de nuestros clientes pymes y su dinero es sagrado para nosotros».
Sardine analizó las cifras sobre la protección de cuentas
Sardine trabaja con instituciones financieras que se enfrentan al aumento del fraude y de las amenazas potenciadas por la IA, y supervisa periódicamente los resultados de sus clientes. Al analizar su base de clientes, Sardine descubrió que Novo, una plataforma financiera para pequeñas empresas, registra de media menos de una apropiación de cuenta al mes, con accesos sin el permiso del titular en menos del 0,0004 % de las cuentas, es decir, unas cuatro de cada millón.
Las tasas de apropiación de cuentas (ATO, por sus siglas en inglés) varían considerablemente según el sector y la plataforma, con una mediana de exposición del 1,4 % en las grandes plataformas digitales (de 5 a 300 millones de usuarios), mientras que sectores de alto riesgo, como el comercio electrónico y los medios digitales, registran tasas de ataques entre 2,9 y 3,4 veces superiores al promedio de todos los sectores.
Con una tasa de apropiación de cuentas (ATO) inferior al 0,0004 %, Novo se sitúa entre el 1 % de las empresas con mejores resultados del sector. Nos reunimos con Jackson Barnes, director ejecutivo de Novo, para conocer su perspectiva sobre este problema.
Por qué esto es importante
Los propietarios de pequeñas empresas que operan con márgenes muy ajustados suelen disponer de una autonomía financiera de apenas 28 días laborables como mediana. La protección financiera no solo es fundamental para el crecimiento y el éxito de su negocio, sino que a menudo también está ligada a su propio sustento.
Novo considera la protección de las cuentas una parte fundamental de su producto, una postura que contrasta con la de gran parte del sector fintech. «En general, para nuestros clientes, se trata del dinero del propietario. Son sus beneficios o su capital inicial», afirmó Barnes.
Cómo el sector fintech aprendió a tolerar el fraude
Gran parte del sector fintech heredó su forma de actuar del mundo del software y del comercio electrónico, y Jackson atribuye buena parte del problema del fraude en el sector a esa herencia.
Los equipos con esta experiencia se centran en agilizar los pagos y simplificar el proceso de alta, lo que implica comprobar menos indicadores. En muchos casos, consideran que una transacción no conlleva ningún riesgo. Esa práctica funciona en aplicaciones donde hay menos en juego y una intrusión supone un bochorno. En el sector bancario, ese nivel de riesgo no es aceptable
Los incentivos reforzaban esa práctica. Las fintech crecen a medida que aumentan sus ingresos, y las pérdidas son un coste que se reembolsa más adelante. Pero ese reembolso no borra lo vivido: el cliente sigue viendo que falta dinero en su cuenta, sigue entrando en pánico y no recupera el dinero de inmediato. Por desgracia, muchas fintech crecen a costa de sus clientes al trasladarles el riesgo.
Por qué Novo convirtió la seguridad en un eje central de su estrategia
Para Novo, el objetivo es evitar perjuicios a tres partes: sus clientes, la propia empresa y sus contrapartes. Evitar pérdidas a las contrapartes no es un criterio de éxito muy extendido en el sector, donde muchas empresas fintech se dan por satisfechas siempre que no sean ellas las que acaben asumiendo las pérdidas.
También hay una razón competitiva. Todo apunta a que el software bancario se está convirtiendo en un producto indiferenciado, y la seguridad no hará más que cobrar importancia a medida que la IA abarate la apropiación de cuentas, el robo de identidad y la suplantación de personas. Hoy en día, los propietarios de pequeñas empresas no siempre dan mucho peso a la seguridad a la hora de elegir un banco. Esto podría cambiar a medida que más personas reciban llamadas fraudulentas, vean cómo se suplanta la identidad de sus familiares o sufran en primera persona un fallo de seguridad.
Cómo protege Novo las cuentas
Inteligencia compartida más allá de los propios clientes de Novo
Novo cierra la brecha de información con los datos del consorcio de Sardine, la biometría conductual y una estrategia que combina de forma sinérgica el aprendizaje automático con un motor de decisiones. Cuando otra institución ya ha marcado un dispositivo o una persona como sospechosos, el equipo de Novo también puede ver ese historial, lo que le permite identificar a las personas con las que no debería hacer negocios.
Una de las mayores ventajas que ofrece Sardine son los datos de su consorcio, porque las reglas solo pueden detectar lo que un equipo ya ha visto. Con esos datos, un equipo puede ahora "detener una amenaza incluso antes de saber que lo es". Participar en un consorcio de datos significa colaborar con otras instituciones por el bien común.
Una única comprobación inicial en todos los sistemas
Novo opera varios sistemas, y todos pasan primero por Sardine. Dentro de Sardine, Novo ha configurado qué señales sitúan una acción en cada nivel de amenaza y cómo responde el sistema en cada caso. Algunas acciones siguen adelante basándose únicamente en el nivel de gravedad inicial, mientras que otras se bloquean directamente.
Reglas que controla el equipo de prevención del fraude
Antes de trabajar con Sardine, muchas de las reglas antifraude de Novo estaban programadas directamente en los propios servicios, por lo que cualquier ajuste requería tiempo del equipo de ingeniería. Esto supone un desafío cuando quienes mejor conocen el fraude, los investigadores del equipo de riesgos, no saben leer ni escribir código. Cuando la capacidad del equipo de ingeniería es limitada, las solicitudes para proteger a los clientes actuales compiten con las iniciativas para captar nuevos clientes, y las orientadas a generar ingresos suelen contar con mayor respaldo.
La interfaz de reglas de Sardine trasladó ese trabajo al equipo responsable. Los ingenieros pueden seguir usando la línea de comandos, pero una interfaz coherente y fácil de entender permite que ya no tengan que intervenir en cada cambio de las reglas.
Verificaciones adicionales y fricción deliberada
Los controles de Novo aprenden el comportamiento habitual de cada cliente. Si el propietario de una empresa viaja regularmente por negocios, ese patrón se consolida con el tiempo y el sistema lo considera normal. Si un propietario que nunca lo ha hecho intenta de repente realizar una transferencia de 20.000 dólares desde el extranjero, se activan verificaciones adicionales.
Esas comprobaciones le cuestan tiempo al cliente, por lo general entre 15 y 20 segundos y, en ocasiones, hasta dos minutos. Novo asume ese coste siempre que tiene dudas sobre quién está intentando iniciar sesión. Puede que a los clientes les molesten unos minutos de trabas, pero se cambiarán de banco si les vacían la cuenta.
Consejos para líderes que buscan equilibrar el crecimiento y los controles
El consejo de Jackson para los directores ejecutivos de empresas fintech que se ven presionados a flexibilizar los controles parte de la factura que tarde o temprano llega.
«En lo que respecta a la gestión de riesgos en general, nada sale gratis. Puede parecer que sí, pero siempre hay alguien que paga. Si actúas con descuido, o si la gestión de riesgos y la prevención del fraude son cuestiones secundarias para tu organización, tarde o temprano sufrirás las consecuencias y la situación se convertirá en un verdadero problema».
Enumera tres ámbitos en los que se paga el precio: la confianza de los clientes, la de los socios bancarios y la relación con los reguladores. Considera que este último es el más peligroso. Las obligaciones en materia de prevención del blanqueo de capitales y las impuestas por la Ley de Secreto Bancario, afirma, son «en realidad, herramientas de seguridad nacional», porque los reguladores se apoyan en ellas para mantener el dinero blanqueado y a las personas sancionadas fuera del sistema financiero estadounidense. A cualquier empresa que incumpla estas obligaciones le advierte: «Tendrán que rendir cuentas. Quizá no de inmediato, pero sí tarde o temprano».
El siguiente paso: Un centro de seguridad que los clientes pueden configurar
Novo está desarrollando un centro de seguridad que permite a cada cliente elegir un nivel de protección por encima del mínimo obligatorio. La seguridad siempre implica ciertas molestias, y cada persona tiene un nivel de tolerancia distinto. Algunos titulares quieren acceder más rápido y con menos verificaciones. Otros, como los clientes de edad avanzada, que son más vulnerables al fraude, pueden preferir controles más estrictos, como un escaneo facial mensual para acceder a la cuenta.
Piénsalo así: algunas personas viven en un lugar donde no cierran la puerta con llave. Otras tienen un cerrojo, y otras añaden cámaras y guardias de seguridad. Novo quiere que sus clientes puedan elegir el nivel de protección que prefieren. Para ofrecer esa posibilidad, será necesaria una integración más profunda con los controles de Sardine y una mayor personalización para cada usuario.
El documento de requisitos del producto ya está redactado, y estaba previsto que el ingeniero asignado al proyecto empezara la semana posterior a la entrevista. Jackson no quiso comprometerse a un lanzamiento antes de fin de año debido a la complejidad del proyecto, pero el objetivo es lanzarlo a principios de 2027. Más allá de la seguridad, Novo acaba de lanzar en noviembre servicios integrados de gestión de nóminas, presentación de declaraciones de impuestos para pequeñas empresas y una cobertura de seguro de la FDIC de 5 millones de dólares.
Fuentes
- Flare, La economía de la apropiación de cuentas y sesiones (2025), a través de The Hacker News, abril de 2025, thehackernews.com/2025/04/customer-account-takeovers-multi.html.
- Security Boulevard, «Estadísticas de apropiación de cuentas de 2026: por qué las empresas de comercio electrónico y medios de comunicación no pueden esperar», mayo de 2026.