6 min
Hablamos constantemente de reglas contra el fraude, pero rara vez oigo a alguien preguntarse qué queremos decir realmente con esa palabra. ¿Para qué sirven las reglas, quién debería redactarlas y con qué frecuencia deberían revisarse? A lo largo de mi carrera, he comprobado que los tipos de reglas contra el fraude se dividen en tres categorías bien diferenciadas, y que la mayoría de los equipos las gestionan todas de la misma manera. Ese hábito genera muchos costes sin que apenas se note. Los equipos terminan supervisando en exceso algunas reglas y de forma insuficiente otras, asignando su responsabilidad a las personas equivocadas y esperando que funcionen de maneras para las que nunca fueron diseñadas.
En este episodio, analizo las reglas estratégicas, las reglas de comportamiento y las reglas de tendencias, y explico cómo se redacta y evalúa cada una, y quién se responsabiliza de ellas. Si gestionas un motor de reglas o eres responsable de cómo emplea su tiempo un equipo de prevención del fraude, esta es una forma práctica de organizar ese trabajo.
Lo que escucharás en este episodio:
- Por qué los tres tipos de reglas antifraude requieren distintas frecuencias de supervisión, distintos responsables y distintos criterios de éxito
- Cómo las reglas antifraude basadas en puntuaciones de aprendizaje automático y las reglas antifraude basadas en umbrales segmentan a su población en grupos de aprobación, rechazo y verificación adicional
- Por qué cambiar un umbral en un conjunto de reglas de estrategia suele implicar ajustar los demás, y por qué esas reglas deben evaluarse en conjunto
- Cómo las reglas de comportamiento que redactan los equipos antifraude, incluidos ejemplos de reglas de velocidad para detectar fraudes, pueden identificar varias redes con el mismo modus operandi sin ajustarse en exceso a un único ataque
- Cómo son en la práctica las reglas compuestas contra el fraude, incluido un ejemplo de reglas de fraude basadas en la huella digital del dispositivo que combina el riesgo del correo electrónico, un dispositivo nuevo y una discrepancia de país
- Por qué las reglas de tendencias son al principio la herramienta más rápida y precisa, y por qué pierden eficacia tan rápidamente
- Cómo debería funcionar el ciclo de vida de las reglas antifraude, utilizando reglas específicas como medida provisional mientras se implementan defensas más sólidas
- Qué problemas surgen al priorizar las reglas antifraude cuando todas reciben la misma atención
Deberías escuchar este episodio si:
- Gestionas un motor de reglas y quieres un marco claro para redactar reglas antifraude que cumplan su propósito
- Están creando o reestructurando un equipo de prevención del fraude y necesitan decidir qué equipo debe encargarse de cada regla
- Quieren mejorar la implementación de reglas antifraude vinculando las reglas de estrategia con su proceso de lanzamiento de modelos
- Siguen añadiendo reglas específicas para detener los ataques y les preocupa que se acumulen los falsos positivos
- Dependen del modelo de un proveedor y necesitan saber qué pedirle al establecer los umbrales
Notas del episodio y conclusiones clave
Las reglas de estrategia son tu capa de defensa básica
Las reglas de estrategia segmentan la población y definen la estructura general de las defensas. Determinan qué segmentos se aprueban, cuáles se bloquean y cuáles se someten a una medida adicional, como la autenticación o la revisión manual. Por lo general, se aplican sobre una puntuación generada por un modelo de aprendizaje automático, un agente de IA o un sistema de puntuación. Dado que estas reglas están interconectadas, cambiar un umbral suele implicar ajustar los demás. Recomiendo evaluarlas como un conjunto de reglas y no solo de forma individual. Su precisión suele ser moderada, pero mantienen un buen rendimiento. Por lo general, basta con revisarlas mensualmente. Como están vinculadas a la distribución de puntuaciones del modelo, deben diseñarse y publicarse junto con este, preferiblemente con una estrecha participación del equipo de ciencia de datos o con el apoyo del proveedor si el modelo procede de uno.
Las reglas de comportamiento son la columna vertebral
Las reglas de comportamiento detectan tipologías que el modelo y las reglas de estrategia no logran identificar, ya sea porque el patrón es nuevo, demasiado pequeño o complejo para modelarlo, o porque busca aprovechar el comportamiento de los falsos positivos. La idea clave es que describen comportamientos sospechosos o legítimos, no un ataque concreto, lo que evita que se ajusten en exceso a una sola red y les permite detectar otras que empleen un enfoque similar. Las reglas de velocidad son un ejemplo clásico; otro sería una regla compuesta que combine un dominio de correo electrónico de riesgo, un dispositivo nuevo y un país de la dirección IP que no coincida. Estas reglas deben ser más precisas que las reglas de estrategia; de lo contrario, no tiene mucho sentido mantenerlas. Se degradan más rápido que los modelos, aunque no de forma drástica, por lo que basta con revisarlas semanal o mensualmente. Su gestión debe recaer en el equipo de análisis de fraude, ya que requiere tanto conocimientos especializados del ámbito como competencias en datos.
Las reglas de tendencias frenan las pérdidas y luego deben retirarse
Las reglas de tendencias se centran en un ataque, una tendencia o una red de fraude específicos, y son deliberadamente restrictivas. Una regla típica incluye varios dominios de correo electrónico desechables, un BIN de tarjeta concreto, un fragmento de una dirección de envío y un importe mínimo, lo que la convierte en una regla de tipo lista de bloqueo diseñada para un patrón específico. Al principio son muy precisas, pero se degradan con gran rapidez, porque a los defraudadores les basta con modificar un solo detalle para eludirlas. Por eso, mientras haya un ataque activo, deben supervisarse con una frecuencia diaria o semanal. Creo que deben formar parte del conjunto de herramientas de los equipos de operaciones antifraude, pero siempre deben considerarse una solución provisional. Permiten ganar tiempo para implementar defensas más sólidas, pero, si se mantienen sin supervisión, acaban acumulando falsos positivos.
Elegir la herramienta adecuada para cada tarea
Esto es más que un ejercicio de clasificación. Cuando todas las reglas se gestionan de la misma manera, se dedica tiempo a supervisar reglas que no lo necesitan, se pasa por alto el deterioro de las que sí, se asigna la responsabilidad al equipo equivocado y se evalúan las reglas según criterios de éxito inadecuados. Cuando cada categoría tiene su propia frecuencia de revisión, su responsable y sus expectativas, las defensas se vuelven más resilientes y fáciles de escalar.
Conclusión final
Si te quedas con una sola idea de este episodio, que sea esta: una regla solo es buena si cumple bien la función para la que fue diseñada. Las reglas estratégicas convierten una puntuación en una acción, las reglas de comportamiento describen cómo suele manifestarse el fraude y las reglas de tendencias apagan el incendio inmediato. Asigna a cada una el responsable, la frecuencia de supervisión y las expectativas adecuadas, y tus defensas contra el fraude seguirán siendo sólidas a medida que crezcan.
Recursos y enlaces
¿Aún no quieres dejar de hablar sobre mi tema favorito, y espero que también el tuyo? Suscríbete al boletín The Saturday Fraud Strategist.
Conecta con Chen Zamir | LinkedIn
Autor de The Saturday Fraud Strategist
Ayudo a las fintech a desarrollar defensas más inteligentes contra el fraude
Coautor de «The Fraud Fighter’s AI Playbook»
Episode transcript
Chen Zamir
00:07
We talk about fraud rules all the time, but what do we actually mean when we say rules? What are rules for? Who writes them? How should they be monitored? Here's the thing. During my career, I found out that there are actually three distinct categories of rules. But most teams treat them all the same. And what are these categories? Strategy rules, behavioral rules, and trend rules. Each designed differently, written by different teams, and with completely different roles to play in your fraud defenses. Mixing them up means you'll either over monitor some while under monitor others, assign ownership to the wrong teams, or worse, expect them to perform in ways they were never designed to. So, in this video, I'll break down each category and show you exactly how to handle them. Let's get into it.
Chen Zamir
00:56
Strategy rules segment your population and define the overall design of your fraud defense. Which segments get approved? Which segments get blocked? Which segments go through a step up like authentication or manual review? In most cases, these rules are written around the score calculated by a machine learning model, an AI agent, or if your organization is still living in the 80s, a scorecard that tells the result of other rules. A good strategy segments the population according to risk bands and ideally other general risk factors like payment method, transaction amount or user history. It usually looks something like this. If score is above 80 and the amount is higher than $100, then decline the payment. Keep in mind that strategy rules are usually interconnected, especially if you manage multiple segments. Changing a threshold in one rule would dictate mirroring changes in other rules in the same set. For example, if in that previous example I had a rule that sends to manual review payments with scores between 50 and 80 and I raise the upper limit to 85, I now need to change my decline rule we just saw to only start declining above 85. This also means you may want to measure these interconnected rules as a rule set and not only individually. Performance-wise as these are high level rules that operate on the entire population and mostly translate a score into a deterministic action. Accuracy tends to be quite low. However, this also means they're more resilient to degradation. Machine learning models tend to degrade much more slowly than rules. So you don't need to monitor them daily or weekly. A monthly cadence is usually more than enough. And from an ownership perspective, since strategy rules are tightly coupled to a model score distribution, it makes sense that they'd be designed, reviewed, and deployed as part of the model release process. Should a data science team write them? Perhaps. If it makes sense within your team's context. But even if fraud analysts write them, they should work very closely with the data science team to do so. And what if the model you use is supplied by a vendor? Then ideally you should request them to support you with the required data analysis and segmentation.
Chen Zamir
03:13
Behavioral rules detect typologies that bypass your fraud model and strategy rules. This can happen for a few reasons. That typology is new and didn't appear in the model's training set. It's too intricate or small to describe with a model. Or you're targeting false positive behaviors that models aren't really designed to catch. Regardless of the reason, the point of these rules is to describe suspicious, or legitimate behaviors, and not a particular fraud attack. And by doing so, your rules can catch different rings that have similar MOS without the need to constantly tweak them and overfeit them to one particular attack. A good example would be velocity rules. They describe a certain typology that can manifest in different attacks and by different fraudsters. Here's an example. If domain risk is high, and the device is new, and the IP country mismatches the account country, then block the account. Let's talk about performance for a second. Ideally, behavioral rules should be quite accurate. And in all cases more accurate than the strategy rules themselves. Otherwise, why bother with them? And while behavioral rules degrade faster than models, because they describe general typologies rather than specific patterns, they don't degrade that fast. Even if a fraud ring leaves your platform, the rule would still catch new fraudsters attacking you in similar ways. So from a monitoring perspective, you want to review your behavioral rules on a weekly or monthly cadence. And in terms of ownership, behavioral rules sit squarely with the fraud analytics team. As they require both deep domain expertise and data literacy.
Chen Zamir
04:54
Trend rules are designed to stop specific trends, attacks, or fraud rings. When nothing else works, when fraudsters bypass your model, strategy rules, and fancy behavioral rules, you need to bring the hammer down. These rules focus on a specific narrow pattern to maximize the effectiveness of your defenses. They usually look like this. If the email domain is tempemail24.com or gorilla.info or 10minute.net net, and the card bin is specific to this trend, and the shipping address has 1247 harbor somewhere in it, and the amount is higher than 50 bucks, then decline the payment. From a performance standpoint, trend rules tend to start off being very accurate as they're tailored to a specific attack. That means that on paper they should be your most accurate rules and by a wide margin, but they also degrade fast, very fast. It's often easy for fraudsters to tweak something in their behavior and bypass a trend rule. This means these rules should be monitored daily to weekly, especially if they're part of stopping an ongoing attack. And when it comes to the ownership question, I personally believe that trend rules should be within the tool set frauds teams have at their disposal when dealing with fraud attacks. However, you should consider your trend rules as a stop gap solution. The idea is they buy you time to deploy more substantial defenses that degrade more slowly, and that scale better. Allowing you to eventually get rid of them completely. Because if they are left unchecked over time they can really cause havoc by accommodating false positives.
Chen Zamir
06:37
Understand the differences between the three types of rules isn't just academic, it's operational. Because when you treat all rules the same, you waste resources monitoring things that don't need daily attention while missing degradation in rules that do. You assign ownership to the wrong teams and you harm your overall effectiveness by mismanaging the success criteria for each role category. But get this right and your fraud defense would be more resilient and easier to scale. Anyway, that's all for today. I'll see you next Saturday.
View full transcript
