La prevención del fraude es una preocupación importante para todas las instituciones financieras. Los bancos, en particular, deben garantizar que sólo el titular legítimo de la cuenta acceda a su cuenta y que no se realicen pagos incorrectos. Esto implica abordar problemas como el robo de identidad, los pagos accidentalmente mal dirigidos y el fraude de pagos push autorizados (APP). Mientras que hace unos años esto se limitaba a implementar métodos de autenticación más complejos, hoy en día los bancos utilizan multitud de técnicas para proteger a sus clientes. Esto es particularmente importante ya que los bancos intentan evitar que una mayor seguridad afecte la experiencia del usuario y genere más preguntas y quejas de los clientes al servicio de atención al cliente del banco. La protección contra el fraude se considera cada vez más un diferenciador competitivo más que un costo necesario.
Exploremos en detalle las diferentes técnicas implementadas por los bancos modernos.
Asegúrese de que la persona adecuada acceda a la cuenta
Este es el primer paso para evitar el fraude. Desafortunadamente, es más fácil decirlo que hacerlo, especialmente porque los clientes generalmente no son muy conscientes de los problemas de seguridad. Crean riesgos de seguridad al usar la misma contraseña en todas partes, no proteger suficientemente sus cuentas de correo electrónico utilizadas para restablecer contraseñas, no proteger sus teléfonos, hacer clic en enlaces maliciosos, compartir inicios de sesión secretos y compartir demasiada información personal en las redes sociales, lo que permite la ingeniería social avanzada. Al mismo tiempo, los clientes suelen quejarse de restricciones de uso debido a medidas de seguridad y pueden abandonar el banco a causa de ellas.
Por lo tanto, los bancos deben ser muy creativos en lo que respecta a la autenticación, intentando minimizar el impacto en la facilidad de uso garantizando al mismo tiempo una seguridad suficiente. Además, deben concienciar a sus clientes sobre ciertos riesgos de seguridad.
-
Autenticación multifactor: uno de los principales métodos para proteger las cuentas de usuario es la autenticación multifactor (MFA). Este enfoque requiere que los usuarios proporcionen múltiples formas de verificación antes de acceder a sus cuentas. La autenticación multifactor puede incluir:
-
PIN y contraseñas
-
Códigos de un solo uso enviado por correo electrónico, SMS o aplicaciones de autenticación
-
Autenticación biométricacomo huellas dactilares y reconocimiento facial
-
…
-
-
Autenticación basada en riesgos: la autenticación basada en riesgos (RBA) lleva la seguridad un paso más allá al monitorear el comportamiento del usuario para detectar posibles anomalías. En base a esto, se puede reducir la autenticación (por ejemplo, para algunas acciones solo un código PIN puede ser suficiente), mientras que para otras se pueden aplicar métodos de autenticación adicionales. Este método aprovecha la inteligencia artificial (IA) para analizar patrones que los conjuntos de reglas tradicionales no capturan fácilmente.
La RBA analiza varios factores para identificar eficazmente comportamientos sospechosos y evitar el acceso no autorizado. Estos factores pueden incluir:
-
Geolocalización
-
Tipo y secuencia de acciones realizadas previamente.
-
Siguiente acción solicitada (por ejemplo, una consulta no requiere el mismo nivel de seguridad que iniciar un pago de alto valor)
-
Movimientos del mouse, patrones de escritura del teclado e incluso la forma en que el cliente sostiene su dispositivo móvil.
-
Modelo y versión del navegador.
-
Dirección IP y sistema operativo
-
Dispositivo de hardware
-
…
-
Para obtener más información, consulte mi blog anterior: “Autenticación multifactor y detección de fraude de identidad en la industria de servicios financieros” (/2020/02/autenticación-multifactorial-et.html).
Prevenir pagos erróneos
Impedir el acceso no autorizado a las cuentas bancarias no es suficiente para protegerse contra el fraude. En muchos casos de fraude también se manipula a las víctimas para que realicen pagos a estafadores, generalmente mediante ataques de ingeniería social que implican el robo de identidad.
Ejemplos son
-
Fraude del director ejecutivodonde los delincuentes se hacen pasar por el director ejecutivo (u otro alto ejecutivo) de una empresa y piden urgentemente a un empleado que transfiera dinero.
-
Fraude de facturasdonde las facturas reales se reemplazan con facturas fraudulentas que contienen diferentes números de cuentas bancarias o códigos QR falsos, lo que resulta en pagos a otra cuenta.
Este tipo de fraude sigue siendo común porque muchos bancos no protegen bien a sus clientes contra estos ataques. Cada vez más, los reguladores y los gobiernos (por ejemplo, la UE con la Directiva de pagos instantáneos y el mandato PSD3) presionan para lograr mejores soluciones.
Las medidas típicas incluyen:
-
Comprobaciones y advertencias adicionales:Los bancos pueden implementar controles y advertencias adicionales cuando los usuarios realizan pagos a nuevos destinatarios o transfieren grandes cantidades.
-
Verificación de beneficiario (VoP): este servicio verifica el destinatario de un pago para garantizar que los fondos vayan a la persona correcta, evitando el fraude de APP y pagos accidentalmente mal dirigidos. Empresas como SurePay, OB Connect, Worldline, Tell Money, iPid y Banfico ofrecen este servicio.
A medida que las prácticas descritas anteriormente se vuelven comunes en la industria de servicios financieros y a menudo son impuestas por los reguladores, los bancos innovadores están tomando medidas adicionales para proteger a sus clientes. Recientemente, los neobancos han anunciado varias características nuevas.
Algunos ejemplos:
-
Comprueba si te llaman en la aplicación:A principios de este año, ING en los Países Bajos y Monzo en el Reino Unido lanzaron una nueva función que permite a los usuarios ver inmediatamente si el banco los está llamando. Esto ayuda a prevenir el fraude telefónico, en el que los estafadores se hacen pasar por el banco para obtener credenciales secretas.
-
Lugares conocidos o “Deja tu dinero en casa”:Monzo introdujo esta función, que permite a los usuarios especificar ubicaciones confiables, como su hogar o lugar de trabajo, donde se pueden realizar transacciones de forma segura. Las transacciones que se intentan fuera de estas ubicaciones preaprobadas se bloquean automáticamente, lo que proporciona una red de seguridad geográfica contra transacciones no autorizadas.
-
Contactos Confiables: Trusted Contacts introduce un paso de validación social en el proceso de transacción. Los clientes pueden invitar a un amigo o familiar de confianza para verificar las transacciones que superen un límite determinado. Este nivel adicional de control ayuda a prevenir transacciones fraudulentas al involucrar a alguien en quien el cliente confía. Monzo también introdujo recientemente esta característica.
-
Códigos QR secretos: También introducida por Monzo, esta función permite a los clientes generar códigos QR únicos, que se pueden escanear en la aplicación para autorizar transferencias grandes. Este código puede almacenarse en un dispositivo separado o imprimirse, lo que garantiza que incluso si roban un teléfono, no se puedan realizar transacciones no autorizadas sin el código QR. Este requisito de dispositivo dual agrega una sólida capa de seguridad.
-
Verificación de selfies:Revolut ha introducido Wealth Protection, que requiere verificación por selfie para retiros de inversiones. Esto verifica la identidad de un cliente con las verificaciones de identidad de selfies realizadas durante el registro inicial, lo que dificulta significativamente los intentos de los estafadores de sacar dinero de las cuentas de ahorro, incluso si la seguridad del teléfono se ha visto comprometida.
Es interesante probar estas nuevas tecnologías y características innovadoras. Sin embargo, aún está por verse la adopción de estas funciones por parte de los usuarios, ya que actualmente se encuentran en un proceso de aceptación. La clave será facilitar la habilitación de estas funciones y garantizar que los clientes las utilicen correctamente. Por ejemplo, los códigos QR secretos sólo son efectivos si se almacenan de forma segura en otro dispositivo.
De cualquier manera, en la lucha contra el fraude, las instituciones financieras deben innovar y probar continuamente nuevos mecanismos de seguridad para estar un paso por delante de los estafadores y garantizar la seguridad y confianza de sus clientes.
