¿Por qué un KYC no es suficiente para detener el fraude?
Nuestro equipo de análisis de datos llevó a cabo una investigación para determinar la efectividad de los métodos comúnmente utilizados en la prevención del fraude.
¿Por qué un KYC no es suficiente para detener el fraude?
Los métodos tradicionales de detección de fraude
Los sistemas de verificación de identidad en el mercado tienen diferentes características, funcionalidades y precios. Existe una amplia variedad de empresas que ofrecen servicios de Conozca a Su Cliente (KYC), que van desde nuevos jugadores en el mercado hasta marcas consolidadas con cientos de clientes.
Cada una de ellas protege a sus clientes a través de diferentes funcionalidades, la más común es realizar un proceso de coincidencia de rostros a partir de un selfie contra la identificación del cliente final. Sin embargo, esto plantea algunas preguntas que afectan la integridad de un negocio:
¿Qué pasa si el cliente no es quien dice ser? ¿Qué pasa si la identificación es falsa y mi proveedor no la detecta? o, ¿Cómo saber si el aplicante ha cometido fraude en otras empresas o en la mía?
Para responder esta y más preguntas hemos realizado una investigación que contiene los principales hallazgos partiendo de datos generados por nuestro Buró de Fraude Digital.
¿Qué tan bien se desempeñan los métodos tradicionales?
Una práctica común en el sector financiero para detectar fraudes durante los procesos de 'onboarding' es el uso de elementos como la dirección IP, el número de teléfono o el correo electrónico. Estos puntos de datos se analizan para determinar si existen indicios de que el solicitante intenta cometer un fraude contra la empresa. Al utilizar el número de teléfono y el correo electrónico, se intenta identificar si fueron creados poco antes de la solicitud de crédito o estuvieron relacionados a algún otro fraude registrado en la Institución. En cuanto al uso de VPN, proxy o nodo de Tor, estos sirven para identificar partes de la huella digital, lo que permite obtener un contexto más amplio sobre si la persona está ocultando su identidad en línea.
¿Pero qué tan efectivos son estos mecanismos para combatir el fraude?
Realizamos un sampleo aleatorio de los más de 9 millones de identidades digitales que componen la red de Trully y encontramos lo siguiente:
- Solo el 1.20% de los defraudadores emplean correos electronicos temporales o invalidos
- Asimismo, apenas el 1.10% de los defraudadores identificados en nuestro estudio utilizaban VPNs, proxies o nodos de Tor para ocultar su identidad en línea.
Estos hallazgos sugieren que la mayoría de los defraudadores no dependen de estas tácticas para realizar actividades fraudulentas. Por lo tanto, se plantea que la verificación del estado del correo electrónico y la detección del uso de VPNs, aunque comunes, pueden no ser suficientemente efectivas para identificar usuarios fraudulentos en procesos de 'onboarding'.
Otro análisis común para detectar fraude es identificar si una dirección de correo electrónico contiene una proporción mayor de números en comparación con letras. Esto, supone que, una dirección escrita de la siguiente forma; “Alberto.ramirez@gmail.com” tiene menor probabilidad de ser fraudulenta que escrita así; “Alberto3345285383@gmail.com”. Sin embargo, solo el 5.62% de los defraudadores fueron detenidos utilizando este método. Lo anterior subraya la relevancia de usar estos métodos para descubrir fraudes en un proceso de 'onboarding'.
Es habitual que los equipos de prevención de fraude se enfoquen en características tradicionales del correo electrónico como la fecha de creación, su relación con actividades fraudulentas previas y si ha estado involucrado en alguna filtración de datos.
Sin embargo, nuestra investigación muestra una clara tendencia vinculante al uso de redes sociales.
Apenas el 35.6% de los defraudadores utilizan correos electrónicos que tienen al menos una red social asociada.
Mientras que en el caso de usuarios no fraudulentos este porcentaje asciende al 83.7%. Esto sugiere que la mayoría de los usuarios fidedignos, proporciona correos electrónicos cuya presencia digital es amplia, y por lo tanto tienen redes sociales asociadas.
Por lo tanto, se puede concluir que un análisis de la huella digital de los aplicantes, especialmente en lo que respecta a sus conexiones de redes sociales, puede ser una práctica efectiva para detectar posibles fraudes.
Una verificación más avanzada en la que se utilizan biométricos, consiste en detectar diferencias, ya sea en género o físicas, entre la fotografía selfie proporcionada y la imagen del documento de identificación del cliente. Este método busca utilizar dichas diferencias para determinar si alguien está suplantando la identidad de otra persona. Según nuestra investigación, de los defraudadores identificados:
Tan solo el 11.8% presentaba una discrepancia en el genero del INE
En cuanto a aquellos usuarios que entregaron una selfie diferente a la fotografía de su identificación, el porcentaje era solo del 11.95%.
Esto reafirma que la confianza exclusiva en métodos basados en discrepancias de género o diferencias fotográficas para la detección de fraude resulta en un porcentaje de identificación significativamente menor en comparación con otros métodos más avanzados.
Por último, otro método tradicional es verificar la validez de la CURP o el RFC ante instituciones gubernamentales. Esto es para determinar si parte de la información proporcionada es falsa o inexistente y detener posibles identidades sintéticas. Según nuestro análisis, de los defraudadores confirmados.
Tan solo el 35.6% utilizó una CURP o RFC falsos.
Estos métodos tradicionales, a primera vista, parecen ser efectivos, ya que aparentemente combaten el fraude de manera lógica y directa. Sin embargo, como podemos observar, la detección del fraude en procesos de 'onboarding' es mucho más compleja de lo que parece. Es crucial recalcar que, aunque la suma de estos métodos convencionales puede incrementar la precisión de los modelos, no son suficientes para detener las altas tasas de fraude que enfrentan las empresas en México.
Los métodos convencionales utilizados para combatir el fraude en procesos de 'onboarding' son insuficientes para su detección y prevención
Es crucial implementar nuevos métodos que vayan más allá de la información convencional recopilada durante un proceso de 'onboarding'. De esta manera, se permitirá a las empresas otorgar créditos de forma segura, permitiendo así mejores oportunidades financieras para la población en general y reduciendo el riesgo que esto conlleva.
Conclusión:
Si las empresas confían únicamente en herramientas de detección de fraude que se enfocan en VPNs, Nodos de Tor o la temporalidad de los correos electrónicos, estarían ignorando al 98.8% de los defraudadores. Incluso con una verificación de CURP o RFC, solo se detendría al 35.6% de los defraudadores, dejando pasar al 64.4% restante.
Nuestra investigación concluye que, aunque estos métodos 'tradicionales' son comunes en la industria y pueden detener una parte del fraude, no son completamente eficientes. Por ello, el Buró de Fraude Digital se destaca como una herramienta efectiva, ya que utiliza la biometría para identificar si el usuario que intenta acceder a tus servicios ha sido previamente implicado en fraude en otra institución.
Si quieres leer la investigación completa con más datos sobre el comportamiento de los defraudadores, podrás consultar el pdf completo aquí.
Encuentra respuestas a preguntas como lo son: ¿con cuántas identidades falsas hemos encontrado a un mismo defraudador? ¿hasta cuantas empresas llega a defraudar un mismo defraudador? ¿cuántas granjas de dispositivos hemos encontrado en el 2023?
Leer Una Mirada al Fraude 2023
