Fraude de primera parte

Qué es el fraude de primera parte

El fraude de primera parte ocurre cuando quien defrauda es el titular legítimo de la cuenta, el producto o el medio de pago. No hay suplantación, no hay credenciales robadas y no hay un tercero involucrado: la persona que ejecuta la operación es exactamente quien el sistema cree que es, y después niega haberla realizado o incumple deliberadamente lo que asumió.

La forma más frecuente es el desconocimiento de una compra que sí se hizo. También entran el incumplimiento del primer pago de un crédito solicitado sin intención de pagarlo, la declaración falsa de que un producto no llegó, el abuso sistemático de una política de devoluciones y la exageración de un reclamo real.

El nombre viene del lugar que ocupa en la operación: la primera parte es el propio cliente, en oposición a un tercero que ataca desde afuera.

No es un problema de verificación de identidad, y conviene decirlo

Es la afirmación más importante de esta página. La verificación de identidad funcionó. El titular es real, el documento es válido, el rostro corresponde, la autenticación fue exitosa. Ningún control de identidad podía impedir esta operación porque no hay nada anómalo que detectar: la persona correcta hizo lo que quiso hacer.

Esto lo separa de casi todos los demás tipos de fraude del catálogo. Un deepfake, una identidad sintética o un ataque de inyección de video atacan la pregunta de quién está del otro lado. El fraude de primera parte no ataca esa pregunta: la responde correctamente y defrauda igual.

Lo que sí cambia una verificación fuerte es la posición de la organización cuando el caso se discute. Esa distinción, entre prevenir y probar, es lo que ordena el resto de la página.

Cómo corre el caso, paso a paso

La secuencia no tiene sofisticación técnica. Su eficacia está en cómo se distribuye la carga de la prueba.

1. La operación real. El titular compra, transfiere, solicita el crédito o contrata el servicio, con sus credenciales, su dispositivo habitual y su comportamiento de siempre. No hay señal de riesgo que levantar, porque no hay nada irregular.
2. La entrega. Recibe el bien, consume el servicio, dispone del dinero o usa la línea de crédito.
3. El desconocimiento. Declara ante el emisor, el comercio o la entidad que la operación no fue autorizada, que el producto nunca llegó, o que el servicio no se prestó.
4. La disputa. Se abre el contracargo o el reclamo formal. En la mayoría de los esquemas de medios de pago y en buena parte de la normativa de protección al consumidor de la región, la carga de la prueba recae sobre el comercio o la entidad, no sobre quien reclama.
5. La revisión de la evidencia. La organización busca qué guardó del momento de la operación. Si tiene un registro de sesión y una dirección IP, tiene poco. Si tiene un elemento que asocia la operación con la persona, tiene un caso.

El paso 5 es el único donde la organización tiene margen de decisión, y se define antes: en qué evidencia decidió conservar cuando diseñó el flujo, meses antes de que apareciera la disputa.

Las variantes que se confunden entre sí

Agruparlas bajo la misma etiqueta lleva a medir mal el problema, porque cada una se contiene en un lugar distinto de la organización.

• Desconocimiento de compra — la variante clásica, conocida también como fraude amistoso. Se discute en el circuito de contracargos del medio de pago.
• Incumplimiento intencional del primer pago — un crédito solicitado sin intención de pagarlo, que en la cartera aparece como mora temprana y se contiene con modelos de originación.
• Abuso de política de devoluciones o de reembolsos — dentro de las reglas del comercio, repetido hasta volverse el modelo de uso de esa cuenta. Es una decisión de política comercial antes que un control de fraude.
• Reclamo exagerado — un incidente real cuyo alcance se infla. Es el más difícil de calificar y el que más criterio humano requiere.
• Bust-out — el caso extremo: meses de buen comportamiento para agotar todo el crédito disponible a la vez y desaparecer. Comparte la lógica del titular que defrauda, con la diferencia de que la identidad detrás suele ser fabricada.

Una parte de estos casos no es fraude. Hay desconocimientos de buena fe por compras de un familiar, cargos recurrentes olvidados y descripciones de comercio irreconocibles en el resumen. Tratar todo el volumen como fraude deliberado produce fricción sobre clientes legítimos, y ese costo raramente se mide.

A quién afecta y qué cuesta

• Comercio electrónico — es el punto de mayor exposición. El comercio pierde el producto, el importe y la comisión, y suma el costo administrativo de disputar. En casos repetidos, además, el impacto sobre su ratio de contracargos afecta su relación con el adquirente.
• Servicios financieros y emisores de tarjeta — absorben la disputa y el proceso, y arbitran entre su cliente y el comercio.
• Crédito al consumo y financiación — el incumplimiento intencional se mezcla con la mora genuina, y separarlos define si el problema se lleva a riesgo crediticio o a fraude.
• Plataformas de servicios y suscripciones — el consumo ya ocurrió y no se puede revertir, lo que deja al reembolso como única variable.

El costo menos visible es organizativo: el fraude de primera parte suele quedar en tierra de nadie entre el equipo de fraude, el de riesgo crediticio y el de atención al cliente. Sin dueño, no se mide, y sin medición no aparece en ninguna decisión de producto.

Qué controles lo contienen

Ninguno es un control de identidad, y varios no son controles de software. Nombrarlos completos es lo que hace útil la lista.

• Analítica de comportamiento del titular — frecuencia de reclamos, historial de disputas, relación entre el desconocimiento y el patrón de uso de esa cuenta. Es el control central y es un problema de datos propios, no de proveedor.
• Evidencia de entrega y de consumo — comprobante de despacho, confirmación de recepción, registros de uso del servicio. Es lo que el circuito de contracargos evalúa primero.
• Reglas de disputa y respuesta al contracargo — conocer los plazos, los códigos de motivo y la documentación que cada esquema acepta. Muchos casos se pierden por procedimiento, no por falta de evidencia.
• Modelos de originación y límites iniciales — para la variante crediticia, el control ocurre antes de otorgar, no después de incumplir.
• Política comercial explícita — condiciones de devolución, límites de reembolso y comunicación clara del cargo en el resumen. Reducen tanto el abuso como el desconocimiento de buena fe.
• Descripción reconocible del comercio en el estado de cuenta — el control más simple del listado, y resuelve una fracción real de los desconocimientos que no son fraude.
• Autenticación reforzada en la operación — un desafío biométrico o un segundo factor en el momento de la compra o de la firma. No impide que el titular opere, porque el titular sí es el titular. Lo que hace es dejar constancia.
• Registro y conservación de la evidencia de la operación — qué se guarda, por cuánto tiempo y en qué formato admisible. Es una decisión de arquitectura previa a cualquier disputa.

Dónde una verificación fuerte sí aporta

El aporte es probatorio y vale la pena precisarlo, porque es la única conexión honesta entre este fraude y una plataforma de identidad.

Cuando una operación de riesgo se confirma con un desafío biométrico, la organización deja de tener solo un registro de sesión y pasa a tener un elemento asociado a la persona: en ese momento, ese dispositivo, esa operación. Frente a un desconocimiento, la diferencia entre "la sesión estaba iniciada" y "la persona confirmó la operación con su rostro" es la diferencia entre una presunción y una prueba.

Dos límites que corresponde marcar. La evidencia demuestra quién ejecutó la operación, no con qué intención, y hay reclamos legítimos donde el titular efectivamente operó. Y en varios mercados de la región la normativa de protección al consumidor asigna la carga de la prueba a la entidad con independencia de la evidencia técnica que tenga; la evidencia mejora su posición, no invierte la regla.

Cómo lo aborda VU

VU no previene el fraude de primera parte, y ninguna plataforma de identidad lo hace. Lo que aporta es evidencia del momento de la operación.

Autentica confirma operaciones de riesgo con un desafío biométrico en lugar de una contraseña o un código, y ese registro asocia la operación con la persona y no solo con el dispositivo o la sesión. Es el material con el que se responde una disputa.