El fraude entra por el mismo formulario que un cliente.

Qué exige la prevención de fraude en Argentina

Empecemos por lo que no existe: no hay en Argentina un régimen único que diga "previene el fraude de identidad así". La obligación llega por tres caminos separados, y cada uno mira una parte distinta del problema.

• Por el régimen de prevención de lavado. La UIF exige identificar y conocer al cliente antes de que opere y monitorear después. Una identidad falsa aceptada en el alta rompe todo lo que viene después, así que el control de suplantación es, en los hechos, una condición del régimen aunque no se nombre como tal.
• Por la regulación de canales electrónicos. Para las entidades financieras, el BCRA regula cómo operan sus canales digitales, incluida la vinculación a distancia y la seguridad de los accesos.
• Por el régimen de protección de datos personales. Impone medidas de seguridad proporcionales sobre los datos tratados. Un fraude de identidad casi siempre es también un incidente de datos.

A eso se suma la vía penal, que castiga la conducta después de ocurrida y no ayuda a prevenirla.

La consecuencia práctica de que la exigencia esté repartida es que nadie recibe una lista de controles a implementar. Cada sujeto obligado tiene que derivar sus propios controles del riesgo que declaró, y después poder explicar por qué eligió esos. Es el mismo enfoque basado en riesgo del resto del régimen, aplicado a un problema que se mueve más rápido que las normas.

El fraude de identidad aparece en dos momentos, y son problemas distintos:

• En el alta. Alguien se registra usando la identidad de otra persona, o una identidad sintética armada mezclando datos reales con datos inventados. La cuenta nace fraudulenta y ningún monitoreo posterior la va a marcar como anómala, porque se comporta como se diseñó para comportarse.
• En el acceso. Alguien toma el control de una cuenta legítima que ya existe, por robo de credenciales, por engaño al titular o por captura de su número de teléfono.

Qué automatiza VU en la prevención de fraude

VU trabaja sobre el fraude de identidad, que es una parte del fraude y no todo el fraude. La distinción define bien qué cubre.

• Control de presencia en la captura — la prueba de vida, que impide que una foto, un video o un rostro generado pase por una persona. Es el control con evidencia independiente: está certificado por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3 para los ataques de presentación.
• Verificación del documento — para que una identidad armada sobre un documento alterado no entre.
• Reconocimiento de dispositivo — señales del navegador y del teléfono que permiten ver cuando el mismo equipo aparece detrás de muchas altas distintas.
• Autenticación fuerte en el acceso — varios factores disponibles para el momento del ingreso y de la recuperación, que es donde se concentra la toma de cuentas.
• Orquestación de los controles — correr las comprobaciones antes, durante o después de una acción, en serie o en paralelo, con reintentos y tiempos de espera definidos.

Y lo que VU no hace, que en este tema es la mitad de la conversación:

• No hace monitoreo transaccional. Detectar una operación anómala por su monto, su destino o su frecuencia es un control sobre datos de negocio que vive en los sistemas del sujeto obligado.
• No es un motor de reglas de fraude con tarjetas ni de scoring de pagos. Es una categoría vecina y distinta.
• No decide bloqueos por su cuenta. Produce señales y evidencia; qué se bloquea, qué se deriva a revisión y qué se deja pasar es política de riesgo.
• No resuelve el fraude de primera parte. Cuando el titular real es quien miente, la identidad está bien verificada y el problema es otro. Tiene su propia página.
• Los ataques de inyección son una categoría aparte. Un video sintético insertado directamente en el canal, sin pasar por la cámara, no es un ataque de presentación, así que el ensayo independiente descrito arriba no dice nada sobre él. Detenerlo exige controles de integridad del canal de captura, que son otro trabajo.

Casos de uso en Argentina

Dónde aparece este problema en la operación real del mercado argentino.

• Altas masivas en billeteras y plataformas de apuestas. Productos con alta velocidad de registro y bajo umbral de entrada, que atraen registros automatizados y cuentas creadas para ser usadas por terceros.

• Cuentas creadas para mover dinero de otro. El alta se hace con una identidad real, a veces del propio titular que la cede, y la cuenta funciona como eslabón de una cadena.

• Identidades sintéticas que maduran. Un perfil armado con datos parcialmente reales que opera con normalidad durante meses antes de usarse, y que ningún monitoreo marca porque no hay una víctima que reclame.

• Recuperación de acceso como puerta de entrada. El punto donde un atacante que ya conoce los datos de la víctima intenta reemplazar el factor de autenticación, y el que menos atención de diseño suele recibir.

• Datos personales filtrados en circulación. Números de documento, fotos de DNI y datos de contacto disponibles en volumen, que vuelven inútil cualquier control basado en conocer un dato.

• Suplantación asistida por herramientas de generación. Rostros y documentos sintéticos que ya no exigen equipo especializado, y que suben el piso de lo que un control tiene que resistir.