El fraude cuesta a las empresas algo más que la pérdida de mercancía. De hecho, cada 1,00 $ de fraude de pago en los servicios financieros de EE. UU. cuesta una media de 5,75 $. Los costes tienen varias capas: los contracargos erosionan los márgenes y las investigaciones de fraude consumen el tiempo del personal. Los gastos generales de la gestión del fraude pueden limitar severamente el crecimiento. Un marco de gestión de riesgos de fraude te ofrece una forma estructurada de minimizar estos costes. Te permite comprender tu exposición, priorizar los riesgos más importantes e implementar controles que se mantengan a medida que cambian los patrones de ataque.

A continuación, analizaremos qué es la gestión de riesgos de fraude, cómo funciona el ciclo de cuatro fases en la práctica y cómo crear un marco que se adapte a tu empresa.

Destacados

• La gestión de riesgos de fraude suele seguir un ciclo de identificación, evaluación, mitigación y monitorización continua.

• Los tipos de fraude que suelen afectar más a las empresas online (el fraude de tarjeta no presente (CNP), la apropiación de cuenta y el fraude amistoso) explotan las lagunas que dejan las transacciones digitales remotas.

• Una política de gestión de riesgos de fraude solo funciona si incluye una propiedad explícita, un apetito de riesgo definido y una cadencia de revisión incorporada desde el principio.

¿Qué es la gestión de riesgos de fraude?

La gestión de riesgos de fraude es el proceso de identificar, evaluar y responder a las formas en que tu empresa podría ser explotada con fines de lucro. Se distingue de la gestión de riesgos general en un aspecto importante: el fraude implica intención. Te proteges contra el comportamiento de personas que intentan activamente eludir tus controles.

¿Cómo funciona la gestión de riesgos de fraude?

El ciclo de gestión de riesgos de fraude tiene cuatro fases: identificación, evaluación, mitigación y monitorización continua. Cada una se basa en la anterior.

Identificación de riesgos de fraude

Comienza con tu superficie de ataque: cómo es tu flujo de transacciones, dónde interactúan los humanos con él y dónde está automatizado. Las empresas con grandes volúmenes de transacciones CNP se enfrentan a vectores de ataque diferentes a los de las que aceptan pagos en persona. Los datos históricos de fraude son un punto de partida, pero solo te informan sobre el fraude que ya has visto. El análisis de patrones y el mapeo del modelo de negocio ayudan a revelar las vulnerabilidades antes de que se exploten.

Evaluación de riesgos de fraude

No todos los riesgos de fraude son iguales, y no puedes tratarlos de esa manera. Puntúa cada riesgo en dos ejes: probabilidad e impacto. La probabilidad refleja la frecuencia con la que se produce un tipo de fraude en empresas como la tuya. Por ejemplo, el fraude CNP es común en el comercio electrónico, mientras que el uso indebido de primera parte es más frecuente en los productos de préstamo y suscripción. El impacto cubre las pérdidas financieras, las comisiones por contracargo, los costes de corrección y el deterioro de la experiencia del cliente. Los riesgos de alta probabilidad y alto impacto deben recibir atención inmediata y controles dedicados.

Mitigación de riesgos de fraude

La mitigación traduce tu evaluación en controles a través de tres capas. Los controles preventivos detienen el fraude antes de que ocurra. Los controles detectivos detectan el fraude en curso o poco después. Los procedimientos de respuesta definen lo que sucede después de que se confirma el fraude, como la suspensión de la cuenta, la recopilación de pruebas para disputas y el escalamiento a las fuerzas del orden, si está justificado. Depender solo de la prevención puede dejarte sin preparación cuando aparece un nuevo vector de ataque.

Monitorización y revisión continuas

Los patrones de fraude cambian y los controles que funcionaban hace seis meses pueden no funcionar hoy. Los actores fraudulentos comparten técnicas, las nuevas funciones de los productos crean nuevas vulnerabilidades y los vectores de ataque se desarrollan más rápido de lo que pueden rastrear los ciclos de revisión anuales. Las revisiones trimestrales son una base razonable, con revisiones ad hoc provocadas por cambios importantes en las tasas de contracargo, lanzamientos de nuevos productos o incidentes de fraude confirmados.

¿Cómo se realiza una evaluación de riesgos de fraude?

Una evaluación de riesgos de fraude es una auditoría estructurada de tu exposición. Estos son los pasos que se incluyen:

• Define tu alcance: decide si vas a evaluar toda tu empresa, una línea de productos específica o un tipo de transacción en particular. El alcance determina lo que incluyes en tu inventario de activos y quién debe participar.

• Crea un mapa de transacciones: documenta cada punto de tu flujo de transacciones en el que podría producirse un fraude. En una empresa de comercio electrónico, esto incluye el proceso de compra, la creación de la cuenta, el almacenamiento de los métodos de pago, los reembolsos y las disputas. Cada uno es una posible superficie de ataque.

• Identifica situaciones de fraude: en cada punto de contacto, pregúntate qué podría hacer un actor fraudulento (p. ej., prueba de tarjetas en el proceso de compra, apropiación de cuenta en el inicio de sesión o fraude amistoso en la fase de disputa) y qué ganaría con ello. Especificar la situación hace que sea mucho más fácil de evaluar y mitigar.

• Puntúa la probabilidad y el impacto: utiliza los datos históricos, las referencias del sector y los aportes de tu proveedor de servicios de pago. Las puntuaciones de probabilidad deben reflejar tu volumen de transacciones real y el perfil del cliente, no las medias genéricas del sector. Las puntuaciones de impacto deben tener en cuenta la pérdida financiera directa, las comisiones por contracargo, los costes de corrección y el deterioro de la experiencia del cliente.

• Prioriza y asigna la propiedad: los riesgos de alta prioridad necesitan que una persona o un equipo específicos sean responsables del control. Sin un responsable, los controles no se implementan y no se realizan revisiones.

• Documenta y establece una fecha de revisión: el resultado de una evaluación de riesgos de fraude es un documento vivo y necesita tener asignada una cadencia de revisión desde el principio.

¿Qué riesgos de fraude son más importantes para el comercio electrónico y las plataformas financieras?

Los tipos de fraude que suelen afectar más a las empresas online explotan la falta de verificación física. Son los siguientes:

Fraude CNP

El fraude CNP se produce cuando se utilizan credenciales de tarjeta robadas o vulneradas para realizar compras en cualquier canal en el que la tarjeta no esté físicamente presente: procesos de compra online, pedidos por teléfono, facturación recurrente y compras en aplicaciones. La tarjeta en sí nunca cambia de manos, lo que dificulta su detección sin una verificación por capas. Las tasas de fraude CNP suelen alcanzar su punto máximo después de grandes filtraciones de datos, cuando entran nuevos conjuntos de credenciales en los mercados de la web oscura.

Fraude por usurpación de cuentas

El relleno de credenciales (ataques automatizados que prueban combinaciones robadas de nombre de usuario y contraseña en muchos sitios) es barato de ejecutar, lo que ha convertido el fraude de apropiación de cuenta en una amenaza común. Los actores fraudulentos utilizan combinaciones filtradas de nombre de usuario y contraseña para acceder a las cuentas de los clientes, y luego cambian las direcciones de envío, añaden nuevos métodos de pago o vacían el valor almacenado. Es especialmente perjudicial porque erosiona la confianza del cliente incluso cuando la empresa responde correctamente.

Fraude no malintencionado

El fraude amistoso, también llamado fraude de contracargo (y a veces agrupado en la categoría más amplia de fraude de primera parte), se produce cuando un titular de la tarjeta legítimo realiza una compra y luego disputa el cargo con su banco. Afirma que nunca recibió los bienes o que no autorizó la transacción. Las tasas de disputa superiores a aproximadamente el 1 % del volumen de transacciones son una señal de advertencia común, aunque los umbrales varían según el proveedor de servicios de pago y la categoría de la empresa.

Abuso de políticas

A medio camino entre el fraude y el comportamiento legítimo del cliente, el abuso de políticas incluye el fraude de reembolso, la acumulación de códigos promocionales y el abuso de referidos. No siempre es obra de delincuentes organizados. A veces, son clientes comunes que se aprovechan de las lagunas de tus políticas. El impacto financiero es real en cualquier caso, y los controles pertinentes coinciden con la prevención de fraude de pagos.

¿Cómo se conecta un marco de gestión de riesgos de fraude con las herramientas que utilizas a diario?

Un marco de gestión de riesgos de fraude sin ejecución es solo documentación. La traducción de la estrategia a la prevención de fraude del día a día se produce a través de tres categorías de herramientas:

• Motores de reglas: son controles basados en lógica que te permiten bloquear transacciones por encima de un determinado valor de cuentas nuevas, marcar pedidos en los que los países de facturación y envío no coinciden, o requerir una verificación adicional para las categorías de productos de alto riesgo. Las reglas son rápidas y transparentes, pero estáticas. El fraude sofisticado se adapta rápidamente a las reglas conocidas, por lo que los sistemas basados en reglas por sí solos no son suficientes.

• Modelos de machine learning: analizan las transacciones en función de conjuntos de funciones mucho más grandes de los que cualquier motor de reglas podría gestionar manualmente. Un modelo bien entrenado puede ponderar cientos de variables simultáneamente y generar una puntuación de riesgo en milisegundos. La desventaja es la opacidad, ya que los modelos de machine learning no siempre te dan una explicación clara de por qué una transacción resultó sospechosa, lo que puede complicar la resolución de disputas y el servicio de atención al cliente.

• Sistemas de monitorización y alertas: estos cierran el ciclo. Los paneles de control en tiempo real, las integraciones de alertas de contracargos y los informes automatizados te informan cuando algo está cambiando. Sin monitorización, no podrás detectar vulnerabilidades entre los ciclos de revisión.

Stripe Radar reúne las tres capas dentro de la infraestructura de pagos de Stripe. El modelo de machine learning de Radar se entrena con datos de transacciones de toda la red de Stripe, lo que significa que se beneficia de señales que tu empresa por sí sola no podría generar. Puedes superponer tus propias reglas personalizadas y exigir 3D Secure para ciertos tipos de transacciones o añadir fricción a los pedidos que coinciden con patrones de fraude conocidos. La inteligencia a nivel de red y las reglas específicas de la empresa funcionan en combinación en lugar de de forma aislada.

¿Cómo se crea una política de gestión de riesgos de fraude para tu empresa?

Una política de gestión de riesgos de fraude formaliza tu marco. Define qué proteges, quién es responsable de protegerlo y qué ocurre cuando algo sale mal.

A continuación se muestra paso a paso cómo crear esa política:

• Define el alcance y los objetivos de la política: sé específico. «Mantenerse por debajo de los umbrales de fraude y disputas estándar del sector» es un objetivo útil. «Reducir el fraude» no lo es.

• Elabora una declaración explícita de apetito de riesgo: esto ayuda a tu equipo a tomar decisiones coherentes. «Aceptamos una tasa de fraude de como máximo el 0,1 % en transacciones con tarjeta antes de escalar los controles» es una afirmación clara. «Nos tomamos en serio el fraude» no lo es.

• Enumera los controles específicos que has implementado: incluye lo que están diseñados para prevenir y a quién pertenecen. No es necesario que sea exhaustivo, pero debe ser lo suficientemente específico para que un nuevo miembro del equipo pueda entender tu postura de prevención al leerlo.

• Establece procedimientos de escalamiento: define qué desencadena un escalamiento, a quién se notifica cuando se superan los umbrales de fraude y cuál es la línea temporal de respuesta para los incidentes confirmados. Estos procedimientos son más importantes cuando las cosas se mueven rápido y no hay tiempo para aprender el proceso desde cero.

• Establece tu cadencia de revisión: ¿cuándo se revisa la política y qué provoca una revisión fuera de ciclo? Define esto de antemano o podría no suceder.

Cómo puede ayudarte Stripe Radar

Stripe Radar utiliza modelos de IA, entrenados a partir de los datos de la red internacional de Stripe, para detectar y prevenir el fraude. Estos modelos se actualizan continuamente con las últimas tendencias de fraude para proteger a tu empresa frente a nuevas amenazas.

Stripe también ofrece Radar for Fraud Teams que permite a los usuarios añadir reglas personalizadas para hacer frente a situaciones de fraude específicas de sus empresas y acceder a información avanzada sobre fraudes.

Estos son algunos de los beneficios de trabajar con Radar:

• Prevenir pérdidas por fraude: Stripe procesa más de un billón de dólares en pagos al año. Esta escala permite a Radar detectar y prevenir el fraude con precisión, lo que te ahorra dinero.

• Aumenta los ingresos: los modelos de IA de Radar se entrenan con datos reales sobre disputas, información de clientes, datos de navegación y mucho más. Esto permite a Radar identificar transacciones de riesgo y reducir los falsos positivos, lo que aumenta tus ingresos.

• Ahorra tiempo: Radar está integrado en Stripe y no requiere ninguna línea de código para su configuración. También puedes supervisar tu rendimiento en materia de fraude, escribir reglas y mucho más en una única plataforma, lo que aumenta la eficiencia.

Obtén más información sobre Stripe Radar o empieza hoy mismo.