Análisis de fraude: guía práctica de técnicas, señales de datos y KPI

El análisis de fraude (fraud analytics) es la forma en que los equipos de riesgo convierten datos de solicitudes, transacciones y dispositivos en reglas, scores y segmentos, y comprueban si esas decisiones se sostienen una vez que los préstamos, los pagos y las cuentas muestran sus resultados. Esta guía explica las técnicas principales, los datos que las alimentan y los KPI que muestran si una estrategia antifraude está funcionando.

¿Qué es el análisis de fraude?

En la práctica, el análisis de fraude se ubica entre los datos en bruto y el motor de decisiones. Los analistas definen qué cuenta como un resultado negativo, identifican las variables que separan los casos buenos de los malos y las convierten en reglas, scores o segmentos que el motor de decisiones aplica en tiempo real.

Análisis de fraude vs. detección de fraude

La detección de fraude es la decisión sobre un evento individual: aprobar, rechazar o enviar a revisión. El análisis de fraude es el trabajo alrededor de esas decisiones: construir modelos, definir umbrales y medir resultados a lo largo del tiempo. Un equipo puede operar la detección con las reglas predeterminadas de un proveedor, pero sin análisis tiene pocas formas de saber si esas reglas siguen ajustándose a su propio flujo. El monitoreo continuo del fraude conecta ambos: aplica las decisiones de detección en tiempo real y retroalimenta el análisis con sus resultados.

Cinco técnicas clave de análisis de fraude

La mayoría de los programas combinan varias técnicas, y cada una responde a una pregunta distinta sobre el mismo flujo.

1. Análisis descriptivo

El análisis descriptivo muestra lo que ocurrió: tasas de fraude por canal, producto, región y período, montos de pérdida y volumen de casos. Establece la línea base con la que se miden todas las demás técnicas y suele ser el primer lugar donde un nuevo ataque aparece como un cambio en las cifras.

2. Análisis predictivo

El análisis predictivo de fraude usa resultados históricos – fraude confirmado, contracargos, incumplimiento en el primer pago – para entrenar modelos que asignan un score a nuevas solicitudes o transacciones antes de tomar una decisión. La regresión logística y los modelos de gradient boosting son opciones habituales. En la práctica, la calidad de las etiquetas de resultado suele limitar un modelo más que la elección del algoritmo, un punto que tratamos con más detalle en nuestra guía de modelado de riesgo crediticio para prestamistas digitales.

3. Detección de anomalías y patrones

Los métodos no supervisados señalan casos que se desvían del comportamiento normal sin necesitar ejemplos de fraude etiquetados. Por eso son útiles para nuevos tipos de ataque que las etiquetas históricas todavía no contienen. Los controles de velocidad – solicitudes por dispositivo, por dirección IP o por hora – son la forma más simple y un punto de partida habitual para programas nuevos.

4. Análisis de redes y vínculos

Los métodos de grafos conectan solicitudes a través de dispositivos, números de teléfono, direcciones o instrumentos de pago compartidos. Así salen a la luz redes de fraude e identidades sintéticas que pueden parecer limpias cuando cada solicitud se evalúa por separado.

Las granjas de fraude y los ataques distribuidos son difíciles de detectar solicitud por solicitud. Para detectarlos hay que evaluar cómo se conectan las sesiones, los dispositivos y otras entidades. Nuestro blog sobre un enfoque generalizado basado en grafos de clústeres para el scoring antifraude y la autenticación de dispositivos explica cómo las señales a nivel de clúster pueden apoyar investigaciones, un filtrado más estricto durante un ataque activo, el refuerzo del scoring, el bloqueo de granjas de fraude y la alerta temprana. También recomienda tratar las señales de clúster como contexto de riesgo y no como motivo automático de rechazo, con umbrales definidos por separado para cada tipo de negocio.

5. Reglas y marcadores de bloqueo

Los analistas convierten sus hallazgos en reglas explícitas. Los marcadores de bloqueo (stop-markers) rechazan un segmento acotado y de muy alto riesgo o lo envían a revisión manual. Las reglas se implementan rápido y son fáciles de explicar a los auditores, pero necesitan revisiones periódicas a medida que cambian los patrones de fraude.

No existe un umbral único para decidir cuándo una regla se ha vuelto demasiado amplia, y la práctica varía según el producto y el apetito de riesgo. Algunas señales habituales para revisarla son que la regla se active en una proporción del flujo notablemente mayor que cuando se definió, que aumente la proporción de casos marcados que resultan legítimos o que la cola de revisión crezca más rápido de lo que el equipo puede atenderla. Muchos equipos también revisan sus reglas con una periodicidad fija, sin esperar a que aparezca alguna de estas señales.

Los datos que alimentan el análisis de fraude

Las técnicas son tan útiles como sus datos de entrada. La mayoría de los programas combinan, en distinta medida, las cuatro familias de datos que se describen a continuación, y cada una suele reflejar una etapa distinta del recorrido del cliente.

Datos de solicitud e identidad

Datos declarados, resultados de KYC, verificación de documentos y datos de buró de crédito. Los datos de buró siguen siendo la base de la mayoría de las decisiones de crédito. Para solicitantes con poco o ningún historial crediticio su cobertura es limitada, y ahí es donde las demás familias de datos pueden aportar mayor capacidad de separación.

Datos de transacciones y pagos

Montos, frecuencia, comercio, método de pago y tiempo entre eventos. Este es el núcleo del análisis de fraude en pagos, donde los modelos asignan un score a cada transacción en milisegundos y los contracargos proporcionan las etiquetas de resultado. Nuestros artículos sobre detección de fraude en transacciones y prevención de fraude en pagos cubren esta capa en detalle.

Datos de dispositivo, comportamiento y conexión

Estas señales describen cómo se envía una solicitud o se inicia una transacción: configuración del dispositivo, indicios de emuladores o máquinas virtuales, patrones de escritura y navegación, atributos de IP y de red. Están disponibles desde el primer punto de contacto, antes de que exista un historial de pagos. Servicios de inteligencia de dispositivos como JuicyScore recopilan más de 65,000 parámetros de cada dispositivo, sin depender de identificadores directos como nombre, teléfono o correo electrónico. Para profundizar en las señales de comportamiento, consulte nuestra introducción a la biometría conductual y nuestra revisión de herramientas de análisis de comportamiento para la prevención del fraude.

Datos de resultados

Casos de fraude confirmados, contracargos, incumplimiento en el primer pago (FPD) y NPL90. Sin etiquetas de resultado consistentes, ningún modelo se puede entrenar ni validar, así que la forma de definir los resultados es en sí misma una decisión analítica. Esto es especialmente relevante en el fraude de primera parte, donde la intención solo puede inferirse a partir de indicios y no establecerse con certeza.

Indicadores (KPI) del análisis de fraude: cómo medir si funciona

Ningún número por sí solo le dice a un equipo antifraude si su estrategia funciona. Los KPI que siguen se leen en conjunto, porque mejorar uno a menudo empeora otro.

La tasa de aprobación y el riesgo se leen mejor en conjunto. En el caso de éxito de MoneyMan México, una prueba A/B de un modelo predictivo actualizado multiplicó por 1.5 la tasa de aprobación de nuevas solicitudes, mientras las métricas de gestión de riesgos se mantuvieron en el mismo nivel. Agregar combinaciones de variables relacionadas con el comportamiento del usuario en el sitio web multiplicó por 1.4 la capacidad de separación del modelo.

Leer los resultados por segmento, no por promedio

Un promedio de cartera oculta dónde está el riesgo. Un prestamista digital del sur de Asia con el que trabajamos analizó más de 150,000 solicitudes del canal web, con un FPD general del 0.71% (vea el caso de éxito). Un modelo de ordenamiento personalizado dividió el flujo en seis segmentos, con un FPD que iba del 0.07% en el segmento de menor riesgo al 4.49% en el de mayor riesgo. Marcadores de bloqueo adicionales aislaron menos del 0.5% de las solicitudes, con un FPD de alrededor del 20%.

El mismo análisis también apuntó en la dirección contraria: alrededor del 10.70% de las solicitudes rechazadas mostraba marcadores positivos y podría considerarse para aprobación tras una validación. El modelo mostró un 38.5% de Gini adicional no normalizado en un análisis preliminar. Una misma vista segmentada respaldó dos decisiones: dónde endurecer los criterios y dónde podían crecer las aprobaciones.

Comparar las muestras de desarrollo y de prueba

Los resultados en la muestra de desarrollo son solo la mitad de la evidencia, porque el modelo se ajustó a esos datos. En un caso de crédito digital en América Latina, un modelo de ordenamiento alcanzó un Gini no normalizado de alrededor del 15% en la muestra de desarrollo y de alrededor del 13% en la muestra de prueba. El riesgo por segmento iba de alrededor del 14% al 55% en los datos de desarrollo y de alrededor del 18% al 45% en los de prueba. La dispersión se redujo, pero el ordenamiento se mantuvo. Reportar ambas muestras permite a un comité de crédito evaluar la estabilidad en lugar de confiar solo en la cifra de desarrollo.

Medir la cantidad y el monto por separado

La cantidad de fraudes y su monto pueden apuntar en direcciones distintas. En el Informe Anual 2025-26 del Banco de la Reserva de la India (capítulo VI, cuadro VI.3), los fraudes con tarjetas, internet y pagos digitales representaron el 56.2% de los fraudes bancarios por número de casos en 2024-25, pero solo el 1.6% del monto involucrado. Los préstamos concentraron el 33.4% de los casos y el 92.6% del monto. Los datos cubren fraudes de ₹1 lakh (100,000 rupias) o más reportados por los bancos, y el RBI señala que los montos involucrados no reflejan pérdidas reales. Un tablero basado solo en la cantidad de casos dirigiría la atención a los pagos digitales; uno basado solo en el monto, al crédito. Reportar ambos muestra dónde está el volumen y dónde está la exposición.

Fuente: Informe Anual 2025-26 del RBI, cuadro VI.3. Fraudes de ₹1 lakh o más reportados por los bancos; 1 crore equivale a 10 millones de rupias. Los fraudes reportados en un año pueden haber ocurrido en años anteriores, y los montos involucrados no reflejan pérdidas reales. "Otras áreas" se calcula a partir del cuadro.

Cómo construir un flujo de trabajo de análisis de fraude

1. Definir los resultados. Acordar qué cuenta como fraude, contracargo, FPD o NPL90, y con qué ventana de observación.

2. Reunir los datos. Unir datos de solicitud, transacción, dispositivo y resultados al nivel en que se toman las decisiones.

3. Construir y asignar scores. Combinar líneas base descriptivas, modelos predictivos, controles de anomalías y análisis de vínculos.

4. Validar fuera de muestra. Probar en un período posterior, no solo en una muestra aleatoria de validación, y reportar ambos resultados.

5. Implementar en la forma adecuada. Marcadores de bloqueo para segmentos acotados de alto riesgo, scores para ordenar, segmentos para la estrategia.

6. Monitorear y recalibrar. Seguir los KPI anteriores con una periodicidad fija. Nuestra guía de monitoreo de riesgos cubre la parte operativa, y nuestro artículo sobre detección de fraude en la banca muestra cómo lo estructuran los bancos.

Vea cómo se segmenta su propio flujo

Si quiere ver cómo los datos de dispositivo y de comportamiento segmentarían su propio flujo de solicitudes, nuestro equipo puede acompañarlo en un análisis con una muestra de sus datos. Agende una sesión con un experto de JuicyScore.

Puntos clave

• El análisis de fraude cubre el ciclo completo: definir resultados, construir reglas y modelos, y comprobar si las decisiones se sostienen cuando los préstamos y los pagos maduran.

• La detección de anomalías y el análisis de vínculos detectan patrones que los datos históricos etiquetados todavía no contienen, como nuevos tipos de ataque y redes de fraude.

• Las definiciones de resultados – fraude, contracargo, FPD, NPL90 – condicionan cada modelo construido sobre ellas, por lo que deben acordarse antes de empezar a modelar.

• Los datos de dispositivo, comportamiento y conexión están disponibles desde el primer punto de contacto, antes de que exista un historial de pagos.

• La tasa de aprobación y la tasa de malos deben leerse juntas: en la prueba A/B de MoneyMan México, las aprobaciones de nuevas solicitudes se multiplicaron por 1.5 con las métricas de riesgo en el mismo nivel.

• Segmentar un flujo muestra tanto dónde endurecer los criterios como dónde aprobar más: seis segmentos de un flujo de crédito en el sur de Asia iban del 0.07% al 4.49% de FPD.

• La separación del modelo se reporta en las muestras de desarrollo y de prueba, indicando la normalización, para que un comité de crédito pueda evaluar la estabilidad.

• El fraude se mide por cantidad y por monto: en los datos bancarios de la India de 2024-25, los pagos digitales fueron el 56.2% de los casos, pero solo el 1.6% del monto involucrado.

FAQ

¿Para qué se usa el análisis de fraude?

El análisis de fraude se usa para detectar y prevenir solicitudes, transacciones y actividad de cuentas fraudulentas, y para medir el desempeño de los controles antifraude. Bancos, prestamistas, proveedores de BNPL y fintechs lo usan para definir umbrales de decisión, construir scores de fraude, detectar redes de fraude y equilibrar las pérdidas por fraude con las tasas de aprobación y la experiencia del cliente.

¿Cuál es la diferencia entre el análisis de fraude y la detección de fraude?

La detección de fraude es la decisión en tiempo real sobre una solicitud o transacción individual: aprobar, rechazar o revisar. El análisis de fraude es la disciplina más amplia que construye y ajusta esas decisiones. Incluye definir resultados, entrenar modelos, establecer reglas y umbrales, y seguir KPI para comprobar si la detección identifica el fraude sin bloquear a clientes legítimos.

¿Qué KPI debería seguir un equipo antifraude?

La mayoría de los equipos antifraude siguen la tasa de fraude (por cantidad de casos), la pérdida por fraude (por monto), la tasa de detección, la tasa de falsos positivos y la tasa de aprobación. Los prestamistas agregan la tasa de malos por segmento de riesgo, como FPD o NPL90. Los equipos de modelos siguen métricas de separación como Gini o KS, indicando siempre la normalización y si la cifra proviene de la muestra de desarrollo o de prueba.

¿Cómo ayuda el análisis predictivo en la detección de fraude?

El análisis predictivo entrena modelos con resultados pasados, como fraude confirmado o incumplimiento en el primer pago, para asignar un score a nuevos casos antes de tomar una decisión. Un score más alto puede activar un rechazo, una verificación adicional o una revisión manual. Su valor depende de la calidad de las etiquetas de resultado y de una validación periódica con datos nuevos.

¿Qué datos se usan en el análisis de fraude en pagos?

El análisis de fraude en pagos suele usar el monto, la frecuencia, el comercio, el método de pago y el momento de cada transacción, además del historial de la cuenta y los contracargos. Muchos equipos agregan datos de dispositivo, comportamiento y conexión, que describen cómo se inició el pago. Combinar estas capas ayuda a distinguir la actividad inusual legítima de los patrones que indican toma de control de cuentas (ATO) o credenciales robadas.

¿Cómo saber si un modelo antifraude funciona?

Compare sus resultados en los datos de desarrollo con los de una muestra de prueba posterior y verifique que la tasa de malos aumente de forma constante entre las bandas de score. Después, siga los KPI en producción: tasa de fraude, tasa de falsos positivos, tasa de aprobación y carga de revisión. Un modelo que mantiene su ordenamiento con datos nuevos y mejora estos indicadores en conjunto está cumpliendo su función.

Manténgase al día sobre el análisis de fraude

Reciba por correo electrónico nuestro análisis sobre fraude, riesgo crediticio y crédito digital. Suscríbase al boletín de JuicyScore.