Cómo detectar un mismo dispositivo detrás de varias solicitudes de préstamo

Los prestamistas detectan un mismo dispositivo detrás de varias solicitudes de préstamo vinculándolas a través de un identificador del dispositivo, y no de los datos que ingresa el solicitante. Una solución de inteligencia de dispositivos asigna a cada dispositivo un ID probabilístico construido a partir de señales de hardware, software y conexión, y luego registra cuántas solicitudes, identidades y resultados de crédito se asocian a ese ID en un periodo determinado. Los teléfonos compartidos en familia, los picos de solicitudes, los emuladores y los dispositivos restablecidos requieren reglas propias.

Puntos clave

• Los datos que ingresa el solicitante pueden pasar por alto solicitudes vinculadas, porque el nombre, el teléfono y el número de documento cambian entre intentos, mientras que el dispositivo a menudo sigue siendo el mismo.

• Un dispositivo vinculado a varias solicitudes es una señal de riesgo, no un veredicto: los teléfonos compartidos en familia, el onboarding asistido y los quioscos también generan dispositivos legítimos con varias solicitudes.

• Las métricas útiles son cuántas identidades distintas aparecen en un dispositivo, en qué ventana de tiempo y cómo se comportaron los préstamos anteriores originados desde ese dispositivo.

• Los restablecimientos de fábrica, las reinstalaciones de apps, los emuladores y la aleatorización del navegador son las formas habituales de romper el vínculo con el dispositivo, por lo que detectar esas manipulaciones forma parte de la vinculación por dispositivo.

• La vinculación por dispositivo funciona junto con los datos del buró de crédito: el buró muestra las obligaciones reportadas en distintos prestamistas, mientras que los datos del dispositivo muestran las conexiones dentro del propio flujo de solicitudes del prestamista.

¿Por qué los prestamistas vinculan solicitudes por dispositivo y no por los datos del solicitante?

Los prestamistas vinculan las solicitudes de préstamo por dispositivo porque el solicitante proporciona los datos de la solicitud y puede cambiarlos a voluntad, mientras que el dispositivo desde el que solicita es más difícil de cambiar sin dejar rastro. En la acumulación de préstamos (loan stacking), las identidades sintéticas y los reintentos tras un rechazo, los datos declarados suelen variar de una solicitud a otra.

Un patrón frecuente es una serie de solicitudes con pequeños cambios en los datos: un número de teléfono nuevo, dos dígitos invertidos en el número de documento, otro correo electrónico, un nombre de empleador ligeramente distinto. La coincidencia aproximada (fuzzy matching) aplicada a los campos del solicitante detecta algunas de estas series, pero no las que se construyen con identidades completamente distintas, como en el fraude de identidad sintética.

El dispositivo queda fuera de los datos declarados por el solicitante. Un teléfono o una computadora conserva la mayor parte de sus características de hardware, sistema operativo, software y conexión entre una solicitud y otra, a menos que alguien las cambie a propósito. Por eso el dispositivo es una clave de vinculación que los datos del solicitante no pueden aportar, y un complemento de las verificaciones de identidad para combatir el fraude en solicitudes.

¿Cómo reconoce una solución de inteligencia de dispositivos el mismo dispositivo en distintas solicitudes?

Una solución de inteligencia de dispositivos reconoce el mismo dispositivo comparando muchos parámetros del dispositivo y de su entorno, y estimando la probabilidad de que dos sesiones provengan del mismo dispositivo. El resultado es un ID de dispositivo probabilístico, que tolera cambios en parámetros individuales en lugar de romperse con ellos.

Un identificador almacenado, por sí solo, es una clave de vinculación débil. Las cookies y el almacenamiento local desaparecen cuando se borran los datos del navegador o se usa una ventana privada. Los identificadores a nivel de app también tienen condiciones de restablecimiento documentadas: la referencia de Android para ANDROID_ID indica que, en Android 8.0 y versiones posteriores, el valor se define según la clave de firma de la app y el usuario, y puede cambiar tras un restablecimiento de fábrica.

Un ID de dispositivo probabilístico combina rasgos de hardware, detalles del sistema operativo y de su compilación (build), software instalado, configuración del navegador y características de la conexión, de modo que un valor modificado no crea un dispositivo nuevo. El punto crítico es el umbral de coincidencia. Si es demasiado laxo, dispositivos distintos se fusionan en un solo ID; si es demasiado estricto, un mismo dispositivo se divide en varios ID y se pierde el vínculo. El funcionamiento se explica en nuestra introducción a la huella digital de dispositivos.

El análisis de JuicyScore sobre el futuro del Device ID describe tres generaciones de ID de dispositivo:

1. ID basados en datos del usuario, como un correo electrónico o un número de teléfono, que el solicitante puede variar a voluntad.

2. ID estadísticos, como los hashes del navegador y las cookies persistentes, que pueden cambiar cuando cambian unos pocos parámetros o el navegador.

3. ID de dispositivo probabilísticos, que estiman qué tan similares son dos dispositivos a partir de muchos parámetros y sus combinaciones.

El ID de dispositivo probabilístico de JuicyScore, JuicyDeviceID, es un modelo probabilístico de identificación de dispositivos diseñado para devolver un único identificador estable entre distintos navegadores y modos de navegación privada de un mismo dispositivo físico. La tasa de unicidad de JuicyDeviceID alcanza el 99% o más. Los cálculos del ID de dispositivo se realizan a nivel de servidor y no en el dispositivo del usuario, lo que reduce el impacto de posibles manipulaciones y la carga sobre el dispositivo.

Los dispositivos vinculados a casos de fraude anteriores se investigan para identificar nuevos indicadores de riesgo y afinar los métodos de detección. El servicio trabaja con más de 65,000 parámetros recopilados de cada dispositivo y más de 250 parámetros utilizados para el scoring de dispositivos, sin depender de identificadores directos como nombre, teléfono o correo electrónico.

Como con cualquier identificador de dispositivo, los resultados dependen del entorno (sistema operativo y navegador) y de las señales disponibles. Nuestra comparación de soluciones de inteligencia de dispositivos explica cómo otros proveedores abordan la identificación de dispositivos.

Los prestamistas pueden comprobar dónde se ubica un ID de dispositivo en ese equilibrio entre fusionar y dividir con la prueba de los 8 navegadores. En un mismo dispositivo físico, abra cuatro navegadores en modo normal y los mismos cuatro en modo privado, y registre el ID de dispositivo que devuelve cada sesión. Una buena solución asigna las ocho sesiones a un solo ID en la gran mayoría de las pruebas, aunque no siempre, porque las nuevas versiones de los navegadores pueden alterar brevemente el conjunto de señales.

¿Qué señales indican que un mismo dispositivo está detrás de varias solicitudes de alto riesgo?

Las señales que indican que un mismo dispositivo está detrás de varias solicitudes de alto riesgo son conteos y combinaciones asociados a un único ID de dispositivo: cuántas identidades distintas solicitaron desde él, con qué rapidez y con qué resultados. Ningún conteo aislado es concluyente. Es la combinación de varias señales lo que distingue un dispositivo riesgoso de uno simplemente muy activo.

Señales que los prestamistas suelen monitorear por ID de dispositivo:

• Identidades distintas por dispositivo: nombres, números de documento o teléfonos diferentes enviados desde el mismo ID de dispositivo.

• Velocidad de solicitudes: el número de solicitudes desde el mismo ID de dispositivo en una hora, un día o una semana.

• Historial de resultados: solicitudes anteriores desde el mismo dispositivo que fueron rechazadas, marcadas como fraude o que terminaron en impago del primer pago.

• Contexto declarado frente a observado: una ciudad declarada que no coincide con la zona horaria, la configuración de idioma o la ubicación de conexión del dispositivo.

• Marcadores de manipulación: emuladores, máquinas virtuales, herramientas de acceso remoto, root o parámetros del navegador aleatorizados en el dispositivo.

• Infraestructura compartida: varios dispositivos que envían solicitudes a través del mismo proxy, rango de IP o red de hosting en un periodo corto.

La infraestructura compartida responde a una pregunta distinta de las otras cinco señales. Cuando varias solicitudes provienen de una misma infraestructura, cada una puede llegar desde un dispositivo diferente, y el vínculo solo aparece a nivel de la red o del clúster de dispositivos.

¿Cómo distinguir un teléfono compartido en familia del fraude organizado en solicitudes?

En un teléfono compartido en familia y en el fraude organizado en solicitudes aparecen varias identidades en un mismo dispositivo; lo que suele diferenciarlos es lo que rodea a esas identidades. El uso compartido legítimo tiende a mostrar pocas identidades, un dispositivo estable, una ubicación coherente y solicitudes espaciadas en el tiempo. Los patrones asociados al fraude organizado tienden a mostrar muchas identidades, intervalos cortos, marcadores de manipulación y malos resultados en préstamos anteriores.

Compartir dispositivos es parte de la vida cotidiana en muchos mercados donde el crédito digital está creciendo. Varios miembros de un hogar pueden usar un mismo smartphone, y en el onboarding asistido un agente o un quiosco envía solicitudes en nombre de los clientes. Rechazar todo dispositivo con varias identidades dejaría fuera a solicitantes legítimos con poco historial crediticio que no tienen otra forma de solicitar un préstamo.

En Nigeria, varios miembros de una familia, o incluso varios hogares, pueden compartir un mismo smartphone. Como describe el caso de éxito de CashExpress, esto dificulta la identificación del solicitante y aumenta el riesgo de solicitudes de préstamo repetidas desde el mismo dispositivo. CashExpress (CashX) combina los parámetros técnicos únicos del dispositivo con el número de solicitudes de crédito en los últimos 1, 7 y 30 días y un marcador NPL 90 Plus, y filtra hasta 25 puntos porcentuales del riesgo potencial de fraude dentro del segmento de alto riesgo.

Tres preguntas, planteadas en conjunto, suelen bastar para distinguir ambos casos: cuántas identidades, con qué rapidez y qué tan limpio está el dispositivo. Dos solicitantes de un mismo hogar, con semanas de diferencia y en un teléfono sin modificar, no tienen nada que ver con doce identidades en una sola tarde desde un emulador.

Los canales de agentes y quioscos necesitan reglas propias. Se espera que un dispositivo en un canal asistido tenga muchas identidades, por lo que, en ese caso, la señal más útil es el desempeño, a lo largo del tiempo, de los préstamos originados desde ese dispositivo.

¿Cómo intentan los defraudadores romper el vínculo con el dispositivo y qué rastros dejan?

Los defraudadores intentan romper el vínculo con el dispositivo cambiando lo que este reporta, mediante restablecimientos de fábrica, reinstalaciones de apps, emuladores, navegadores antidetección o granjas de dispositivos. Cada técnica puede dejar sus propios rastros; por eso detectar la manipulación es parte de la vinculación de solicitudes y no una tarea aparte.

• Los restablecimientos de fábrica y las reinstalaciones borran los identificadores almacenados, pero dejan el hardware como estaba. Un modelo de dispositivo que lleva años en el mercado y aparece sin ningún historial merece más atención, aunque un teléfono de segunda mano puede mostrar legítimamente el mismo patrón.

• Los emuladores y las máquinas virtuales pueden generar muchos dispositivos aparentes desde una sola computadora. Las huellas que deja la virtualización se explican en nuestro artículo sobre detección de máquinas virtuales.

• Los aleatorizadores y los navegadores antidetección cambian parámetros de una sesión a otra. Cuando parámetros que normalmente coinciden entre sí dejan de hacerlo, puede tratarse de suplantación de dispositivos.

• Los dispositivos con root o jailbreak permiten que las apps alteren los valores que reporta el dispositivo. Más información en detección de jailbreak y root.

• Las granjas de dispositivos reparten las solicitudes entre muchos teléfonos reales, de modo que ningún dispositivo acumula un conteo sospechoso. La vinculación pasa entonces al nivel de la infraestructura y de los clústeres.

¿Qué debe hacer un prestamista cuando una nueva solicitud se vincula con solicitudes o impagos anteriores?

Un vínculo con solicitudes anteriores debe cambiar la forma de gestionar la nueva solicitud, pero no decidirla por sí solo. Un dispositivo con un historial de rechazos o impagos que ahora presenta credenciales nuevas justifica una revisión o una decisión más estricta. Un dispositivo con un préstamo anterior bien pagado muy probablemente pertenece a un cliente recurrente.

Los vínculos por dispositivo funcionan mejor como insumos de un proceso de decisión existente: como disparadores de revisión manual, como variables en modelos de fraude o de riesgo crediticio y como base de reglas específicas para clientes recurrentes. Donde más se nota su valor es en el crédito recurrente, porque un cliente que regresa con un dispositivo conocido y limpio representa un riesgo distinto al de un solicitante “nuevo” cuyo dispositivo arrastra un impago anterior.

En un piloto enfocado en préstamos recurrentes en Filipinas, UnaFinancial desarrolló un conjunto de marcadores a nivel de dispositivo para su modelo antifraude. Mikhail Koromyslov, Director de Riesgos de UnaFinancial: “A juzgar por los primeros resultados tras el lanzamiento del piloto, logramos desarrollar un conjunto de marcadores y variables integrales que enriquecieron el modelo antifraude de nuestra compañía en Filipinas. Esto ayudó a reducir el nivel de riesgo de la cartera temprana de préstamos recurrentes en varios puntos porcentuales.”

¿En qué se diferencian las principales formas de vincular solicitudes de préstamo?

Cada forma de vincular solicitudes de préstamo cubre parte de lo que las demás no alcanzan a cubrir; por eso la mayoría de los prestamistas combina varias.

¿En qué casos es menos eficaz la vinculación por dispositivo?

La vinculación por dispositivo es menos eficaz donde los dispositivos se comparten por diseño, donde los volúmenes son demasiado bajos para que los conteos tengan sentido y donde las solicitudes repetidas ocurren en otros prestamistas. En cada una de estas situaciones los datos del dispositivo siguen aportando, pero pesan menos en la decisión.

• Canales asistidos y sucursales. Los dispositivos de agentes y del personal tienen muchas identidades por diseño, por lo que los conteos por dispositivo describen al agente y no al solicitante.

• Volúmenes de solicitudes muy bajos. Los conteos por dispositivo rara vez se acumulan, y es posible que una revisión manual ya detecte las mismas coincidencias.

• Acumulación de préstamos en distintos prestamistas. Los datos del dispositivo muestran el propio flujo de solicitudes del prestamista, ampliado solo cuando el proveedor observa dispositivos en toda su base de clientes. Las solicitudes en otros prestamistas se hacen visibles a través de las consultas y las obligaciones reportadas al buró, y ahí es donde los datos del dispositivo y los del buró se complementan.

• Granjas de dispositivos. Cuando cada solicitud proviene de un teléfono real distinto, los conteos por dispositivo se mantienen bajos y el vínculo hay que buscarlo a nivel de infraestructura.

• Requisitos de protección de datos. Los datos del dispositivo, la IP y las cookies pueden considerarse datos personales en varios regímenes de privacidad, y las reglas de consentimiento y conservación varían según el mercado. Revíselas con los equipos legal y de cumplimiento antes de poner en marcha reglas basadas en el dispositivo. El artículo Privacy by Design en la prevención del fraude explica cómo limitar la recopilación de datos personales influye en el diseño de los sistemas de prevención del fraude.

Preguntas frecuentes

¿Cómo detectar si un cliente supuestamente nuevo es en realidad un deudor moroso que vuelve con credenciales nuevas?

Verifique si el ID de dispositivo de la nueva solicitud coincide con un dispositivo vinculado a un impago anterior. Un deudor moroso puede cambiar el nombre, el teléfono y los documentos y aun así solicitar desde el mismo teléfono o computadora. Combine la coincidencia de dispositivo con los marcadores de manipulación, porque un dispositivo restablecido o emulado es una forma común de ocultar ese vínculo.

¿Qué herramientas ayudan a detectar picos de solicitudes desde dispositivos nunca antes vistos?

Lo más eficaz es combinar una solución de inteligencia de dispositivos con un motor de reglas antifraude. La capa de dispositivo reconoce muchas solicitudes que llegan desde dispositivos sin historial, o desde un mismo dispositivo con varias identidades. El motor de reglas define las ventanas de tiempo y los umbrales. Un pico de muchos dispositivos nuevos a la vez puede apuntar a emuladores, granjas de dispositivos o infraestructura compartida.

¿Cuál es la mejor manera de detectar patrones de alto riesgo en muchas solicitudes dentro de una ventana de tiempo corta?

Agrupe las solicitudes por ID de dispositivo, por red y por configuración del dispositivo en ventanas de tiempo móviles, y compare los conteos con su línea base habitual. Un aumento repentino de dispositivos nuevos, configuraciones repetidas o proxies compartidos en pocas horas se ve con más facilidad en conjunto que solicitud por solicitud. Revise los clústeres marcados en bloque.

¿Un dispositivo con varias solicitudes de préstamo siempre es fraude?

No. Las familias comparten teléfonos, y en los canales asistidos los agentes y los quioscos envían solicitudes en nombre de los clientes. Varias identidades en un mismo dispositivo se convierten en una señal de riesgo más fuerte cuando llegan en poco tiempo, vienen acompañadas de emuladores u otros marcadores de manipulación o coinciden con impagos anteriores. Trate el vínculo con el dispositivo como un insumo de la decisión, no como una regla de rechazo.

¿La vinculación por dispositivo puede detectar la acumulación de préstamos en distintos prestamistas?

En parte. Los datos de dispositivo que genera el propio flujo de solicitudes del prestamista detectan intentos repetidos en ese prestamista, y algunos proveedores de inteligencia de dispositivos también observan dispositivos en toda su base de clientes, lo que amplía la visión. Las solicitudes en otros prestamistas también aparecen en las consultas y las obligaciones reportadas al buró de crédito, por lo que los datos del dispositivo y los del buró se complementan.

¿La vinculación por dispositivo requiere datos personales?

La vinculación por dispositivo puede funcionar sin depender de identificadores directos como nombre, teléfono o correo electrónico. Aun así, los datos del dispositivo, la IP y las cookies pueden considerarse datos personales en varios regímenes de protección de datos, por lo que los prestamistas deben revisar los requisitos de consentimiento, conservación y tratamiento en cada mercado antes de poner en marcha reglas basadas en el dispositivo.