Fraud ring

¿Qué es un fraud ring?

Un fraud ring es un grupo coordinado de defraudadores que ejecuta el mismo esquema en muchas cuentas, solicitudes o transacciones y que, por lo general, comparte dispositivos, infraestructura de red, datos de identidad y métodos. En el sector crediticio, un fraud ring suele aparecer como un conjunto de solicitudes vinculadas por atributos técnicos y de comportamiento comunes, cada una de las cuales puede parecer aceptable por sí sola.

El término abarca grados de organización muy distintos: desde unas pocas personas que comparten un dispositivo y una lista de identidades comprometidas hasta operaciones estructuradas con una clara división del trabajo. Desde fuera es difícil determinar quién forma parte del grupo. Lo que ve un prestamista es la coordinación en los datos, y detrás de ella puede haber organizadores, solicitantes reclutados y personas cuyas identidades se usaron sin su conocimiento.

Un fraud ring también se conoce como red de fraude o grupo de fraude organizado. El término relacionado collusion ring (red de colusión) suele referirse a un caso más acotado, en el que los integrantes del grupo realizan transacciones entre sí.

¿Cómo opera un fraud ring?

¿Quién hace qué dentro de un fraud ring?

Los fraud rings más grandes se reparten el trabajo. Algunos integrantes consiguen datos de identidad o compran herramientas a través de canales de fraude como servicio, otros preparan con antelación cuentas envejecidas mediante account farming, otros envían las solicitudes y las mulas de dinero mueven y retiran los fondos. La especialización permite a un fraud ring repetir un mismo esquema rápidamente contra muchos objetivos.

¿Qué infraestructura comparten los fraud rings?

Los fraud rings reutilizan dispositivos, direcciones IP e identidades porque conseguir un conjunto nuevo para cada intento cuesta tiempo y dinero. La reutilización de infraestructura por parte de un fraud ring puede manifestarse como el mismo dispositivo físico detrás de solicitudes a nombre de distintas personas, grupos de máquinas virtuales o emuladores con configuraciones similares, y tráfico enrutado a través de las mismas redes de proxies o rangos de hosting. Los navegadores antidetección y las herramientas que aleatorizan la huella del dispositivo se usan para romper estos vínculos, aunque esa aleatorización puede dejar sus propios rastros.

¿Cómo pone a prueba un fraud ring a un prestamista antes de operar a gran escala?

Los fraud rings suelen sondear a un prestamista con un número reducido de solicitudes para saber qué campos, montos y canales superan los filtros, y luego envían solicitudes de forma masiva cuando encuentran una vía que funciona. El mismo grupo puede atacar en paralelo a varios prestamistas, o a varias marcas dentro de un mismo grupo financiero.

¿Qué riesgos generan los fraud rings para los prestamistas?

Evaluadas una por una, las solicitudes de un fraud ring pueden cumplir todas con la política de crédito, porque la evidencia de la coordinación está en lo que comparten. Un modelo que evalúa cada solicitud de forma independiente tiene una visibilidad limitada de esas conexiones, y esa es una de las razones por las que las pérdidas de un fraud ring pueden acumularse antes de que alguien las vincule.

Las pérdidas de un fraud ring también tienden a concentrarse. Un fraud ring que logra una aprobación puede crecer rápidamente, de modo que los incumplimientos pueden aparecer agrupados dentro de una misma cosecha, a menudo como impagos de la primera cuota o préstamos que nunca registran un pago. Patrones como estos son especialmente relevantes para el análisis de fraude, aunque cada institución decide de forma distinta si registra estos casos como pérdidas por fraude o como pérdidas crediticias.

Registrar los incumplimientos de un fraud ring como pérdidas crediticias tiene un efecto de segundo orden. Esos incumplimientos pueden entrar en los datos de entrenamiento de los modelos de riesgo crediticio y llevarlos a penalizar perfiles parecidos a las identidades que usó el fraud ring, incluidos prestatarios legítimos con historial crediticio limitado.

¿Cómo se detectan y se detienen los fraud rings?

Combatir los fraud rings abarca todo el ciclo de vida de un préstamo, y en cada etapa la detección desplaza la unidad de análisis de la solicitud individual a las relaciones entre solicitudes, dispositivos, cuentas y sesiones. El trabajo se divide en cuatro etapas:

1. Filtrar las solicitudes a medida que llegan

2. Vincular las solicitudes en clústeres

3. Investigar un posible fraud ring

4. Responder una vez confirmado el fraud ring

¿Qué se puede verificar cuando llegan las solicitudes de un fraud ring?

El filtrado en la etapa de solicitud es el primer punto en el que se puede detener a un fraud ring antes del desembolso. Las señales a nivel de dispositivo pueden vincular solicitudes sin depender de identificadores directos como nombre, teléfono o correo electrónico. Entre las señales que vinculan las solicitudes de un fraud ring están:

• el mismo dispositivo o la misma configuración de dispositivo bajo distintas identidades

• indicios de virtualización o emulación

• uso de proxies y VPN

• discrepancias de la zona horaria y la configuración de idioma del dispositivo con la ubicación declarada en la solicitud

Más sobre estas señales en device fingerprinting.

Los vínculos a nivel de dispositivo pesan más cuando un fraud ring rota direcciones IP a través de proxies residenciales o móviles. La dirección IP puede cambiar con cada solicitud mientras la configuración del dispositivo se mantiene lo bastante estable como para vincular esas solicitudes: es el patrón detrás de las granjas de dispositivos que siguen generando solicitudes aunque las direcciones IP varíen mucho.

La capa de identidad funciona en paralelo a las señales del dispositivo:

• verificaciones documentales y de KYC

• datos del buró de crédito

• verificación reforzada (step-up) para solicitudes que ya presentan riesgo de dispositivo o de red

Las señales de dispositivo y de red complementan estas verificaciones al mostrar si una solicitud está conectada con otras.

Los dispositivos compartidos también tienen explicaciones legítimas: un teléfono familiar, un agente que completa solicitudes en nombre de clientes, una red de oficina compartida. Un vínculo de dispositivo aumenta la probabilidad de que exista coordinación de un fraud ring, pero aun así debe ponderarse junto con otras señales.

¿Qué patrones de velocidad y de comportamiento apuntan a un fraud ring?

Los fraud rings tienden a operar en ráfagas. Entre los patrones que pueden detectar las reglas de velocidad y la analítica del comportamiento están:

• varias solicitudes desde dispositivos o subredes relacionados en un intervalo corto

• un llenado de formularios casi idéntico, como datos pegados en lugar de escritos

• envíos repetidos que cambian un campo a la vez

El monitoreo a nivel de cartera puede detectar a un fraud ring durante su fase de sondeo, antes de que opere a gran escala. Entre las señales tempranas están:

• un aumento de solicitudes rechazadas que difieren entre sí en un solo campo

• un grupo de solicitudes por el monto mínimo desde dispositivos relacionados

Ambas señales aparecen en los volúmenes diarios y en los motivos de rechazo, aunque cada solicitud por separado parezca normal.

¿Cómo se detectan los fraud rings con analítica de grafos?

El análisis de vínculos – también llamado entity linking o análisis de redes – trata las solicitudes, los dispositivos, las direcciones IP, las cuentas y los medios de pago como nodos, y los atributos compartidos como las aristas entre ellos. Los clústeres que crecen de forma inusualmente rápida, o que unen muchas identidades a un conjunto reducido de dispositivos, pasan a ser candidatos a revisión. La analítica de grafos amplía el análisis de vínculos al evaluar una nueva solicitud según el clúster al que se une, además de sus propios atributos, un enfoque que se trata con más detalle en análisis de grafos de clústeres para la autenticación de dispositivos.

¿Cómo investigan los analistas un posible fraud ring?

La investigación de un fraud ring suele seguir la misma secuencia:

1. Partir de un caso inicial: un caso de fraude confirmado o un clúster sospechoso.

2. Expandirse a través de dispositivos, redes y cuentas compartidos, de uno o dos vínculos a la vez.

3. Revisar las solicitudes vinculadas en conjunto, y no una por una.

4. Comprobar si los elementos compartidos tienen explicaciones legítimas.

5. Definir dónde está el límite del fraud ring antes de actuar.

Expandir demasiado la investigación de un fraud ring termina incluyendo a clientes no relacionados que simplemente comparten una red o un modelo de dispositivo popular. Por eso se suele ponderar la fuerza de cada vínculo y qué tan reciente es, en lugar de dar el mismo peso a todos los atributos compartidos.

¿Qué hacen los equipos de riesgo una vez confirmado un fraud ring?

Una vez confirmado un fraud ring, la respuesta suele incluir las siguientes medidas:

• Desmantelamiento coordinado – bloquear al mismo tiempo los elementos compartidos del fraud ring (identificadores y configuraciones de dispositivo, cuentas de desembolso, números de teléfono), para que no pueda trasladar su actividad a cuentas que todavía no se han intervenido.

• Retención de solicitudes en curso – retener o rechazar las solicitudes vinculadas que siguen en proceso y, antes del desembolso, volver a verificar las solicitudes ya aprobadas contra el clúster confirmado.

• Revisión de cuentas existentes – revisar los préstamos y las líneas de crédito que el clúster ya abrió: congelar los límites no utilizados, bloquear nuevas disposiciones y aumentos de límite, y vigilar si se dispone de toda la línea en poco tiempo, una señal que precede al incumplimiento.

• Rastreo y recuperación de fondos – gestión de cobranza o recuperación de los préstamos desembolsados, y verificación de las cuentas que recibieron los fondos en busca de actividad de mulas de dinero.

• Revisión de canales – comprobar si las solicitudes vinculadas comparten un canal de originación, como un bróker, un agente de ventas o un socio comercial, que pueda ser un participante voluntario o un intermediario involuntario.

• Separación de víctimas – distinguir a los participantes del fraud ring de las personas cuyas identidades se usaron sin su conocimiento, para que los préstamos a nombre de una víctima se gestionen como fraude de identidad y no se cobren como deuda ordinaria.

• Retroalimentación a la toma de decisiones – etiquetar los casos confirmados en el grafo y en el conjunto de reglas, para que las nuevas solicitudes vinculadas al clúster hereden su riesgo, y trasladar esas etiquetas al entrenamiento de modelos.

• Decisiones discretas – mantener genéricos los motivos de rechazo, para que el fraud ring sepa lo menos posible sobre qué vínculos lo delataron.

FAQ

¿Qué herramientas ayudan a identificar qué fraud rings o clústeres están generando nuestras pérdidas?

Ninguna herramienta por sí sola identifica qué fraud rings generan las pérdidas. Los prestamistas suelen combinar análisis de vínculos, inteligencia de dispositivos, analítica del comportamiento, datos de consorcio y machine learning sobre los mismos datos vinculados, y luego asignan las pérdidas por fraude confirmadas a los clústeres de los que provienen para ver qué fraud rings concentran la mayor parte. Las categorías de herramientas involucradas:

• Resolución de entidades y analítica de grafos – fusionar registros que corresponden a la misma persona, dispositivo o cuenta y agrupar las solicitudes por atributos compartidos, con algoritmos de detección de comunidades como Louvain o Leiden y redes neuronales de grafos que evalúan una solicitud según su vecindario.

• Vinculación por dispositivo, red y comportamiento – inteligencia de dispositivos, inteligencia de IP y analítica del comportamiento que aportan los vínculos con los que se construyen los clústeres.

• Análisis forense de documentos – particularidades de plantilla o rastros de edición compartidos entre comprobantes de ingresos, estados de cuenta bancarios y documentos de identidad cargados.

• Detección de anomalías no supervisada – modelos de agrupamiento y de valores atípicos que señalan nuevos patrones de fraud rings antes de que exista fraude etiquetado.

• Analítica de atribución de pérdidas – reportes por cosecha y de impago de la primera cuota vinculados a identificadores de clúster, para clasificar las pérdidas según el fraud ring que las generó.

• Gestión de casos – herramientas de investigación que registran los fraud rings confirmados y devuelven las etiquetas a las reglas y los modelos.

¿Qué plataformas ayudan a identificar cuándo el mismo dispositivo o infraestructura está detrás de varias solicitudes de alto riesgo?

Varias categorías de herramientas identifican un dispositivo o una infraestructura compartidos detrás de varias solicitudes de alto riesgo, y los prestamistas suelen combinarlas en capas. Se diferencian en lo que consideran “lo mismo”: una huella de hardware o de navegador, un identificador almacenado en el dispositivo, una huella de red compartida, un kit de automatización común o un dispositivo ya señalado en otras instituciones. Las principales categorías:

• Device fingerprinting y soluciones de inteligencia de dispositivos – derivan un identificador a partir de atributos de hardware, sistema operativo, navegador y red, y señalan un mismo dispositivo, o configuraciones de dispositivo y emulador casi idénticas, bajo varias identidades, incluidas configuraciones de zona horaria e idioma que no coinciden con la ubicación declarada.

• Identificadores de SDK móvil – en los canales de app, identificadores disponibles para la aplicación dentro de lo que permite el sistema operativo, que vinculan reinstalaciones y solicitudes repetidas a un mismo teléfono.

• Inteligencia de red y de IP – pools de proxies compartidos, salidas de proxies residenciales o móviles, rangos de centros de datos y hosting, y coincidencia de subredes, que vinculan solicitudes con infraestructura compartida pero dicen poco por sí solas cuando los proxies rotan.

• Detección de bots y automatización – navegadores headless, frameworks de automatización y envío de formularios mediante scripts que apuntan a un mismo conjunto de herramientas.

• Analítica del comportamiento y biometría conductual – secuencias de llenado de formularios y patrones de pegado idénticos, además de patrones de escritura, toque y movimiento que pueden vincular solicitudes a un mismo operador incluso después de que se restablezcan los identificadores del dispositivo.

• Plataformas de decisión y orquestación antifraude – reglas de velocidad sobre solicitudes por dispositivo, subred o ventana de tiempo, y ráfagas de envíos sincronizados, que combinan señales de varios proveedores en una sola decisión.

• Herramientas de análisis de vínculos y de grafos – tratan el dispositivo o la infraestructura como un nodo, de modo que las solicitudes unidas a través de él aparecen como un solo clúster, que puede revisarse como una única operación.

• Consorcios y redes compartidas de datos de fraude – dispositivos e infraestructura ya vinculados a fraude confirmado o a solicitudes simultáneas en otros prestamistas.

• Reglas del sistema de originación – verificaciones de cookies, direcciones IP o identificadores de dispositivo almacenados en los propios sistemas del prestamista; una primera capa habitual que se elude borrando el almacenamiento o rotando las IP.

¿Cuál es la diferencia entre un fraud ring y el multi-accounting?

El multi-accounting describe, en general, a una persona o grupo que controla varias cuentas en un mismo servicio. Un fraud ring se define por la coordinación entre varios actores que ejecutan un esquema a escala, y el multi-accounting suele ser una de sus herramientas. Ambos dejan señales que se superponen, sobre todo dispositivos e infraestructura de red compartidos.

¿Qué herramientas detectan cuándo el mismo grupo de fraude ataca a varias de nuestras marcas?

Detectar al mismo grupo de fraude en varias marcas requiere una visión compartida: los datos de solicitudes de todas las marcas reunidos en un solo lugar, para que un dispositivo, un elemento de identidad, una cuenta bancaria o un patrón de comportamiento visto en una marca se reconozca en otra. Los prestamistas suelen construir esa visión con varias categorías de herramientas:

• Inteligencia de dispositivos compartida – un único espacio de identificadores de dispositivo para todas las marcas, de modo que el mismo dispositivo o configuración se reconozca sin importar en qué marca se presente la solicitud.

• Resolución de entidades y grafo a nivel de grupo – un solo grafo para todas las marcas, que une solicitudes a través de teléfonos, correos electrónicos, direcciones, cuentas de desembolso y dispositivos compartidos.

• Decisión u orquestación antifraude centralizada – un único conjunto de reglas y contadores de velocidad que operan en todas las marcas, como solicitudes por dispositivo en todo el grupo por día.

• Listas negativas compartidas – dispositivos, cuentas y elementos de identidad de un caso confirmado que se propagan a todas las marcas en cuanto una de ellas lo confirma.

• Reportes de pérdidas a nivel de grupo – pérdidas por fraude e incumplimientos tempranos reportados entre marcas y vinculados a identificadores de clúster, para que un ataque repartido entre varias marcas aparezca como uno solo.

Reunir datos de solicitudes de distintas marcas o entidades legales depende de los acuerdos de intercambio de datos y de la base legal aplicable a cada una.

¿Un fraud ring es fraude de primera parte o de terceros?

Se dan ambos casos, y cada institución traza la línea de forma distinta. Un fraud ring puede usar identidades robadas, identidades sintéticas o solicitantes reclutados que presentan solicitudes a su propio nombre, y muchos combinan estas opciones. Para la detección, describir las señales compartidas y el esquema suele ser más útil que definir la etiqueta. Más información en fraude de primera parte y fraude de terceros.