Máquina virtual

Una máquina virtual (VM) es una emulación por software de un computador físico. Ejecuta un sistema operativo y aplicaciones exactamente como lo haría un dispositivo físico – con su propia asignación de procesador, memoria y almacenamiento – salvo que todo ello existe como código y no como hardware. Un servidor físico puede alojar varias máquinas virtuales, y una máquina potente puede dividirse en muchos entornos virtuales más pequeños, según la necesidad operativa.

Para los equipos de TI e infraestructura, esa flexibilidad es precisamente el objetivo. Las máquinas virtuales hacen que la protección de datos, la entrega segura de software, las pruebas de código y la investigación de rendimiento sean más rápidas y económicas al optimizar el uso de los recursos informáticos. Pero las mismas propiedades que hacen útil a una VM para la ingeniería legítima también la vuelven atractiva para los fraudsters. Para un equipo de riesgo, ese doble uso es el problema – y convierte la detección de máquinas virtuales en un asunto de gestión de riesgo más que de TI.

En un contexto de detección de fraude, una máquina virtual es un computador emulado por software que los fraudsters utilizan para ocultar su dispositivo real, crear máquinas desechables a gran escala y evadir el fingerprinting en múltiples solicitudes fraudulentas.

Por qué las máquinas virtuales importan para la prevención del fraude

Cuando una máquina virtual aparece en un flujo de solicitud de crédito, pagos u onboarding de cuentas, su presencia adquiere un significado distinto al que tiene dentro de un centro de datos corporativo. Los prestatarios y clientes legítimos no suelen solicitar un préstamo desde un dispositivo emulado. Los fraudsters sí – porque un entorno virtual les permite enmascarar el dispositivo real, generar máquinas desechables a gran escala y evadir el fingerprinting que, de otro modo, vincularía múltiples solicitudes fraudulentas a un mismo actor. Esto es lo que convierte al fraude con máquinas virtuales en un rasgo recurrente del multi-accounting y del abuso de promociones, donde un solo actor necesita muchos dispositivos aparentemente distintos.

Por eso la inteligencia de dispositivo trata la virtualización como una señal de riesgo significativa. Una autenticación de dispositivo cuidadosa y precisa – que lee los parámetros de un dispositivo, su entorno y la forma en que se utiliza – permite marcar una máquina virtual antes de que se apruebe una transacción, en lugar de después de registrar un impago.

La magnitud del riesgo es medible. Según el análisis de JuicyScore en las regiones donde tiene presencia, el nivel de riesgo promedio de las solicitudes que muestran indicios de uso de máquinas virtuales fue entre 1,3 y 1,5 veces mayor que el del conjunto de todos los registros. El costo de ignorar la señal es aún mayor: las empresas que no filtran las máquinas virtuales de su flujo de solicitudes presentan tasas de impago entre 2,5 y 3 veces superiores al promedio. Los volúmenes de solicitudes que involucran virtualización también tienden a dispararse antes de los periodos festivos, cuando los ataques de fraude en línea aumentan junto con la demanda genuina de crédito y de compras.

No todas las máquinas virtuales son iguales

Una detección eficaz depende de distinguir entre dos categorías, porque tratarlas por igual genera ruido.

• La primera abarca soluciones de software que solo presentan indicios de virtualización – el modo privado de un navegador o el modo de aislamiento (lockdown) de un dispositivo. Estos mecanismos suelen existir para proteger la privacidad del usuario y, por regla general, no conllevan un riesgo significativo, aunque en ocasiones el riesgo de tales soluciones puede situarse por encima del promedio.
• La segunda es la máquina virtual propiamente dicha: un sistema que emula hardware de computador, ya sea implementado por software o por hardware. Esta categoría es la más peligrosa de las dos, y separarla con claridad de las herramientas orientadas a la privacidad es lo que mantiene bajos los falsos positivos mientras se detecta la evasión genuina.

Cómo detectar máquinas virtuales

El enfoque clásico analiza las características del sistema operativo, pero ese método no está disponible para una aplicación web, de modo que las técnicas alternativas asumen la carga – cada una con sus propios errores de Tipo I y Tipo II. Tres métodos hacen la mayor parte del trabajo:

1. Detección de anomalías. A menudo el mejor punto de partida, ya que tiende a producir el menor error de Tipo II. Busca anomalías de renderizado, irregularidades en las propiedades de pantalla y gráficos, y comportamientos de la memoria RAM que no coinciden con los de un dispositivo físico.
2. Pruebas de rendimiento. Miden el rendimiento gráfico, como la tasa de fotogramas, junto con el comportamiento de la memoria, el disco duro y la tarjeta de sonido, frente a lo que produciría un hardware real.
3. Análisis de integridad del software instalado. La dirección más prometedora para las aplicaciones web. Las máquinas virtuales difieren sustancialmente de los dispositivos reales en contenido y funcionalidad, y esa brecha es difícil de disimular. La misma lógica se extiende a la detección de emuladores en el ámbito móvil, donde los entornos emulados son el equivalente directo de las VM de escritorio.

Ninguna técnica es universal. Un antifraude y una gestión de riesgo eficaces funcionan en tiempo real, aportan datos de alto valor para fortalecer el sistema de decisión, y leen señales de comportamiento y correlaciones ocultas en lugar de depender de una sola prueba de forma aislada. Un recorrido técnico más profundo por estos métodos está disponible en nuestro artículo complementario sobre detección de máquinas virtuales.