Fraude con tarjetas de crédito

Dada la inmensa dificultad de detectar el fraude con tarjetas de crédito, se desarrolló la inteligencia artificial y computacional para que las máquinas intentaran realizar tareas en las que los humanos ya se desempeñan bien. La inteligencia computacional es simplemente un subconjunto de la IA que permite la inteligencia en un entorno cambiante. Gracias a los avances en inteligencia artificial y computacional, las formas más comunes y sugeridas para detectar el fraude con tarjetas de crédito son las técnicas de inducción de reglas, los árboles de decisión, las redes neuronales, las máquinas de vectores de soporte, la regresión logística y las metaheurísticas. Se pueden utilizar muchos enfoques diferentes para detectar el fraude con tarjetas de crédito. Por ejemplo, algunos sugieren un marco que se puede aplicar en tiempo real, donde primero se realiza un análisis de valores atípicos por separado para cada cliente utilizando mapas autoorganizados y luego se utiliza un algoritmo predictivo para clasificar las transacciones que parecen anormales. Algunos problemas que surgen al detectar el fraude con tarjetas de crédito mediante inteligencia computacional son la idea de clasificaciones erróneas, como falsos negativos/positivos, así como la detección de fraude en una tarjeta de crédito con un límite disponible mayor es mucho más prominente que la detección de fraude en una tarjeta con un límite disponible menor. Un algoritmo que ayuda a detectar este tipo de problemas es el algoritmo MBO. Esta es una técnica de búsqueda que genera mejoras a través de sus "soluciones vecinas". Otro algoritmo que ayuda con estos problemas es el algoritmo GASS. En GASS, se trata de un híbrido de algoritmos genéticos y búsqueda dispersa. ^{[ 8 ]}

Profundizando un poco más en las dificultades de la detección del fraude con tarjetas de crédito, incluso con los avances diarios en aprendizaje y tecnología, las empresas se niegan a compartir sus algoritmos y técnicas con terceros. Además, las transacciones fraudulentas representan solo entre el 0,01 % y el 0,05 % de las transacciones diarias, lo que dificulta aún más su detección. El aprendizaje automático es similar a la inteligencia artificial, ya que es un subcampo de la IA y la estadística es una subdivisión de las matemáticas. En cuanto al aprendizaje automático, el objetivo es encontrar un modelo que produzca el nivel más alto sin sobreajustarse. El sobreajuste significa que el sistema informático memoriza los datos y, si una nueva transacción difiere de alguna manera en el conjunto de entrenamiento, es muy probable que se clasifique erróneamente, lo que provoca la frustración del titular de la tarjeta o que sea víctima de un fraude no detectado. Los lenguajes de programación más populares utilizados en el aprendizaje automático son Python, R y MATLAB. Al mismo tiempo, SAS también se está convirtiendo en un competidor cada vez más importante. Dentro de estos programas, el método más sencillo utilizado en esta industria es la Máquina de Vectores de Soporte (SVM). R cuenta con un paquete que ya incluye la función SVM. Cuando se emplean máquinas de vectores de soporte (SVM), se obtiene una forma eficiente de extraer datos. Las SVM se consideran un campo de investigación activo y también resuelven con éxito problemas de clasificación. Desempeñan un papel fundamental en el aprendizaje automático y presentan un excelente rendimiento de generalización en una amplia gama de problemas de aprendizaje, como el reconocimiento de dígitos escritos a mano, la clasificación de páginas web y la detección de rostros. Las SVM también son un método eficaz porque reducen la posibilidad de sobreajuste y la dimensionalidad. ^{[ 9 ]}

Los enfoques de aprendizaje automático y aprendizaje profundo han demostrado un gran potencial en la detección de fraudes debido a su capacidad para aprender automáticamente patrones de comportamiento complejos. Sin embargo, muchos modelos de alto rendimiento se comportan como cajas negras, generando predicciones sin una comprensión significativa de su lógica de decisión. Esta falta de transparencia es problemática en entornos financieros regulados que exigen cada vez más inteligencia artificial explicable. Regulaciones como el RGPD enfatizan aún más el derecho a la explicación en la toma de decisiones automatizada, lo que convierte la interpretabilidad en un requisito fundamental. ^{[ 10 ]}

El fraude en solicitudes de crédito se produce cuando una persona utiliza documentos robados o falsificados para abrir una cuenta a nombre de otra persona. Los delincuentes pueden robar o falsificar documentos como facturas de servicios públicos y extractos bancarios para crear un perfil falso. Al abrir una cuenta con documentos falsos o robados, el estafador puede retirar dinero u obtener crédito a nombre de la víctima. ^{[ 11 ]}

El fraude en las solicitudes de crédito también puede ocurrir mediante una identidad sintética, similar a los documentos falsos mencionados anteriormente. Una identidad sintética es información personal recopilada de diversas identidades para crear una identidad falsa. Una vez establecida la identidad y la cuenta, el estafador tiene varias opciones para aprovecharse del banco. Puede maximizar el gasto con su tarjeta de crédito gastando la mayor cantidad de dinero posible. Muchos estafadores usarán la nueva tarjeta para comprar artículos con un alto valor de reventa y así convertirlos en efectivo. ^{[ 12 ]}

El robo de cuenta se refiere al acto mediante el cual los estafadores intentan tomar el control de la cuenta de un cliente (por ejemplo, tarjetas de crédito, correo electrónico, cuentas bancarias, tarjetas SIM, etc.). El control a nivel de cuenta ofrece grandes beneficios a los estafadores. Según Forrester, la autenticación basada en riesgos (RBA) desempeña un papel fundamental en la mitigación de riesgos. ^{[ 13 ]}

Un estafador utiliza parte de la identidad de la víctima, como su dirección de correo electrónico, para acceder a sus cuentas financieras. Posteriormente, intercepta las comunicaciones relacionadas con la cuenta para que la víctima no se entere de ninguna amenaza. Las víctimas suelen ser las primeras en detectar el robo de cuentas cuando descubren cargos no autorizados en sus extractos mensuales o múltiples retiros sospechosos. ^{[ 14 ]} Se ha observado un aumento en el número de robos de cuentas desde la adopción de la tecnología EMV, que dificulta a los estafadores la clonación de tarjetas de crédito físicas. ^{[ 15 ]}

Entre los métodos más comunes que utiliza un estafador para apoderarse de una cuenta se encuentran las aplicaciones de verificación con proxy, los ataques de fuerza bruta con botnets, el phishing ^{[ 16 ]} y el malware. Otros métodos incluyen la búsqueda de información personal en la basura, y la compra directa de listas de "Fullz", un término coloquial para referirse a paquetes completos de información de identificación que se venden en el mercado negro. ^{[ 17 ]}

Una vez que inician sesión, los estafadores tienen acceso a la cuenta y pueden realizar compras y retirar dinero de las cuentas bancarias. Tienen acceso a toda la información vinculada a la cuenta y pueden robar números de tarjetas de crédito, así como números de la Seguridad Social. Pueden cambiar las contraseñas para impedir que la víctima acceda a su cuenta. Los ciberdelincuentes tienen la oportunidad de abrir otras cuentas, utilizar las recompensas y beneficios de la cuenta y vender esta información a otros piratas informáticos. ^{[ 18 ]}

El fraude mediante ingeniería social puede ocurrir cuando un delincuente se hace pasar por otra persona, lo que resulta en una transferencia voluntaria de dinero o información al estafador. ^{[ 19 ]} Los estafadores están recurriendo a métodos más sofisticados para estafar a personas y empresas. Una táctica común es enviar correos electrónicos falsificados suplantando la identidad de un alto cargo y tratando de engañar a los empleados para que transfieran dinero a una cuenta bancaria fraudulenta. ^{[ 20 ]}

Los estafadores pueden utilizar diversas técnicas para obtener información personal haciéndose pasar por un banco o una empresa de procesamiento de pagos. El phishing telefónico es la técnica de ingeniería social más común para ganarse la confianza de la víctima.

Las empresas pueden protegerse mediante un proceso de doble autorización para la transferencia de fondos que requiere la autorización de al menos dos personas, y un procedimiento de devolución de llamada a un número de contacto previamente establecido, en lugar de cualquier información de contacto incluida con la solicitud de pago. El banco debe reembolsar cualquier pago no autorizado; sin embargo, puede denegar el reembolso si puede demostrar que el cliente autorizó la transacción, o si puede demostrar que el cliente es culpable por haber actuado deliberadamente o por no haber protegido los datos que permitieron la transacción. ^{[ 21 ]}

El skimming es el robo de información personal que se ha utilizado en una transacción que, de otro modo, sería normal. El ladrón puede obtener el número de tarjeta de una víctima utilizando métodos básicos como fotocopiar recibos o métodos más avanzados como usar un pequeño dispositivo electrónico (skimmer) para deslizar y almacenar cientos de números de tarjeta de las víctimas. ^{[ 22 ]} Los escenarios comunes para el skimming son taxis, restaurantes o bares donde el skimmer tiene en su poder la tarjeta de pago de la víctima fuera de su vista inmediata. ^{[ 23 ]} El ladrón también puede usar un pequeño teclado para transcribir discretamente el código de seguridad de la tarjeta de tres o cuatro dígitos , que no está presente en la banda magnética.

Los centros de llamadas son otro lugar donde el skimming puede ocurrir fácilmente. ^{[ 24 ]} El skimming también puede ocurrir en comercios cuando se instala un dispositivo lector de tarjetas de terceros fuera de un terminal de lectura de tarjetas. Este dispositivo permite al ladrón capturar la información de la tarjeta del cliente, incluido su PIN, con cada uso. ^{[ 25 ]}

El skimming es difícil de detectar para el titular de tarjeta promedio, pero con una muestra suficientemente grande, es relativamente fácil para el emisor de la tarjeta detectarlo. El emisor recopila una lista de todos los titulares de tarjetas que se han quejado de transacciones fraudulentas y luego utiliza minería de datos para descubrir relaciones entre ellos y los comercios que frecuentan. Los algoritmos sofisticados también pueden buscar patrones de fraude. Los comercios deben garantizar la seguridad física de sus terminales, y las sanciones para los comercios pueden ser severas si se ven comprometidos, desde grandes multas por parte del emisor hasta la exclusión total del sistema, lo que puede ser un golpe fatal para negocios como los restaurantes, donde las transacciones con tarjeta de crédito son habituales.

Se han reportado casos de clonación de tarjetas en los que el perpetrador ha colocado sobre la ranura de la tarjeta de un cajero automático un dispositivo que lee la banda magnética mientras el usuario, sin saberlo, introduce su tarjeta. ^{[ 26 ]} Estos dispositivos se utilizan a menudo junto con una cámara en miniatura para leer simultáneamente el número de identificación personal del usuario. ^{[ 27 ]} Este método se ha utilizado en muchas partes del mundo, incluyendo Sudamérica ^{[ 28 ]} y Europa. ^{[ 29 ]}

El pago de facturas en línea y las compras por internet mediante una cuenta bancaria son fuentes de facturación recurrente conocidas como "cargos bancarios recurrentes". Se trata de órdenes permanentes o instrucciones bancarias de un cliente para pagar una cantidad determinada cada mes al beneficiario. En el comercio electrónico , especialmente en Estados Unidos , un vendedor o beneficiario puede recibir el pago mediante débito directo a través de la red ACH . Si bien muchos pagos o compras son válidos y el cliente tiene la intención de pagar la factura mensualmente, algunos se conocen como pagos automáticos fraudulentos . ^{[ 30 ]}

Otro tipo de fraude con tarjetas de crédito afecta a los clientes de servicios públicos. Estos reciben comunicaciones no solicitadas, ya sea en persona, por teléfono o por correo electrónico, de personas que se hacen pasar por representantes de las compañías de servicios públicos . Los estafadores les advierten que les cortarán el suministro a menos que realicen un pago inmediato, generalmente mediante una tarjeta de débito recargable. En ocasiones, utilizan números de teléfono y gráficos que parecen auténticos para engañar a las víctimas.

El phishing es uno de los métodos más comunes para robar datos personales. Se trata de un tipo de ciberataque en el que el atacante se hace pasar por una persona, institución o entidad creíble e intenta engañar a la víctima para que acepte un mensaje o realice una acción con una solicitud específica. A menudo, la víctima recibe un correo electrónico o un mensaje de texto sobre algo que posiblemente desee o necesite, con la esperanza de que lo abra o descargue. El phishing aumentó durante la pandemia de COVID-19, ya que el mundo dependió más de las comunicaciones electrónicas, y los investigadores observaron un aumento sustancial del 667 % en los ataques de phishing solo durante los primeros meses de la pandemia. ^{[ 31 ]} Además, dada la importancia de los sistemas de atención médica en los últimos años, las empresas de atención médica han sido los principales objetivos de los ataques de phishing. Dichas empresas poseen grandes cantidades de datos personales de pacientes que pueden ser extremadamente valiosos para un atacante.

El intercambio de información consiste en la transferencia o el intercambio de datos entre personas, empresas, organizaciones y tecnologías. Los avances tecnológicos, internet y las redes han acelerado el crecimiento del intercambio de información. Ahora, la información se puede transmitir y procesar a velocidades sin precedentes.

Es posible que las personas no sean conscientes de la cantidad de información personal sensible que comparten a diario. Por ejemplo, al comprar en línea, proporcionan su nombre, correo electrónico, dirección postal e información de la tarjeta de crédito, datos que pueden almacenarse y compartirse con terceros para rastrear sus futuras compras. Si bien las organizaciones se esfuerzan por mantener la información personal de sus usuarios segura en sus bases de datos, históricamente los hackers han logrado vulnerar la seguridad y acceder a enormes cantidades de datos. Una de las mayores filtraciones de datos ocurrió en 2013, cuando hackers atacaron el sistema de punto de venta de la cadena de tiendas de descuento estadounidense Target , comprometiendo los datos personales de aproximadamente 40  millones de clientes. CNN Business informó que "introdujeron malware en las terminales donde los clientes deslizan sus tarjetas de crédito, o recopilaron datos de los clientes durante su transmisión desde Target a sus procesadores de tarjetas de crédito". ^{[ 32 ]} En una sola compra en caja, se recopilan grandes cantidades de datos personales, cuyo robo tiene graves consecuencias. La infraestructura del mercado financiero y el sistema de pagos seguirán estando en constante evolución, ya que luchan continuamente contra los ciberdelincuentes.

Aunque no es obligatorio a nivel federal en Estados Unidos, el estándar PCI DSS es obligatorio según el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago (PCI DSS), compuesto por las principales marcas de tarjetas de crédito, que lo mantiene como estándar del sector. Algunos estados lo han incorporado a sus leyes.

Regulación y gobernanza

En Canadá, las tarjetas de crédito se rigen por la Ley Bancaria y están supervisadas por la Agencia de Protección Financiera del Consumidor de Canadá (FCAC). El Código de Conducta para la Industria de Tarjetas de Crédito y Débito también se aplica a las redes de pago, garantizando la transparencia y un trato justo en la gestión de las cuentas de comerciantes y consumidores. En Canadá, la Oficina del Superintendente de Instituciones Financieras (OSFI) supervisa las instituciones financieras reguladas a nivel federal.

Responsabilidad del titular de la tarjeta

La ley canadiense limita la responsabilidad del titular de la tarjeta por transacciones fraudulentas a un máximo de 50 dólares si el fraude se denuncia de inmediato. Sin embargo, la mayoría de las tarjetas de crédito ofrecen protección de responsabilidad cero, lo que significa que los consumidores generalmente no son responsables de las transacciones no autorizadas.

Fraude y pérdidas

En Canadá, el fraude con tarjetas de crédito es un tipo de robo de identidad y está tipificado en el Código Penal canadiense . Según el Centro Canadiense Antifraude, en 2022 se perdieron más de quinientos millones de dólares en fraudes de pago, lo que convierte al fraude, especialmente el relacionado con tarjetas de crédito, en el principal delito financiero del país. El Centro Canadiense Antifraude (CAFC) realiza un seguimiento y análisis de las tendencias del fraude.

En el Reino Unido, las tarjetas de crédito se rigen por la Ley de Crédito al Consumidor de 1974 (modificada en 2006 ). Esta ley establece diversas protecciones y requisitos. Cualquier uso indebido de la tarjeta, salvo que sea intencionalmente delictivo por parte del titular, deberá ser reembolsado por el comercio o la entidad emisora.

La regulación de los bancos en el Reino Unido está a cargo del Banco de Inglaterra (BoE), la Autoridad de Regulación Prudencial (PRA), una división del BoE, y la Autoridad de Conducta Financiera (FCA), que gestiona la supervisión diaria. No existe una legislación o regulación específica que rija el sector de las tarjetas de crédito. Sin embargo, la Asociación de Servicios de Compensación de Pagos (APACS) es la institución a la que pertenecen todos los miembros de liquidación. Esta organización opera bajo la Directiva de Consolidación Bancaria para proporcionar un mecanismo que permita supervisar y regular las transacciones. UK Finance es la asociación del sector bancario y de servicios financieros del Reino Unido, y representa a más de 250 empresas que ofrecen servicios de crédito, banca y pagos.

En Australia , el fraude con tarjetas de crédito se considera una forma de delito de identidad . El Centro Australiano de Informes y Análisis de Transacciones ha establecido definiciones estándar en relación con el delito de identidad para su uso por las fuerzas del orden en toda Australia:

• El término identidad abarca la identidad de las personas físicas (vivas o fallecidas) y la identidad de las personas jurídicas.
• La fabricación de identidad describe la creación de una identidad ficticia.
• La manipulación de la identidad describe la alteración de la propia identidad.
• El robo de identidad describe el robo o la usurpación de una identidad preexistente (o una parte significativa de la misma), con o sin consentimiento, y tanto si, en el caso de un individuo, la persona está viva como si ha fallecido.
• El delito de identidad es un término genérico para describir actividades/delitos en los que un perpetrador utiliza una identidad fabricada, una identidad manipulada o una identidad robada/asumida para facilitar la comisión de uno o más delitos. ^{[ 36 ]}

Dado el creciente número de transacciones no autorizadas con tarjetas de pago que implican fraude y estafas, la Autoridad Monetaria de Hong Kong emitió dos circulares el 25 de abril de 2023. ^{[ 38 ]}

• Truncamiento del PAN : no se muestra el número de cuenta principal completo en los recibos .
• Tokenización (seguridad de datos) : uso de una referencia (token) al número de tarjeta en lugar del número de tarjeta real.
• Solicitar información adicional, como un PIN, código postal o código de seguridad de la tarjeta.
• Realizar la validación de geolocalización, como la dirección IP.
• Uso de autenticación confiable , indirectamente a través de PayPal o directamente a través de iSignthis o miiCard .

• Software de detección y prevención de fraude ^{[ 52 ] [ 53 ] [ 54 ] [ 55 ]} que analiza patrones de comportamiento normal e inusual, así como transacciones individuales, para señalar posibles fraudes. Los perfiles incluyen información como la dirección IP. ^{[ 56 ]} Existen tecnologías desde principios de la década de 1990 para detectar posibles fraudes. Uno de los primeros participantes en el mercado fue Falcon; ^{[ 53 ]} otras soluciones de software líderes para el fraude con tarjetas incluyen Actimize, SAS, BAE Systems Detica e IBM.
• Procesos empresariales de detección y respuesta al fraude, tales como:
  • Contactar al titular de la tarjeta para solicitar la verificación.
  • Implementar controles/retenciones preventivas en las cuentas que puedan haber sido víctimas.
  • Bloqueo de la tarjeta hasta que el titular verifique las transacciones.
  • Investigación de actividades fraudulentas
• Medidas de autenticación robustas como:
  • Autenticación multifactor , que verifica que la cuenta está siendo accedida por el titular de la tarjeta mediante la solicitud de información adicional como el número de cuenta, PIN, código postal y preguntas de seguridad . Hay cinco factores principales para la autenticación multifactor, que incluyen: ^{[ 57 ]}
    1. Conocimiento: cosas que un usuario sabe, como contraseñas o respuestas a preguntas de seguridad.
    2. Posesión: un objeto que el usuario debe tener en su posesión, como por ejemplo la tarjeta de crédito física.
    3. Inherencia: un rasgo biológico del usuario, como la huella dactilar o el reconocimiento facial.
    4. Ubicación: dónde se encuentra el usuario en el momento de la autenticación; verifique que el usuario fue quien utilizó la tarjeta.
    5. Hora: ¿el momento en que se realiza la autenticación es a una hora inusual o en varios momentos?
  • Autenticación de múltiples factores de posesión, que verifica que la cuenta está siendo accedida por el titular de la tarjeta a través del requisito de dispositivos personales adicionales como reloj inteligente, autenticación de desafío-respuesta de teléfono inteligente ^{[ 58 ]}
  • Autenticación fuera de banda, ^{[ 59 ]} que verifica que la transacción la realiza el titular de la tarjeta a través de un canal de comunicación "conocido" o "confiable", como un mensaje de texto, una llamada telefónica o un dispositivo de token de seguridad.
• Colaboración de la industria e intercambio de información sobre estafadores conocidos y vectores de amenazas emergentes ^{[ 60 ] [ 61 ]}
• Controles de datos automatizados:
  1. El uso de controles de datos automatizados que se utilizan para reconocer cuándo se produce una actividad o gasto inusual con una tarjeta de crédito. Estos controles se pueden utilizar en tiempo real para reaccionar "...ante cualquier cosa sospechosa que encuentren, de modo que el flujo de actividad fraudulenta se detenga lo antes posible..." (Johnston). ^{[ 62 ]} Las tres formas principales en que los controles de datos automatizados protegen la información incluyen:
     1. Conciliación y verificación para garantizar que los controles funcionen correctamente.
     2. Sistema de monitorización y alerta continuo que avisa al titular de la tarjeta o al banco cuando se produce alguna actividad inusual.
     3. Informes que garantizan que las organizaciones cuenten con los controles adecuados para prevenir actividades fraudulentas.

• Área interna de autoservicio bancario para que el cliente realice sus transacciones independientemente de las condiciones climáticas. La puerta de acceso:
  • Identifica a cada titular de tarjeta que accede al área designada.
  • Aumenta la protección para los clientes durante los procedimientos de autoservicio.
  • Protege los cajeros automáticos y los activos bancarios contra el uso no autorizado.
  • El área protegida también puede ser monitoreada por el sistema de videovigilancia del banco.
  • Las tarjetas utilizan identificación por CHIP (por ejemplo, PASSCHIP ^{[ 63 ]} ) para disminuir la posibilidad de clonación de tarjetas.

• Promulgar leyes de protección al consumidor relacionadas con el fraude con tarjetas.
• Realizar exámenes periódicos y evaluaciones de riesgos de los emisores de tarjetas de crédito ^{[ 64 ]}
• Publicar estándares, guías y directrices para proteger la información de los titulares de tarjetas y monitorear la actividad fraudulenta ^{[ 65 ].}
• Regulaciones como la introducida en la SEPA y la UE28 por los requisitos de 'SecuRe Pay' del Banco Central Europeo ^{[ 66 ]} y la legislación de la Directiva de Servicios de Pago 2 ^{[ 67 ]} .

• Denunciar tarjetas perdidas o robadas
• Revisar los cargos periódicamente e informar de inmediato sobre las transacciones no autorizadas.
• Mantener la tarjeta de crédito siempre a la vista del titular, por ejemplo, en restaurantes y taxis.
• Instalación de software antivirus en ordenadores personales
• Tenga precaución al usar tarjetas de crédito para compras en línea, especialmente en sitios web no confiables; asegúrese de que el sitio sea de buena reputación.
• Mantener un registro de los números de cuenta, sus fechas de vencimiento, el número de teléfono y la dirección de cada empresa en un lugar seguro. ^{[ 68 ]}
• No enviar información de tarjetas de crédito por correo electrónico no cifrado
• No guardar los números PIN escritos junto con la tarjeta de crédito.
• No proporcionar números de tarjetas de crédito ni otra información en línea.
• Regístrate para recibir alertas de transacciones cuando se utilice la tarjeta.
• Manténgase alerta ante las estafas de phishing.