Fraude en pagos

El fraude en los pagos es el riesgo de que un pago se revierta. Si un cliente ya ha gastado o retirado fondos provisionales cuando se produce la reversión, la empresa cubre la pérdida. En el sector fintech y de las criptomonedas, el fraude en los pagos suele comenzar con el robo de credenciales bancarias o de tarjetas, o con cuentas bancarias sin saldo real. El estafador deposita fondos en una cuenta en línea y luego los retira a una billetera o cuenta que controla. La víctima o su banco finalmente disputan o revierten la transacción, recuperando los fondos de la empresa. Las redes de tarjetas los denominan contracargos; la red ACH (la principal red de transferencias bancarias en EE. UU.) los llama devoluciones; en otros contextos se les llama disputas. El resultado es el mismo: la empresa pierde el importe original más las penalizaciones. Sin control, estas pérdidas se acumulan rápidamente. Visa, Mastercard, ACH y otras redes limitan la tasa de reversiones que una empresa puede soportar. Superar ese límite implica perder el acceso a la red por completo, lo que interrumpe la recaudación de ingresos. Gestionar el riesgo de financiación implica bloquear las transacciones fraudulentas sin bloquear las legítimas. Cualquier solución de gestión de riesgos debe permitir ajustar los umbrales de filtrado para que se adapten al modelo de negocio y al nivel de riesgo aceptable.

​

Tipos de fraude en pagos

​

Fraude con tarjeta

La financiación con tarjeta abarca los pagos con tarjeta de crédito y débito para compras en línea o recargas de monederos electrónicos. El riesgo principal es la devolución del cargo: el pago se revierte y la empresa asume la pérdida. Las devoluciones de cargo se dividen en dos tipos:

• Fraude amistoso: el cliente autoriza el pago, luego lo disputa y solicita una devolución de cargo para obtener un reembolso. También conocido como fraude con tarjeta de primera parte.
• Fraude real: un estafador utiliza credenciales de tarjeta robadas para ingresar fondos en una cuenta o realizar una compra. El titular legítimo de la tarjeta disputa la transacción. También conocido como fraude de terceros.

​

Fraude bancario

La financiación bancaria abarca las transferencias interbancarias utilizadas para compras en línea o depósitos en monederos electrónicos. Un estafador con credenciales bancarias en línea robadas puede transferir fondos de la cuenta de la víctima a una cuenta de la plataforma y redistribuirlos.

​

Fraude ACH

ACH (Automated Clearing House) es la principal red de transferencias interbancarias de EE. UU. El riesgo de financiación mediante ACH se divide en dos categorías:

​

Fondos insuficientes (NSF)

Cuando una cuenta bancaria no tiene saldo suficiente para cubrir una solicitud de financiación, el banco emite una devolución por fondos insuficientes (NSF) con el código R01. Las transferencias ACH tardan aproximadamente dos días hábiles en liquidarse. Si la cuenta se queda sin fondos antes de que la solicitud llegue al banco del titular, se produce una devolución por NSF. La red ACH no realiza una verificación de saldo en tiempo real al iniciar la transferencia. Los proveedores de banca abierta de terceros suplen esta deficiencia con una consulta de saldo en el punto de transacción. Incluso con una verificación de saldo, los fondos pueden salir de la cuenta durante el plazo de dos días, por lo que las devoluciones por NSF siguen siendo posibles al liquidarse la transferencia.

​

Devoluciones no autorizadas

Cuando un estafador inicia una transferencia ACH sin la autorización del titular de la cuenta, este la notifica a su banco y la transferencia se devuelve como no autorizada. Los códigos de retorno R05, R07, R10, R11 y R29 indican este problema, siendo el R10 el más común. La causa habitual es el robo de datos de la cuenta.

​

Fraude APP

En el fraude de Pago Autorizado Push (APP), la víctima envía el dinero ella misma. Un estafador la engaña o la coacciona para que autorice una transferencia a una cuenta que él controla. El fraude con tarjetas y las devoluciones ACH no autorizadas implican transacciones que el titular de la cuenta nunca aprobó. El fraude APP implica una transacción que sí aprobó, lo que dificulta su detección. El fraude APP es más común en redes en tiempo real como el Sistema de Pagos Rápidos (FPS) del Reino Unido, donde los fondos se liquidan en segundos y desaparecen una vez enviados. Tipologías comunes: estafas de inversión (promesas de alta rentabilidad, a menudo con criptomonedas o metales preciosos), estafas de compra (bienes nunca entregados), estafas románticas (relación inventada para solicitar dinero) y estafas de suplantación de identidad (el estafador se hace pasar por un banco, una agencia gubernamental o una fuerza del orden para desviar fondos). Detectar el fraude mediante aplicaciones móviles implica combinar señales de comportamiento con datos de transacciones. Las pausas prolongadas en la sesión, las entradas de pago copiadas y pegadas, los patrones de escritura que sugieren instrucciones telefónicas y el uso de herramientas de acceso remoto en segundo plano indican que un estafador está guiando a la víctima durante la transferencia. Estas señales, junto con indicadores de beneficiarios nuevos, importes inusuales y horarios atípicos, permiten una detección fiable. La inteligencia del dispositivo y la biometría conductual tanto de la cuenta emisora como de la receptora proporcionan a las empresas una cobertura que las comprobaciones de transacciones por sí solas no ofrecen. Las cuentas intermediarias en el lado receptor son un vector crítico. Los estafadores reclutan titulares o fabrican cuentas para recaudar fondos, para luego distribuirlos y retirarlos. Bloquear las identidades sintéticas y robadas durante el proceso de incorporación, antes de que puedan recibir fondos, es tan importante como los controles en el lado emisor. El Regulador de Sistemas de Pago del Reino Unido (PSR) ahora exige a los proveedores de servicios de pago que reembolsen a las víctimas de fraude mediante aplicaciones móviles hasta 85.000 libras esterlinas por reclamación, con una responsabilidad dividida a partes iguales entre la empresa emisora y la receptora. La separación es significativa: la institución receptora ahora es una parte financieramente responsable, no una mera espectadora. Se debate si 85.000 libras esterlinas es una cantidad suficiente, ya que muchas estafas de inversión y suplantación de identidad superan esa cifra. La obligación de reembolso transforma el fraude de pagos autorizados (APP, por sus siglas en inglés) de un problema de experiencia del cliente en una exposición directa a pérdidas y ganancias para los proveedores de servicios de pago (PSP) en ambos lados del pago. La Confirmación del Beneficiario (CoP, por sus siglas en inglés) está operativa en todas las empresas de pago del Reino Unido como control de primera línea. Antes de autorizar un pago, la CoP verifica si el nombre introducido por el pagador coincide con el nombre de la cuenta receptora. No elimina el fraude de pagos autorizados: los estafadores pueden instruir a las víctimas para que ignoren las advertencias de discrepancia o abran cuentas ficticias a su nombre. Sin embargo, reduce los casos de suplantación de identidad y pagos mal dirigidos, y las empresas que no la implementan se enfrentan a una mayor responsabilidad según las normas de la PSR.

​

Próximos pasos

Contáctenos para programar una demostración y obtener acceso a nuestras guías de integración y documentación de la API.