Señales de fraude frente a señales de intrusión

El fraude es dinero movido contra la voluntad real de un cliente: toma de cuenta, engaño del propio cliente, tarjeta clonada. Muchas veces ocurre sin que nadie haya entrado a los sistemas del banco: se usó una credencial legítima. La intrusión es acceso no autorizado a la infraestructura del banco: servidores, cuentas de servicio, bases de datos.

Ocurren juntos con frecuencia, pero no son lo mismo. El equipo de fraude decide sobre la operación y la cuenta del cliente; el SOC investiga cómo se llegó a los sistemas. Quien lo mezcla bloquea al cliente cuando el problema era un servidor, o cierra el caso de un servidor mirando solo la cuenta del cliente.

Una cuenta de servicio no es una persona y no tiene dispositivo habitual: tiene un horario, un origen y una tarea. Cuando inicia sesión de forma interactiva desde un equipo de administración y consulta tablas que no son las suyas, el problema ya no es un cliente.

Ejecuta SELECT * FROM alertas WHERE tipo_de_sujeto = 'cuenta de servicio'.

El relleno de credenciales prueba usuarios y claves filtrados en otros sitios, desde pocas direcciones y contra muchas cuentas. La fuerza bruta contra un cliente es lo contrario: una cuenta, muchos intentos. Una oficina detrás de una misma salida a internet también concentra cuentas, pero con aciertos normales.

Ejecuta SELECT * FROM intentos_por_ip ORDER BY cuentas_distintas DESC y compara las tres filas.

Cuando el dispositivo y la IP son los habituales, un bloqueo automático no ayuda: no hay nada que bloquear del lado técnico. La señal está en el destinatario nuevo y en la historia de la llamada. Es una conversación con el cliente, no un caso de intrusión, y el equipo de fraude la lleva con el SOC como apoyo.

Ejecuta SELECT * FROM alertas WHERE dispositivo_conocido = 'si'.