Registros de identidad de clientes para detectar abuso

Un evento de identidad sirve para detectar abuso si responde, sin tener que ir a buscar a otro sistema, cinco preguntas: sobre qué cuenta, qué pasó, desde dónde (dirección y dispositivo), con qué resultado y quién lo hizo. La última parece obvia porque casi siempre es el propio cliente, pero no lo es en los flujos asistidos: cuando un agente cambia un dato por teléfono, el actor es el agente, y sin su identificador no hay forma de ver si un mismo agente aparece en muchos casos raros.

El otro requisito es poder unir eventos de la misma cuenta en el tiempo. Una toma de cuenta casi nunca es un evento sospechoso; es una cadena de eventos normales en un orden y a una velocidad que no son normales: cambio de dato de contacto, recuperación, factor nuevo, inicio de sesión y una operación de dinero, todo en minutos.

Abre el laboratorio y lee catalogo-de-eventos.txt. Compara qué eventos ocurren en el centro de llamadas y qué campos lleva cada uno. Después confírmalo en eventos-identidad.log.

OWASP llama creación de cuentas (OAT-019) a la creación masiva de cuentas para abusar de lo que se regala al registrarse: bonos, pruebas gratuitas, cupones. Quien lo hace suele cambiar de dirección y de correo en cada registro, porque sabe que esos campos se vigilan, pero le cuesta más cambiar de dispositivo. Al revés, muchos registros desde la misma red de una empresa, cada uno con su dispositivo y el correo de esa empresa, suelen ser personas distintas en la misma oficina.

Lee registros-con-bono.txt y agrupa por dispositivo, por dirección y por dominio del correo.

En eventos-identidad.log hay varias cuentas con cambios sensibles. Busca la que recorre, en menos de 30 minutos, toda la cadena: cambio del celular, recuperación, factor nuevo, inicio de sesión y cambio de la cuenta donde se pagan los reembolsos. Hay cuentas que hacen parte de la cadena y cuentas que la hacen completa pero en días distintos.

Los reclamos por reembolsos desviados llegan cuando el afiliado ve su extracto, a veces semanas o meses después. La investigación necesita entonces los eventos de identidad de ese momento, y el equipo de fraude, que no opera el SIEM, los necesita para sus propias reglas.