Fraude digital: indicadores leídos

Un cliente que inicia sesión desde un teléfono nuevo no es sospechoso: la gente cambia de teléfono. Un cambio de número de celular tampoco. Lo que delata una toma de cuenta es la secuencia: dispositivo nuevo, cambio del dato de contacto que recibe los códigos, inscripción de una cuenta destino que el cliente nunca usó y transferencia, todo en minutos. Cambiar el celular primero sirve para que los avisos y los códigos siguientes ya no lleguen al dueño.

Y lo que convierte casos sueltos en una campaña es lo que se repite entre clientes que no tienen nada en común: el mismo dispositivo, el mismo número nuevo, la misma cuenta destino. Eso es inteligencia: un patrón que permite reconocer el siguiente caso antes de que el dinero salga.

Abre la consola y ejecuta SELECT * FROM eventos_banca. La huella de dispositivo la calcula la app del banco; un mismo teléfono que entra a las cuentas de varios clientes distintos en una mañana no es de ninguno de ellos. Compara también al cliente que registró su teléfono nuevo en la mañana: tiene dispositivo nuevo, pero no repite nada con los demás.

Ejecuta SELECT * FROM cuentas_destino. Una cuenta que recibe el dinero de un fraude y lo saca casi enseguida en efectivo es una cuenta de paso, a menudo abierta hace poco y a nombre de alguien reclutado para prestarla. Las señales se leen juntas: pocos días de abierta, muchos clientes distintos que le envían y retiro el mismo día.

La ventana entre el cambio de celular y la transferencia es el tiempo que tiene el banco para frenar el dinero. Si ese tiempo es de minutos, una revisión manual llega tarde, y el control tiene que ser automático: por ejemplo, un límite durante las horas siguientes a un cambio de celular. Mide la ventana en cada uno de los tres clientes de la campaña.

Mapear la campaña a MITRE ATT&CK permite compararla con otras y hablar con el resto del sector en el mismo idioma. La sesión con clave y código correctos es uso de cuentas válidas (T1078). El paso final, sacar dinero de la víctima, tiene su propia técnica en la táctica de impacto, creada en 2023 para nombrar lo que antes quedaba fuera del marco.