Adelantarse a los ciberdelincuentes alineando la seguridad y el fraude

A veces, el fraude puede parecer el juego del gato y el ratón: los delincuentes suelen ser agresivos y están a la ofensiva, mientras que las empresas se esfuerzan por protegerse y están a la defensiva. Para las empresas, el juego es cada vez más difícil. Las herramientas de las organizaciones criminales son cada vez más sofisticadas y sus ataques más complejos. A las empresas de servicios financieros y a los comerciantes les resulta difícil adaptar constantemente sus defensas de seguridad contra el fraude para seguir el ritmo de la rápida evolución de los ataques. Y, si no están al día, se quedan atrás. Los peligros son mayores pérdidas, transacciones abandonadas e insatisfacción de los clientes. Perder dinero y clientes no es una buena combinación.

Es el momento de replantearse el enfoque de la prevención del fraude. Pero ya me lo imagino. «Tengo poco personal y poca financiación. ¿Cómo quieres que me mantenga al día si las organizaciones criminales son cada vez más ágiles y están mejor financiadas?» En este difícil entorno, es hora de trabajar de forma más inteligente, no más dura. Los comerciantes y las empresas de servicios financieros que han resuelto esto lo han conseguido mirando tanto hacia dentro como hacia afuera.

Mirar hacia dentro

Mirando hacia dentro, las empresas de éxito han admitido sus ineficiencias en materia de seguridad y mitigación del fraude. Es habitual tener un departamento de ciberseguridad que protege las redes informáticas y las aplicaciones externas de infiltraciones, explotaciones y ataques de denegación de servicio, y un departamento de fraude centrado en las transacciones en línea/digitales, la correlación de eventos y la respuesta a incidentes. Esto crea una segregación de responsabilidades y dos departamentos con diferentes herramientas, conjuntos de datos, indicadores de rendimiento, personal y presupuestos. Veamos cómo perjudica esto a una empresa.

Las filtraciones de datos y de credenciales han expuesto miles de millones de registros de información personal identificable, incluyendo nombres de usuario y contraseñas. En un ataque típico, un atacante lleva a cabo el credential stuffing utilizando redes de bots altamente distribuidas para probar estos pares a escala e identificar cuáles son válidos. Con un par válido, un atacante se convierte fácilmente en un ciberdelincuente al apoderarse de la cuenta en línea de un cliente, ya que puede extraer dinero, blanquear puntos de fidelidad o realizar compras no autorizadas. Dependiendo de las medidas de seguridad, el ciberdelincuente puede modificar el ataque utilizando herramientas que van desde los scripts de red y las redes de bots, hasta las que emulan el comportamiento humano o marcos de trabajo que pueden hacer llamadas de API a granjas de clics humanos para resolver CAPTCHA.

Este tipo de ataque abarca las responsabilidades de los equipos de seguridad y de fraude. Si los equipos de seguridad y de fraude o sus herramientas no se comunican, se pierden la información sobre las amenazas y el contexto, y es difícil (quizá imposible) ver la totalidad del ataque. Como resultado, los estafadores se escabullen y las empresas y sus clientes sufren pérdidas financieras.

Es hora de romper los silos organizativos. La colaboración entre equipos y tecnología puede ser el vehículo para la convergencia, el aumento de los ingresos y, en última instancia, el éxito de la empresa. Además, la puesta en común de recursos y datos mejora la visibilidad, lo que permite mantener fuera a las organizaciones delictivas y dejar pasar a los buenos clientes sin fricciones. En un reciente estudio de Aite-Novarica Group sobre 110 empresas de tecnología financiera, las que tienen un sistema de fraude integrado tienden más a decir que es fácil gestionar el fraude, en comparación con las empresas con sistemas de fraude separados y distintos.

Una plataforma integrada tiene la ventaja de ver más del panorama del fraude a través de la agrupación y el análisis continuo de los datos. Con un conjunto de datos más amplio, y por tanto con más señales de fraude, es posible crear modelos de aprendizaje automático más predictivos y precisos. Esto no solo puede conducir a una inteligencia más proactiva y procesable, sino también a una mejor experiencia de usuario, ya que la mayor precisión puede acelerar la autenticación, proporcionando una forma fluida para que los clientes realicen transacciones sin aumentar el fraude.

Mirar hacia afuera

Mirar hacia afuera también es importante para crear un ecosistema contra el fraude eficaz. Es una práctica habitual que las empresas de servicios financieros y los comerciantes adquieran herramientas y gestionen el fraude internamente, y que el personal configure las herramientas para prevenir el fraude. A medida que los ataques de fraude evolucionan con el tiempo, la empresa tiene que adaptar sus estrategias para contrarrestarlos, ajustar las reglas de autenticación e investigar los falsos positivos. En otras palabras, la empresa tiene que experimentar un nuevo ataque de fraude (y una pérdida financiera) antes de poder prevenir los futuros. Esta estrategia reactiva deja a la empresa expuesta mientras los departamentos internos investigan y remedian la brecha de seguridad.

¿Por qué no ser proactivo? Los proveedores que ofrecen soluciones comerciales aprovechan su amplia experiencia y visibilidad para proteger a sus clientes mejor de lo que un cliente individual puede protegerse a sí mismo. ¿Cómo? Bueno, un proveedor con una gran base de clientes en múltiples geografías e industrias tiene una visión muy amplia del fraude, especialmente cuando la inteligencia de las amenazas se comparte a través de su red de defensa colectiva. Si surge un nuevo vector de ataque de fraude, el proveedor puede modificar rápidamente sus defensas contra el fraude para proteger a todos los clientes.

La solución para ganar-ganar

Adelantarse a la creciente sofisticación de las organizaciones delictivas y de sus ataques es difícil, sobre todo con la escasez de personal y recursos. Es hora de mirar hacia dentro y hacia afuera. Reunir la ciberseguridad y la gestión del fraude en un equipo integrado y aprovechar la experiencia externa ofrece tres ventajas principales. La gestión de la ciberseguridad/fraude se simplifica, las pérdidas se reducen y los clientes tienen una mejor experiencia en línea. Una solución en la que todos ganan.

Por David Mattei, asesor estratégico de Aite-Novarica Group

_____

Para obtener una perspectiva adicional, lea el informe de Aite para conocer nuevas estrategias para minimizar las pérdidas por fraude.