Dado que los delincuentes utilizan la IA para fabricar cadenas completas de pruebas que se corroboran entre sí, los controles de pago tradicionales ya no son suficientes. Las instituciones financieras deben ir más allá de comprobar si los documentos presentados parecen auténticos y empezar a verificar las transacciones mediante datos independientes que los atacantes no puedan controlar.
Dos casos recientes muestran la rapidez con la que están cambiando los fundamentos de la confianza. uno Según informes, los estafadores utilizaron mensajes de WhatsApp y una voz clonada por IA para suplantar la identidad de altos ejecutivos del banco privado italiano Fideuram, lo que provocó transferencias no autorizadas por valor de 95 millones de euros. En otro caso, una empresa de materias primas... Glencore Se informó que se enviaron correos electrónicos, contratos y facturas falsificados a varios bancos para respaldar solicitudes fraudulentas de financiación comercial.
Los casos difieren y las reclamaciones relacionadas con Glencore siguen siendo objeto de controversia. Sin embargo, ambos revelan áreas similares que requieren mejoras estructurales. Las decisiones financieras no pueden basarse en pruebas que parezcan familiares, coherentes y autorizadas, ya que las herramientas digitales permiten ahora a los delincuentes fabricar esa coherencia a través de múltiples canales simultáneamente.
El auge del fraude mediante IA multicanal
Un control diseñado en torno a un único elemento de prueba se pregunta si dicho elemento parece auténtico. ¿Suena bien la voz? ¿Parece plausible la dirección de correo electrónico? ¿Contiene la factura los datos esperados y coincide el contrato con una relación comercial establecida? Cada comprobación puede ser razonable por sí sola. El problema es que los delincuentes ahora pueden crear varios elementos de prueba que se refuerzan mutuamente, de modo que una señal falsificada parece validar a otra.
El caso Fideuram ilustra esto en un contexto de pagos operativos. Según Reuters, tras un mensaje de WhatsApp se realizó una llamada con una voz generada por inteligencia artificial. Ambos canales daban la impresión de una confirmación independiente, pero, según se informa, ambos estaban controlados por los mismos atacantes.
La declaración de Glencore señala un riesgo similar en la financiación del comercio, independientemente del resultado final de la disputa. El patrón que describe es uno que los bancos deberían prever: una solicitud de financiación respaldada por documentos y correspondencia que se corroboran mutuamente. Si estos materiales se evalúan únicamente comparándolos entre sí, una transacción simulada puede parecer internamente sólida, incluso cuando nadie ha comprobado de forma independiente que la operación subyacente se haya llevado a cabo.
Por qué la autenticidad visual ya no es suficiente
Los documentos, las jerarquías de aprobación y las devoluciones de llamada siguen siendo importantes. Pero el mero reconocimiento es cada vez más fácil de manipular. Un nombre, una voz, un formato o una relación comercial familiares no pueden considerarse concluyentes cuando cada elemento puede reproducirse o modificarse.
Por lo tanto, las instituciones financieras necesitan controles que verifiquen la transacción independientemente de la documentación que la respalda. La cuestión ya no radica únicamente en si la evidencia parece auténtica, sino en si el beneficiario, su comportamiento, las contrapartes y la actividad subyacente tienen sentido al contrastarlos con datos confiables y patrones de riesgo conocidos.
5 controles esenciales para pagos de alto riesgo
Antes de autorizar transferencias de alto riesgo, las instituciones deben evaluar las transacciones en función de cinco dimensiones independientes:
Identidad: ¿Se ha autenticado al solicitante a través de una ruta verdaderamente independiente, en lugar de un canal mencionado en la solicitud?
Beneficiario: ¿Coinciden el nombre de la cuenta, la titularidad, la jurisdicción y el historial con la finalidad declarada del pago?
Comportamiento: ¿El valor, la velocidad, el momento o el destino son inusuales para el cliente, el empleado o la institución?
Contraparte y red: ¿Existen entidades, cuentas o jurisdicciones vinculadas que estén asociadas a algún riesgo conocido?
Comercio subyacente: ¿Describen la factura, el contrato, el envío, las mercancías, las contrapartes y la solicitud de financiación un hecho económico creíble cuando se corrobora más allá de los documentos presentados?
Ninguna de estas verificaciones es trivial. La autenticación independiente dificulta los pagos urgentes. La validación del beneficiario depende de datos que varían según el mercado. Corroborar una transacción más allá de su propia documentación requiere tiempo y acceso a fuentes externas.
El objetivo no es aplicar todas las pruebas a todas las transacciones, sino ajustar la profundidad de la verificación al riesgo que presenta cada transacción.
Ninguna respuesta por sí sola es suficiente, y ese es precisamente el problema. Cada control puede ser burlado individualmente, y se construye una historia convincente para superarlos uno a uno. Los controles independientes modifican la dinámica del sistema. El atacante ahora debe eludir simultáneamente las verificaciones de identidad, beneficiario, comportamiento, red y transacciones, utilizando evidencia que no controla por completo. Estas verificaciones funcionan mejor cuando comparten información en lugar de estar en colas separadas.
Unificar la inteligencia sobre fraude en pagos y comercio
Cuando las instituciones separan el fraude de pagos del delito financiero basado en el comercio, pasan por alto el patrón general. Las transacciones fraudulentas requieren inteligencia integrada de ambos equipos. El pago puede ser el paso final de un fraude que comenzó con una identidad falsa, una relación comercial fabricada o documentos comerciales manipulados. Los investigadores necesitan ver esas señales en conjunto, y deben hacerlo con la suficiente antelación para actuar antes de la liquidación o la financiación. Los estafadores rara vez actúan solos; la mayoría opera como parte de redes de fraude organizadas. Una transacción fraudulenta suele ir seguida de actividades de lavado de dinero para que los fondos robados parezcan legítimos. Al romper los silos, las instituciones obtienen una segunda línea de visión: si se pasa por alto una señal, aún se puede detectar otra y detener el delito financiero.
Superar esta amenaza requiere más que digitalizar cheques antiguos; exige una alineación entre los marcos regulatorios y la tecnología avanzada. El monitoreo de transacciones en tiempo real, la validación de beneficiarios, el análisis de comportamiento, la información sobre contrapartes y vínculos, y el análisis de documentos comerciales deben funcionar como capas complementarias. Asimismo, es necesario diseñar vías de escalamiento para que un pago sospechoso nunca sea devuelto a la misma cadena de autoridad que aparentemente lo solicitó.
Integrar la verificación de confianza cero en los controles
Los delitos financieros no siempre se presentan como falsificaciones evidentes. Pueden manifestarse como historias completas, elaboradas y coherentes. De hecho, la próxima generación de delitos financieros podría no basarse en la traición a la confianza, sino en su explotación.
Los estafadores saben que las instituciones están capacitadas para validar las pruebas. El problema radica en que las propias pruebas pueden formar parte del ataque. Una narrativa convincente, reforzada por datos de apariencia auténtica y respaldada por una autoridad reconocida, puede sortear los controles establecidos con sorprendente facilidad.
La defensa no consiste en decidir en qué artefacto confiar, sino en verificar la transacción mediante pruebas que el atacante no controla. Cuando la identidad, el beneficiario, el comportamiento, la red y la transacción subyacente se comprueban de forma independiente, es mucho menos probable que una historia convincente se convierta en una pérdida autorizada. En la era de los deepfakes, las identidades sintéticas y la persuasión generada por IA, la mayor vulnerabilidad podría no ser la falta de información, sino confiar en la información proporcionada.
