Cinco consejos para combatir el fraude en 2023

Angel Grant

En un mundo cada vez más digital, las tendencias del fraude cambian y evolucionan constantemente, y las amenazas para los consumidores, los comercios electrónicos y las organizaciones de servicios financieros aumentan no solo en número, sino también en sofisticación. Se prevé que el coste total del fraude en el comercio electrónico supere los 48.000 millones de dólares en todo el mundo en 2023, frente a algo más de 41.000 millones de dólares en 2022. Este aumento de los costes derivados del fraude se debe a numerosos factores, entre ellos el auge de los pagos y las compras por Internet a raíz de la pandemia, la omnipresencia del malware y los bots que extraen información de los usuarios de la web, y las estafas de ingeniería social que se aprovechan de las vulnerabilidades humanas.

En el mundo anterior a la era digital, el fraude requería una planificación meticulosa y actuar con sigilo, mientras que hoy en día las herramientas necesarias para estafar a personas y empresas están fácilmente disponibles en Internet, lo que reduce las barreras de entrada. Con los mercados virtuales, los monederos digitales y la continua automatización de todo, los delincuentes no solo tienen un objetivo cada vez mayor, sino que también disponen de herramientas y tecnologías sofisticadas que les ayudan a infiltrarse en empresas y atacar las cuentas de particulares.

Consulta nuestros cinco consejos para combatir el fraude en 2023 y anticípate a las últimas amenazas y técnicas que los ciberdelincuentes utilizarán este año para atacar a las organizaciones de comercio electrónico y servicios financieros.

1. Alinee e integre múltiples estrategias de seguridad para combatir el fraude con mayor eficacia sin perjudicar la experiencia del cliente.
   
   Los comercios y las organizaciones de servicios financieros deben mejorar la colaboración entre sus equipos de seguridad, gestión de identidades y accesos de clientes (CIAM), detección del fraude y autenticación en toda la organización. Los delincuentes pueden aprovechar fácilmente las vulnerabilidades generadas por equipos que trabajan de forma aislada y por estrategias de seguridad que han dependido en exceso de técnicas como CAPTCHA y la autenticación multifactor (MFA). Estos mecanismos interrumpen continuamente la experiencia del usuario, a menudo sin tener en cuenta el nivel de riesgo que supone el intento de inicio de sesión.
   
   Un enfoque de autenticación transparente, continua y basada en el riesgo permite a los comercios y a las empresas de servicios financieros colaborar mejor entre los distintos equipos de su organización e implementar una estrategia de detección del fraude ágil, fiable y con pocas falsas alertas, sin afectar negativamente a la experiencia del usuario.
   
   
2. Amplíe las estrategias tradicionales de prevención del fraude en todos los puntos de contacto para incluir una visibilidad integral y obtener información sobre todo el recorrido del cliente.
   
   Esta estrategia debe centrarse en tres áreas clave que a menudo se pasan por alto:
   
   
   • Comience por la interacción inicial con el canal: Céntrese en las actividades de los clientes desde el momento en que acceden a un canal o crean una cuenta. Esto debería mejorar la visibilidad de los ataques del lado del cliente como el skimming digital o el formjacking, que suelen utilizarse para obtener credenciales y datos de tarjetas durante la apertura de nuevas cuentas, lo que en última instancia conduce al secuestro de cuentas y al fraude.
     
     
   • Examine las integraciones de API de terceros: Además de las aplicaciones web y móviles, los comercios y las empresas de servicios financieros también deben asegurarse de incluir la protección de las API en sus estrategias de seguridad. Las API están expuestas a los mismos ataques que las aplicaciones web, concretamente a vulnerabilidades y usos indebidos que provocan filtraciones de datos y fraudes, e introducen riesgos imprevistos derivados de integraciones y ecosistemas de terceros.
     
     
   • Analice el riesgo de fraude en las transacciones sin presencia física de la tarjeta (CNP): Los comercios que ofrecen nuevos servicios, como el pago por proximidad, la compra en línea con recogida en tienda (BOPIS) y la compra ahora y pago posterior (BNPL), deben comprender los riesgos que conllevan estas transacciones y abordarlos en sus estrategias de prevención del fraude. Esto incluye obtener información sobre los patrones de comportamiento fraudulento y compartirla en todos los canales.
     
3. Manténgase alerta ante los nuevos retos del fraude amistoso en un entorno de recesión.
   
   Un nuevo tipo importante de fraude amistoso que los comercios deben prever que aumente durante una recesión es el «falso fraude amistoso», que se produce cuando los delincuentes crean identidades sintéticas para hacerse pasar por clientes reales y, a continuación, realizan transacciones sin intención alguna de pagar los productos que compran. Quienes practican el falso fraude amistoso pueden burlar y eludir eficazmente las medidas de prevención, ya que pueden reutilizar fácilmente datos de identidad robados y crear nuevas identidades sintéticas para abrir cuentas nuevas y evitar que una lista de bloqueo les impida operar. Estas actividades de fraude amistoso pueden incluir el abuso de programas de compra ahora y paga después (BNPL), estafas con puntos de fidelización y reembolsos, y fraudes de fuga.
   
   Protéjase frente a la apertura de nuevas cuentas con identidades sintéticas aprovechando la información obtenida de patrones biométricos de comportamiento, complementada con aprendizaje automático, para que tanto los equipos de seguridad como los de prevención del fraude puedan detectar cuentas comprometidas.
   
   
4. Prepárese para la Directiva de Servicios de Pago 3 (PSD3) de la UE y sus nuevas normativas sobre pagos digitales.
   
   El panorama de las amenazas, los pagos y la regulación para comercios y bancos ha cambiado drásticamente desde la entrada en vigor de la Directiva de Servicios de Pago en 2018. Para prepararse para los requisitos más estrictos de la PSD3, los comercios y los bancos deben hacer un inventario de los nuevos servicios, canales y opciones de pago que han adoptado recientemente. Por ejemplo, ¿admiten ahora monederos digitales y pagos con criptomonedas? ¿Cuántas API nuevas, con distintos formatos y procedentes de proveedores externos, han integrado en sus sistemas y sitios web?
   
   Los comercios y las organizaciones de servicios financieros deben dejar de centrarse únicamente en los riesgos de cumplimiento normativo al definir su estrategia actual de API y autenticación. Deben anticiparse y gestionar de forma proactiva todos los riesgos de seguridad y fraude que conlleva el entorno moderno de las API.
   
   
5. Prepárese para los ataques a las API en la sombra y a la cadena de suministro de JavaScript, así como para la próxima versión de la Norma de Seguridad de Datos del Sector de las Tarjetas de Pago (PCI DSS) 4.0
   
   A medida que las organizaciones amplían su ecosistema de terceros y aumenta el número de scripts en sus sitios web, surgen nuevos posibles puntos vulnerables que pueden dar lugar a ataques del lado del cliente, como el skimming digital, el formjacking y los ataques de Magecart. Un ataque de skimming digital se produce cuando un delincuente inyecta uno o varios scripts maliciosos o manipula un script existente en una página o aplicación legítima para llevar a cabo un ataque de intermediario en el navegador contra la cadena de suministro de software. Estos ataques son difíciles de detectar, ya que terceros actualizan estos scripts con frecuencia, a menudo sin que exista un proceso que permita a su organización realizar revisiones de seguridad.
   
   Además, los nuevos requisitos de PCI DSS 4.0 se centrarán en la necesidad de supervisar y gestionar las bibliotecas JavaScript de terceros que se ejecutan en el navegador y se incorporan a sitios web de comercio electrónico para habilitar funciones como iFrames de procesamiento de pagos, chatbots, publicidad, botones para compartir en redes sociales y scripts de seguimiento. Aunque el cumplimiento de los nuevos requisitos de PCI DSS 4.0 no será obligatorio hasta 2025, los ataques del lado del cliente son cada vez más frecuentes, por lo que conviene implementar las medidas de protección reforzadas lo antes posible.
   
   Las organizaciones no solo necesitan visibilidad sobre las bibliotecas JavaScript que se ejecutan en sus aplicaciones web, sino que también deben saber qué datos recopilan los scripts para evitar infringir normativas de privacidad de datos como el RGPD y la CCPA, y mantener el cumplimiento de los nuevos requisitos 6.4.3 y 11.6.1 de PCI DSS 4.0.
   
   La mayoría de las organizaciones carecen de un control y una gobernanza centralizados sobre la gestión de scripts. Si un script de terceros de su sitio web presenta una vulnerabilidad y usted no lo sabe, no podrá corregirla. Los delincuentes saben que muchas organizaciones tienen dificultades para gestionar, supervisar y proteger el volumen, el alcance y la escala de los scripts que ahora están integrados en los sitios web, y saben cómo explotarlos en su propio beneficio.

Descubra más estrategias nuevas para combatir el fraude leyendo el informe de Aite «Cómo prevenir el fraude en línea frente al ciberdelito organizado» y visite nuestro sitio web para obtener más información sobre las soluciones de F5 para prevenir el fraude en línea.

Sobre el autor

Angel Grant

Más artículos de Angel Grant