Cómo proteger los programas de puntos de fidelización contra el fraude: 5 consejos clave

Angel Grant

Muchos de nosotros por fin estamos empezando a planificar nuestros esperados viajes y vacaciones, quizá la primera oportunidad de disfrutar de una auténtica escapada desde que comenzó la pandemia. Puede que tenga pensado canjear esas millas aéreas o puntos de hotel que lleva tanto tiempo sin utilizar y que han estado acumulando polvo en sus programas de fidelización. Imagine su sorpresa si descubre que unos ciberdelincuentes han sustraído sus puntos de fidelización tras cometer un fraude o vulnerar sus cuentas.

Los programas de puntos de fidelización existen desde hace tiempo y son una herramienta excelente para atraer y retener clientes, pero actualmente estamos observando un aumento de los delincuentes que atacan estos programas para vulnerar cuentas. ¿El motivo? Hay MUCHOS puntos de fidelización sin utilizar: según la Loyalty Security Association, solo en Estados Unidos, el 45 % de las cuentas se consideran inactivas, lo que significa que hay unos 48 billones de dólares en puntos sin gastar en las cuentas de los miembros, en su mayoría sin supervisar y quizá olvidados. Esto resulta irresistible para los ciberdelincuentes, que pueden vulnerar fácilmente estos puntos desatendidos y monetizarlos en beneficio propio.

Por qué los delincuentes atacan los programas de fidelización

Para los ciberdelincuentes, vulnerar cuentas de puntos de fidelización es una presa fácil. Aunque estas cuentas pueden acumular un valor de miles de dólares, la mayoría de los consumidores no las supervisan tan de cerca como sus cuentas bancarias o de otras entidades financieras. Muchas cuentas están protegidas únicamente por una combinación de nombre de usuario y contraseña y, dado que muchos consumidores reutilizan sus contraseñas, a los delincuentes que emplean credenciales robadas les resulta relativamente sencillo lanzar ataques automatizados con bots para probarlas de forma masiva en cuentas de fidelización. Una vez que controlan los puntos, pueden canjearlos por dinero, intercambiarlos por artículos imposibles de rastrear, como tarjetas regalo, o venderlos por dinero en la web oscura, todo ello con poco riesgo. Además, los delincuentes saben que vulnerar cuentas de fidelización no solo puede reportarles beneficios económicos a corto plazo, sino también darles acceso a datos e información que pueden utilizar en otras actividades fraudulentas, como el robo de identidad mediante información de identificación personal, datos sobre viajes y estancias, patrones de compra y mucho más.

De hecho, no solo hay que estar alerta ante los ciberdelincuentes. Estos son tres tipos de fraude en programas de fidelización a los que conviene prestar atención:

• El doble canje: Se produce cuando miembros legítimos defraudan al programa mediante un «doble canje», es decir, canjeando puntos simultáneamente por teléfono y por internet. También pueden asociar el número de su cuenta de fidelización a una compra que no han realizado y acumular puntos de forma fraudulenta. Asimismo, pueden efectuar compras para generar grandes cantidades de puntos de recompensa y después cancelar la transacción, pero no antes de haber canjeado los puntos por premios en efectivo. Además, los consumidores y miembros legítimos de programas de fidelización pueden aprovecharse de las políticas o de la lógica empresarial explotando lagunas en los programas. Algunos ejemplos son compartir cupones o códigos promocionales, infringir las políticas de los comercios o solicitar numerosas tarjetas de crédito vinculadas al mismo programa de recompensas para obtener beneficios de forma ilegítima.
• El fraude interno: Se produce cuando en el fraude participan personas con información privilegiada o empleados de su organización. Pueden manipular el programa de fidelización mediante acciones como asignar puntos no utilizados o no reclamados a la cuenta de otro miembro, o transferir puntos de forma fraudulenta entre cuentas.
• El ciberdelincuente: Con diferencia, la principal fuente de fraude en los programas de fidelización es la ciberdelincuencia, y el ataque más habitual consiste en apropiarse de cuentas (ATO) mediante herramientas automatizadas y técnicas como el relleno de credenciales, el secuestro de formularios o el simple phishing para acceder a los puntos acumulados y a los datos de las tarjetas de crédito almacenados. El relleno de credenciales consiste en que un ciberdelincuente prueba en el inicio de sesión de un sitio web un gran número de credenciales comprometidas (como nombres de usuario y contraseñas obtenidos de una filtración en otro sitio). Como muchas personas reutilizan sus contraseñas en varias cuentas, estas tácticas pueden resultar sumamente eficaces para acceder a cuentas de fidelización y permitir que los atacantes se apropien de ellas cambiando los nombres de usuario y las contraseñas. El secuestro de formularios ofrece a los hackers otras vías para apropiarse de cuentas y consiste en manipular los formularios web de los programas de fidelización para recopilar y transmitir los datos personales que introducen los consumidores. De este modo, el atacante obtiene las llaves de la cuenta y puede saquear los puntos a su antojo o utilizarla para otros fines maliciosos.

Defensa y protección de los programas de puntos de fidelización

Proteger a sus clientes y su programa de fidelización frente a actividades fraudulentas es fundamental, ya que, si no se abordan adecuadamente, pueden perjudicar gravemente la confianza de los consumidores y la reputación de la marca.

Sin embargo, las defensas tradicionales de ciberseguridad ya no son lo suficientemente eficaces para impedir ataques sofisticados contra los programas de fidelización. Las medidas de protección obsoletas y las políticas innecesariamente restrictivas, como los tiempos de espera de sesión reducidos, el bloqueo geográfico, la autenticación multifactor y la obligación de resolver CAPTCHA, pueden frustrar a los usuarios y son fáciles de eludir.

Por apenas unos dólares, los atacantes pueden recurrir a servicios económicos de resolución de CAPTCHA para eludir las defensas básicas contra bots y adquirir listas de credenciales más precisas para objetivos geográficos específicos. Las organizaciones delictivas pueden cambiar rápidamente de tácticas y métodos cuando los defensores intentan impedir sus actividades, y mantenerse por delante de los atacantes se convierte en un problema casi insuperable sin herramientas especializadas y equipos de seguridad dedicados.​

5 prácticas recomendadas para proteger su programa de fidelización contra el fraude

Los programas de fidelización recompensan a los clientes más valiosos de su empresa y le ayudan a estrechar la relación con ellos. Ante el aumento de los ataques, proteger estos programas y las recompensas que acumulan los clientes es más importante que nunca. Las cinco prácticas recomendadas que se indican a continuación pueden ayudarle a abordar los escenarios de ataque más habituales sin dificultar innecesariamente que los miembros legítimos consulten o canjeen sus puntos.

1. Evite el fraude en la creación de cuentas. El fraude en la creación de cuentas consiste en que un estafador crea cuentas de fidelización, a menudo a gran escala, utilizando identidades robadas, sintéticas o falsas de cualquier otro modo. Mediante estas cuentas fraudulentas, los delincuentes pueden acumular y revender puntos, así como abusar de los programas de canje. Asegúrese de que su solución de ciberdefensa pueda detectar si los atacantes intentan crear varias cuentas falsas mediante herramientas automatizadas o técnicas manuales sofisticadas.
2. Mitigue los intentos de apropiación de cuentas. Asegúrese de que sus defensas puedan detectar los intentos de apropiación de cuentas por parte de delincuentes que pretenden robar puntos o aprovecharse de los datos personales guardados de los clientes. Sus defensas deben poder adaptarse a los cambios en los patrones de ataque y reajustarse en tiempo real. Supervise el tráfico del programa de fidelización para comprender los patrones de entrada y utilice señales de telemetría para detectar comportamientos anómalos, de modo que pueda determinar si el tráfico procede de bots maliciosos o de personas.
3. Proteja las transacciones de canje de recompensas. Asegúrese de que los canjes de recompensas del programa de fidelización y los pagos con tarjetas de crédito vinculadas a la cuenta sean legítimos, determinando con precisión la fiabilidad de cada transacción y la identidad del cliente asociada a ella. Proteja su programa con herramientas que utilicen inteligencia artificial y aprendizaje automático para supervisar el comportamiento de las transacciones, y emplee la autenticación adaptativa, que selecciona el proceso de autenticación adecuado en función del riesgo que presente el intento de inicio de sesión. Por ejemplo, pueden ser necesarias medidas de seguridad reforzadas para actividades de alto riesgo, como cambiar contraseñas o canjear grandes cantidades de puntos. ​
4. Supervise los abusos de las políticas. Asegúrese de contar con medidas preventivas para limitar las pérdidas económicas derivadas del uso indebido o la manipulación de cupones y promociones, descuentos o bonificaciones por recomendación, evaluando la fiabilidad en cada punto de interacción.
5. Comprenda las amenazas internas. Los programas de fidelización también son vulnerables a las amenazas internas. Asegúrese de registrar y medir las actividades del personal del sitio para detectar anomalías y limite el acceso de los empleados a los datos del programa de fidelización.

Ayude a sus clientes a evitar el fraude con puntos de fidelidad

Además de proteger su programa de fidelización y sus activos, ayude a los miembros del programa a proteger sus puntos y recompensas frente al fraude compartiendo los siguientes consejos:

• Los miembros deben supervisar sus programas de fidelización igual que cualquier otra cuenta financiera. Los programas de fidelización pueden acumular miles de dólares en valor, por lo que sus clientes deben revisar sus cuentas periódicamente para asegurarse de que no hayan sido manipuladas.
• Aproveche las opciones de seguridad mejoradas. Si están disponibles, anime a los miembros a utilizar funciones de seguridad adicionales, como la autenticación multifactor. Cada capa de seguridad adicional dificulta que los estafadores puedan vulnerar una cuenta.
• Tenga cuidado con los correos electrónicos y las publicaciones en redes sociales sobre promociones de viajes. Informe a sus clientes sobre cómo y dónde comunica sus promociones. Asegúrese de que entiendan que las ofertas de viajes que parecen demasiado buenas para ser verdad probablemente no lo sean. Es probable que las ofertas no solicitadas por correo electrónico y las promociones que aparecen en sus redes sociales sean intentos de phishing destinados a robar datos personales, incluidas las credenciales de inicio de sesión y los números de tarjetas de crédito. Antes de responder y facilitar cualquier información, los miembros deben comprobar que la dirección de correo electrónico del remitente sea legítima o ponerse en contacto directamente con el programa de fidelización (no a través del correo electrónico ni de la publicación en redes sociales que hayan recibido) para asegurarse de que la oferta o la solicitud sean auténticas.

F5 se enorgullece de ayudar a las organizaciones a protegerse contra el fraude en los programas de fidelización

Descubra cómo F5 sigue protegiendo a numerosas organizaciones frente a ataques automatizados y actividades fraudulentas que pueden dañar las marcas al atacar las cuentas de sus miembros para apropiarse de valiosos puntos de recompensa y millas. Lea este caso de cliente para descubrir cómo Distributed Cloud Bot Defense ayudó a una importante aerolínea internacional a detener ataques automatizados contra su sitio web que habían comprometido las cuentas de sus viajeros frecuentes.

Descubra cómo podemos ayudarle a garantizar que los puntos de fidelidad, el saldo de las tarjetas regalo y otros valores almacenados permanezcan en manos de sus clientes, y no de los delincuentes, visitando: https://www.f5.com/solutions/ecommerce

Sobre el autor

Angel Grant

Más artículos de Angel Grant