Cómo mejoran su sofisticación los procesos de ciberseguridad de las empresas frente al aumento del fraude digital

“Hecha la ley, hecha la trampa”. Este refrán, traducido al mundo de la seguridad de la información, implica que los delincuentes actúan de forma cada vez más sofisticada, encontrando vericuetos por donde aprovechar las limitaciones del sistema, por lo que las herramientas que utilizan las organizaciones para prevenir el fraude y la suplantación de identidad, entre otros delitos, deben evolucionar de forma constante.

Según el documento Cyber Ventures Report 2022, se espera que desde 2021 a 2025 haya un incremento del 15% anual del volumen de dinero que mueve el cibercrimen, lo que supone que en 3 años la cifra obtenida por este sector será superior a las ganancias obtenidas por todo el comercio de drogas ilegales combinadas. “Esto se explica por un crecimiento muy importante de la actividad de grupos de cibercriminales organizados y grupos respaldados por gobiernos, así como por el aumento de la superficie de ataque como consecuencia de los procesos de transformación digital que demanda el avance de una economía cada vez más digitalizada”, señalan desde la firma de soluciones de ciberseguridad ESET.

Por esta cuestión, las compañías deben actualizar los métodos para que sus servicios sean lo más seguros posible. “El 56% de reportes que recibe el Centro de Operaciones de Excelencia (COE) llegan de parte de los socios conductores”, comenta Eduardo Reyes, Director de Comunicaciones de Seguridad para Latinoamérica de Uber. Este centro se encuentra en Costa Rica para atender las cuestiones vinculadas a seguridad de pasajeros y conductores de 18 países de la región, en donde opera la plataforma con un volumen de llamados que van entre 17.000 y 25.000 casos mensuales.

Por ejemplo, en el caso de Uber, cuando un nuevo pasajero se da de alta y elige un método de pago con tarjeta, Uber apela a esos datos para avanzar con la validación de identidad con un alto nivel de certidumbre. Sin embargo, cuando el pasajero selecciona el pago en efectivo, aumentan las chances de que se trate de delincuentes. “Tras detectar un aumento en los casos de nuevos pasajeros que dicen abonar en efectivo y en realidad se trata de malechores, implementamos medidas de seguridad adicionales. En concreto, además del proceso de alta habitual en Argentina, tomamos medidas de identificación de usuarios adicionales, como solicitarles el escaneen su DNI y sumen una selfie en momentos aleatorios y analizamos este material con algoritmos de inteligencia artificial desarrollados por nosotros para verificar que el documento no esté adulterado ni falsificado”, explica el ejecutivo. De esta manera, Reyes informa que este tipo de ataque ha disminuido, y agrega: “El hecho de atender a toda la región nos sirve para anticiparnos a posibles fraudes, ya que cuando un tipo de delito llega a un país, seguramente ya exista en otro, y nosotros ya sabemos cómo combatirlo”.

Una buena práctica de cualquier producto digital es ir actualizando sus medidas de seguridad al ritmo con el cual se modifican los tipos de ataque. Lucas Paus, Chief Security Officer (CISO) de la billetera digital MODO, explica que en su lanzamiento la aplicación utilizaba la validación de identidad, en donde se compara la imagen registrada con el DNI. Esto se suma a los controles habituales de las entidades financieras. Además, de una capa con un motor de riesgo que analiza y frena operaciones sospechosas.

“En estos casi dos años desde se creó la app, la evolución del producto fue muy grande, se agregaron muchas funcionalidades; entre ellas, se agregaron nuevos controles para mitigar posibles nuevos riesgos. En concreto, contamos con el alta de tarjetas y cuentas automáticas con credenciales y sumamos la validación de la entidad en los medios de pago con la entidad del usuario. Por otra parte, con el transcurso del tiempo y el mayor volumen de operaciones, las reglas inteligencia artificial fueron aprendiendo a detectar de manera más eficaz los intentos de fraudes y bajando la tasa de falsos positivos”, enumera Paus.

Tendencias a futuro

Si bien es importante contar con las medidas de seguridad adecuadas para evitar que los usuarios sean vulnerados, también es importante que estas iniciativas no entorpezcan la experiencia de las personas. Por ejemplo, que le soliciten al usuario la creación de contraseñas muy complejas o que sea engorroso el proceso de registro y validación de la selfie.

“Lograr un equilibrio entre experiencia de usuario y seguridad es fundamental”, explica María Pilar Torres Bruna, responsable del área de ciberseguridad en NTT Data Americas, y agrega: “Los usuarios vamos a tener que ir acostumbrándonos a utilizar sí o sí un factor de doble autenticación, es decir, un sistema que complementa la autenticación tradicional en los servicios. Por ejemplo, además de requerir un nombre de usuario y contraseña, solicita el ingreso de un código de seguridad”.

La especialista indica que hay demasiadas técnicas para romper contraseñas, así como también muchas personas enfocadas en eso. De cara al próximo año, Torres Bruna dice que muchas organizaciones implementarán una tercera validación para casos puntuales, por ejemplo, para transferir gran cantidad de dinero.

Las medidas para que las propias empresas y sus usuarios estén lo más protegidos posible irán en aumento porque los ciberdelitos nunca dejarán de existir. Estas tecnologías van a ir avanzando. Para la gente mayor, estas cuestiones son una barrera que podrá ser complicada saltar.

Frente a esta encrucijada, Paus señala que en la billetera digital los equipos de seguridad trabajan en ser el faro que indica la dirección hacia donde ir y no un palo en la rueda del producto. “Utilizando tecnologías que corren por detrás de la experiencia del usuario como tokens, tecnologías de RASP (Runtime Application Self Protection) controles anti spoofing y dejando elegir al usuario si desea utilizar una clave o una validación biométrica dándole la posibilidad de que sea él, quien configure un camino seguro, pero personalizando el nivel de fricción a su medida”, se explaya.

Otra idea para evitar esta trampa mortal para los usuarios es que los productos no solo sean creados por equipos interdisciplinarios tanto en el nivel de diseño como de ciberseguridad, sino que incluso los diseñadores tengan conocimientos de seguridad de la información para entender las problemáticas con mayor profundidad y atacarlas de manera disruptiva.

Como concluye Reyes, “los ataques informáticos son los del mundo real: siempre van a existir, y por eso las organizaciones deben esforzarse en ofrecer máxima seguridad a sus usuarios.