Prevención del fraude online: empieza en el formulario
Casi todo el fraude que sufre una empresa en internet entra por la misma puerta: un formulario. El de alta, el de pedido, el de la promoción de bienvenida. Del otro lado no siempre hay una persona; a menudo hay bots que rellenan cientos de registros con correos temporales, números virtuales de usar y tirar y conexiones desde centros de datos o redes anónimas, o ciberdelincuentes que usan datos personales robados en una filtración o en una campaña de phishing para hacerse pasar por otro.
Cuando el fraude se descubre después —un contra reembolso rechazado, una promoción cobrada veinte veces, un cargo devuelto por el banco—, el daño ya está hecho. La prevención del fraude online consiste en mirar la información que el usuario acaba de escribir y decidir en ese mismo segundo si el alta o el pedido siguen adelante, se revisan o se paran. Es exactamente lo que hacen las consultas del servicio antifraude.
Los tipos de fraude que frena una consulta
- Cuentas falsas y bots. Correos de dominios desechables y conexiones desde centros de datos son la huella típica de las altas automatizadas.
- Abuso de promociones. La misma persona registrándose una y otra vez con buzones temporales para cobrar el regalo de bienvenida.
- Pedidos contra reembolso que nadie recoge. Un teléfono VoIP o un email que no existe detrás de un pedido son motivo suficiente para llamar antes de enviar.
- Suplantación de identidad. Datos reales de otra persona, obtenidos en una filtración, que no encajan con la conexión desde la que se usan.
- Pagos sospechosos en el comercio electrónico. Una tarjeta española, una IP de otro continente y un correo creado hoy no prueban nada por separado, pero juntos cambian la decisión.
- Portabilidades recientes. Un móvil portado hace unos días es la señal que precede al SIM swapping: el momento de pedir una comprobación adicional antes de un cambio sensible.
Cómo usar la respuesta en tu plataforma
Una consulta no sirve de nada si no cambia lo que haces después. Lo práctico es definir tres salidas según el riesgo que devuelve: aceptar cuando todo encaja, revisar cuando hay alguna señal (lo pasa una persona del equipo o se pide un dato más) y reforzar cuando las señales se acumulan, pidiendo un código de verificación al teléfono o, en los casos de más valor, una verificación de identidad con vídeo y DNI.
La mayoría de los usuarios legítimos nunca nota nada, porque la consulta es invisible y tarda milisegundos. Las medidas extra solo aparecen cuando hay motivo, que es la forma de proteger a la empresa sin castigar la experiencia de quien sí es quien dice ser.
Consejos para proteger tu sitio web del fraude
- Detecta en tiempo real, no a fin de mes. La detección temprana es la única que evita el daño; revisar los pedidos fraudulentos cuando ya han salido del almacén solo sirve para contarlos.
- Combina señales. Un solo dato engaña con facilidad; el teléfono, el correo y la conexión juntos cuentan una historia mucho más difícil de falsear.
- Protege los puntos críticos de la cuenta. El alta, el cambio de contraseña, el cambio de teléfono y cualquier retirada de dinero son donde se concentran los ataques de robo de cuentas: ahí conviene pedir una comprobación más.
- Vigila la actividad anómala. Muchas altas seguidas desde la misma conexión, los mismos dispositivos o dominios de correo recién creados son el patrón de los bots, no de los clientes.
- No castigues a todos por unos pocos. La fricción solo para quien trae riesgo mantiene la confianza de los usuarios legítimos y la conversión de tu página web.
- Ayuda a tus clientes a no ser víctimas. Buena parte de las estafas empieza con un mensaje que suplanta a una empresa conocida; con un remitente verificado, tus clientes distinguen tus avisos de seguridad de los falsos.
Ninguna de estas medidas es una solución completa por sí sola frente a las amenazas que cambian cada mes; juntas, convierten tu sitio web en un objetivo mucho menos rentable para quien busca el camino fácil, que es lo que en la práctica significa la seguridad frente al fraude.
Prevención del fraude y protección de datos
Consultar la información que un usuario te acaba de dar para comprobar que no es un intento de fraude está amparado por el RGPD: su considerando 47 reconoce expresamente que el tratamiento estrictamente necesario para prevenir el fraude constituye un interés legítimo. Aun así, el cumplimiento pide coherencia: consultar solo lo necesario, en el momento en que tiene sentido, e informarlo en tu política de privacidad. Nuestras consultas se hacen en tiempo real y no alimentan ninguna base de datos de terceros con la información de tus clientes.