La amenaza interna que los bancos suelen pasar por alto: el fraude de empleados e interno

Pregunta a un banco de dónde viene el fraude y la respuesta casi siempre apunta hacia afuera: credenciales robadas, dispositivos comprometidos, clientes manipulados mediante ingeniería social. Ese enfoque hacia el exterior es comprensible, y deja una de las categorías más dañinas insuficientemente vigilada. La interna.

El fraude de empleados e interno es menos frecuente que el fraude externo, pero cuando ocurre suele ser mayor, más prolongado y más difícil de detectar. Los infractores internos tienen algo con lo que ningún atacante externo parte: acceso legítimo, conocimiento contextual y la confianza de los sistemas de los que abusan.

Por qué el fraude interno se cuela

La mayoría de los controles de fraude se construyen sobre la suposición de que la amenaza es alguien de fuera que intenta entrar. Los infractores internos ya están dentro. Se autentican correctamente, operan desde dispositivos y redes autorizados y actúan dentro del alcance de los permisos que se les han concedido. Cada control diseñado para detectar a un intruso ve a un empleado legítimo haciendo su trabajo.

Las formas que adopta son variadas:

• Acceso no autorizado a cuentas. Empleados que consultan o manipulan cuentas de clientes sin motivo comercial: fisgoneando, recopilando datos o preparando un robo.
• Manipulación de la información del cliente. Cambiar discretamente los datos de contacto, los límites o los datos del beneficiario para habilitar un pago posterior o interceptar alertas.
• Colusión con estafadores externos. Un infractor interno facilita datos, desactiva un control o aprueba una transacción sospechosa mientras un socio externo retira el dinero.
• Abuso de privilegios. Usar permisos elevados —anulaciones, ajustes, reembolsos, exenciones de comisiones— para beneficio personal.
• Facilitación de cuentas mula. Agilizar o ignorar señales de alerta en cuentas que existen para blanquear fondos robados.

Debido a que cada acción individual puede parecer rutinaria, el fraude interno suele descubrirse tarde, a menudo solo después de que un cliente se queje o de que una auditoría tropiece con un patrón.

La señal está en el comportamiento, no en el acceso

La clave está en que el fraude interno es difícil de detectar observando los permisos y fácil de pasar por alto observando las credenciales, pero se vuelve visible cuando se observa el comportamiento a lo largo del tiempo. Un empleado que tiene derecho a acceder a los registros de clientes no es sospechoso por acceder a uno. Se vuelve sospechoso cuando el patrón de ese acceso deja de coincidir con su función y su historial.

Entre los indicadores útiles se incluyen:

• Anomalías de volumen y patrón. Acceder a muchas más cuentas que sus pares en la misma función, o a cuentas sin relación con el trabajo asignado.
• Anomalías de temporización. Actividad en horas inusuales, en ráfagas o justo antes o después de cambios sensibles.
• Anomalías de secuencia. Un cambio en un dato de contacto seguido poco después de un aumento de límite y una gran transferencia: el equivalente interno de la cadena de un ataque de apropiación de cuentas.
• Desviación del grupo de pares. Comportamiento que se aparta marcadamente del de los compañeros que hacen el mismo trabajo.
• Eventos externos correlacionados. Cambios internos que coinciden sospechosamente con intentos de fraude externos, lo que sugiere colusión.

Ninguno de estos requiere interpretar la intención. Requieren notar cuándo el comportamiento de un empleado deja de parecer el suyo propio, el mismo principio que revela una sesión de cliente secuestrada.

Vigilar a los empleados sin tratar a todos como sospechosos

Aquí hay un riesgo cultural, y merece honestidad: una supervisión interna excesivamente intrusiva puede corroer la confianza y la moral. El objetivo no es la vigilancia de cada pulsación de tecla; es una detección de anomalías que permanece en silencio hasta que el comportamiento se aparta genuinamente de la norma, y que produce señales explicables y revisables en lugar de acusaciones opacas.

Bien hecho, esto protege a los buenos empleados tanto como atrapa a los malos. Las alertas claras y basadas en el comportamiento reducen la posibilidad de que el personal honesto se vea arrastrado a investigaciones largas, y ofrecen a los investigadores un punto de partida defendible y basado en evidencia.

Cómo Paygilant se extiende más allá del cliente

La fortaleza central de Paygilant es construir una imagen de riesgo continua y consciente del comportamiento: comprender qué aspecto tiene lo “normal” para un actor y detectar cuándo la actividad se aparta de ello. Esa capacidad no se limita a los clientes y sus dispositivos.

El mismo motor que aprende la huella conductual de un cliente y marca una sesión secuestrada puede dirigirse a los actores internos: modelar los patrones normales de acceso y acción por función, y sacar a la luz las desviaciones anómalas de volumen, temporización, secuencia y grupo de pares que delatan el fraude de empleados, la colusión y el abuso de privilegios. Como el análisis es continuo y contextual, conecta los cambios internos con los intentos de fraude externos, exponiendo la colusión que ni un registro de acceso ni un control orientado al cliente detectarían por sí solos.

El fraude interno es la amenaza en la que los bancos con más frecuencia invierten de menos, precisamente porque se oculta dentro de la legitimidad. Llevar la analítica de riesgo conductual al interior del perímetro convierte esa legitimidad de escudo para los estafadores en una referencia contra la cual se puede medirlos.