Los actores de amenazas en foros y grupos de chat clandestinos están elaborando métodos de fraude estructurados para explotar debilidades en los procesos de trabajo de las instituciones financieras. Más que estafas aisladas u oportunistas, estas discusiones reflejan un enfoque organizado y basado en procesos que combina datos de identidad robados, ingeniería social y conocimiento de los flujos de trabajo financieros.
En estas conversaciones, las instituciones más pequeñas, especialmente las cooperativas de crédito de tamaño pequeño a mediano, son mencionadas como objetivos más atractivos debido a las brechas percibidas en los sistemas de verificación y los recursos limitados para la prevención del fraude.
Investigadores de Flare identificaron recientemente un método detallado de fraude crediticio que circula en uno de estos grupos clandestinos, que describe cómo los atacantes pueden avanzar a través de verificaciones de crédito, verificación de identidad y procesos de aprobación de préstamos utilizando identidades robadas, evitando al mismo tiempo los desencadenantes de seguridad tradicionales.
El enfoque no depende de explotar vulnerabilidades de software, sino que se centra en navegar los flujos de trabajo legítimos de incorporación y préstamos como si el solicitante fuera genuino.
La estructura de la publicación refleja un enfoque metódico, desglosando el proceso desde el uso de la identidad hasta la aprobación del préstamo de manera que pueda replicarse consistentemente, apuntando a un uso más organizado de las técnicas de fraude.
Un proceso basado en la identidad, no en la intrusión
En esencia, este enfoque se basa en obtener suficientes datos personales para hacerse pasar de manera convincente por un prestatario legítimo. Esto incluye identificadores como nombres, direcciones, fechas de nacimiento y, en algunos casos, detalles relacionados con el crédito.
El proceso es completamente digitalizado, y el atacante utiliza una identidad falsa para solicitar un préstamo. Esta distinción es crítica: el ataque no "rompe el sistema", sino que explota las fallas en su diseño.
Un componente central del método es la capacidad de pasar las verificaciones de identidad, particularmente las basadas en autenticación basada en conocimientos (KBA). Estos sistemas generalmente se basan en preguntas derivadas de: direcciones anteriores, historial crediticio o de préstamos, asociaciones laborales o familiares.
En la práctica, gran parte de esta información puede reconstruirse o inferirse a partir de: datos disponibles públicamente, perfiles de redes sociales, conjuntos de datos filtrados previamente y registros de identidad agregados.
Este método resalta cómo los atacantes pueden anticipar y prepararse para estas verificaciones con anticipación, convirtiendo efectivamente la verificación en un paso predecible en lugar de una barrera real.
Demuestra cómo lo que alguna vez se consideró un control de identidad sólido puede ser rápidamente aprendido, adaptado y finalmente explotado por los ciberdelincuentes, que evolucionan sus herramientas de robo de identidad específicamente para recopilar y eludir estos requisitos.
El fraude comienza antes de llenar el primer formulario
Para cuando una solicitud fraudulenta llega a su cola, el trabajo duro ya está hecho. Los atacantes obtienen identidades robadas, respuestas KBA e historiales financieros de foros de la dark web y mercados clandestinos, mucho antes de contactar a su institución.
Flare monitorea miles de estas fuentes de forma continua, para que pueda detectar datos expuestos en el origen, no después de que se haya producido el daño.
El flujo de trabajo del fraude, paso a paso
- Adquisición de identidad: se obtienen datos personales robados, incluidos detalles completos de identidad e información de antecedentes suficientes para suplantar a una persona legítima.
- Evaluación del perfil crediticio: el atacante revisa el perfil financiero de la víctima para determinar la elegibilidad para el préstamo y la probabilidad de aprobación.
- Preparación para la verificación (preparación KBA): se recopilan detalles personales adicionales para anticipar y responder correctamente las preguntas de verificación de identidad.
- Selección del objetivo: se seleccionan cooperativas de crédito pequeñas y medianas con base en procesos de verificación más débiles y menor madurez en la detección de fraude.
- Presentación de la solicitud de préstamo: se presenta una solicitud de préstamo utilizando la identidad robada, garantizando coherencia en todos los datos proporcionados.
- Verificación de identidad superada: se completan con éxito las verificaciones KBA y estándar, estableciendo legitimidad.
- Aprobación del préstamo y liberación de fondos: la institución aprueba el préstamo y libera los fondos a través de los canales estándar.
- Movimiento de fondos y retiro: los fondos se transfieren a cuentas controladas, se mueven a través de intermediarios y se retiran o convierten para completar la monetización.
Por qué las cooperativas pequeñas y medianas son más atacadas
Uno de los aspectos más notables del método es su enfoque en instituciones financieras más pequeñas. En lugar de atacar grandes bancos o plataformas fintech altamente seguras, el enfoque se inclina explícitamente hacia cooperativas de crédito pequeñas y medianas, que se perciben como: más dependientes de métodos tradicionales de verificación de identidad, menos equipadas con detección avanzada de fraude conductual y más propensas a priorizar la accesibilidad del cliente sobre controles estrictos.
Aunque no es universalmente cierto, esta percepción por sí sola es suficiente para influir en el comportamiento de los atacantes, impulsando decisiones de ataque hacia instituciones que se cree ofrecen una mayor tasa de éxito.
Informes recientes de la industria respaldan esta tendencia. Solo en préstamos automotrices, se proyecta que la exposición al fraude alcance los $9.2 mil millones en 2025, y los prestamistas pequeños y regionales enfrentan una presión creciente de esquemas de fraude organizados.
Retiro de efectivo y monetización
Una vez que se aprueba un préstamo, la operación entra en su fase más crítica: convertir el acceso en dinero. En este punto, el atacante ya ha hecho la parte difícil: pasar las verificaciones de identidad y establecer confianza bajo una identidad robada. Desde la perspectiva de la institución, el proceso parece legítimo y los fondos se liberan a través de los canales estándar, tal como lo harían para un cliente real.
El enfoque se desplaza entonces hacia la velocidad y la separación. En lugar de dejar los fondos en su lugar, se mueven rápidamente fuera de la cuenta de origen, a menudo a través de cuentas intermediarias que crean distancia de la fuente.
Esta etapa se superpone con ecosistemas de fraude más amplios, donde el acceso a cuentas adicionales y canales financieros permite que los fondos sean enrutados, divididos o reposicionados para reducir la trazabilidad.
Lo que hace que esta fase sea particularmente efectiva (y difícil de detectar) es que cada paso refleja un comportamiento financiero normal. Las transferencias, retiros y actividad de cuenta no son inherentemente sospechosos por sí mismos.
En cambio, el riesgo radica en cómo estas acciones se encadenan dentro de un período de tiempo comprimido, permitiendo a los atacantes completar el retiro antes de que los sistemas de detección o las revisiones manuales puedan intervenir.
¿Quién está más en riesgo?
- Individuos con historiales crediticios establecidos: los atacantes se benefician al atacar a personas con perfiles crediticios sólidos o estables, aumentando la probabilidad de aprobación del préstamo.
- Individuos digitalmente expuestos: aquellos con una presencia en línea significativa pueden exponer inadvertidamente datos personales que pueden ayudar a pasar las verificaciones de identidad.
- Clientes de instituciones financieras más pequeñas: los usuarios de cooperativas de crédito pequeñas y medianas pueden enfrentar una mayor exposición si sus instituciones dependen de sistemas de detección de fraude menos avanzados.
Este método de fraude crediticio ofrece un claro ejemplo de cómo está evolucionando el fraude financiero. En lugar de atacar directamente los sistemas, los atacantes están apuntando cada vez más a los procesos que los rodean, aprovechando la identidad, la previsibilidad y la confianza para lograr sus objetivos.
A medida que estos enfoques se vuelven más estructurados y accesibles, la línea entre la actividad legítima y el fraude continúa difuminándose, haciendo que la detección sea más compleja y requiriendo un enfoque defensivo más adaptativo.
Deja una respuesta