El fraude que tú mismo autorizas

El último Informe de Sistemas de Pago del Banco Central volvió a poner cifras sobre la mesa: US$98 millones en fraudes denunciados en la banca durante el primer semestre. Pero dentro de esa total crece un tipo de fraude distinto a los que solemos imaginar. No es alguien que entra a tu cuenta sin permiso ni que clona tu tarjeta. Eres tú, convencido, apretando el botón de «transferir». Y esa diferencia, que parece un detalle, lo cambia casi todo.
El ejemplo más rentable para los delincuentes hoy son los falsos productos de inversión. La escena se repite, una publicidad promete retornos altos y «garantizados», a veces con la cara de un personaje conocido, hoy fácil de falsificar con inteligencia artificial, respaldando la oferta. Quien se interesa recibe atención personalizada, a veces durante semanas, de un supuesto asesor que responde a diario y construye una relación de confianza. Luego accede a una plataforma de aspecto profesional y ve, en una pantalla, cómo su dinero «crece» día a día.
Ahí está la ingeniería fina del engaño. Esas ganancias no existen, son números en un panel que el propio estafador controla. Para afianzar la confianza, muchas veces permiten un primer retiro pequeño, que sí se paga. Ese gesto convence a la víctima de que todo es real y la anima a depositar sumas mayores. Cuando intenta rescatar el monto grande, aparecen «impuestos», «comisiones» o, simplemente, el silencio. El dinero ya no está.
Lo interesante, desde la ciberseguridad, es que este fraude no vulnera ninguna tecnología. No hay clave robada ni sistema hackeado. Al contrario, cada transferencia la ordena el titular legítimo, desde su propio teléfono, superando todas las verificaciones. Es más, la autenticación reforzada que la CMF ya exige a los bancos, ese segundo factor que confirma que quien opera eres tú, funciona a la perfección. El problema es que sí eres tú. La seguridad verificó correctamente tu identidad, lo que nadie pudo verificar fue que estabas siendo engañado.
Esto conduce a un punto que muchos descubren demasiado tarde. La Ley de Fraudes (Ley 21.234) obliga a los bancos a restituir con rapidez las llamadas «operaciones no reconocidas»: aquellas que la persona no realizó, como cuando un tercero usó su tarjeta o sus claves. Esa red de protección es valiosa. Pero está pensada para las operaciones que uno no autorizó. Cuando la propia víctima, engañada, fue quien ordenó la transferencia, la situación entra en una zona mucho más gris y recuperar el dinero se vuelve difícil. La operación fue, técnicamente, legítima.
De ahí que en este tipo de fraude la defensa tenga que ocurrir antes de apretar «confirmar», porque después casi no hay vuelta atrás. Y las señales de alerta son bastante estables. La primera es la promesa misma: no existe la inversión rentable y garantizada al mismo tiempo; toda rentabilidad real implica algún riesgo, y quien lo niega está mintiendo. La segunda es la presión para depositar más, sobre todo después de ese pequeño retiro exitoso. La tercera es la urgencia: «el cupo se cierra hoy», «aproveche antes de que suba».
Hay, además, una verificación concreta que toma menos de un minuto y que conviene volver un hábito. Antes de entregar un peso, buscar a la entidad en el sitio de la Comisión para el Mercado Financiero (CMF) y comprobar si está autorizada para operar y captar dinero del público. La CMF publica también alertas con nombres de entidades que ofrecen servicios financieros sin estar inscritas. Si quien ofrece el negocio no aparece autorizado, o figura en esas alertas, la conversación termina ahí.
Nada de esto significa que la culpa sea de quien cae. Estos esquemas están diseñados por profesionales para explotar algo muy humano, el deseo de mejorar la propia situación económica. Igual que en otras formas de fraude, no engañan a los ingenuos, sino a personas comunes en el momento adecuado, con la oferta adecuada.
El crecimiento que muestra el Banco Central nos recuerda que la delincuencia financiera se corrió de terreno. Ya no le interesa tanto forzar la puerta cuando puede convencernos de abrirla nosotros mismos. Por eso, la mejor protección frente a la promesa de una rentabilidad extraordinaria no es tecnológica: es recordar que, cuando algo suena demasiado bueno para ser verdad, casi siempre es exactamente eso.

Edgardo Fuentes Cáceres –Director Ingeniería en Ciberseguridad UNAB