Lo que “la reina de la mafia de los viajes compartidos” puede decirnos sobre el embarque seguro

• La llamada “Reina del transporte compartido” estafó a numerosas aplicaciones
• Utilizó permisos de conducir copiados ilegalmente para crear nuevas cuentas
• Los conductores “alquilaban” sus identidades falsas, con lo que ganaba una fortuna
• Podría haber sido detenida con esta simple comprobación

Priscila Barbosa llegó al aeropuerto JFK de Nueva York con un visado de turista procedente de Brasil, el 24 de abril de 2018, a la edad de 32 años, con sólo 117 dólares a su nombre, e inmediatamente gastó gran parte de ellos en un billete de autobús a Boston.

Tres años después, había ganado cientos de miles de dólares como artífice de una elaborada estafa de identidad que acabaría por apodarla “La reina de la mafia del transporte compartido”.

Barbosa logró este asombroso ascenso tras descubrir cómo crear cuentas de conductor falsas que permitían a compañeros inmigrantes sin Tarjeta Verde -por tanto, sin derecho legal a trabajar- el acceso inmediato a lo que se denomina economía gig.

Su estafa le permitió conseguir cuentas de trabajo para esas personas como conductores de aplicaciones de taxi como Lyft y Uber, de modo que pudieran eludir las restricciones laborales de inmigración y ganar un sueldo.

Creó cuentas falsas y luego las “alquiló” a conductores ilegales

Cuando conseguía burlar los controles de seguridad de la empresa empleadora, “alquilaba” la cuenta que había creado a un migrante, normalmente un compatriota brasileño, como ella, con visado de turista. Le pagaban una parte semanal de su salario por el acceso que les proporcionaba a esa plataforma y el trabajo remunerado que conllevaba.

Cuando la pandemia acabó casi de la noche a la mañana con el intercambio de taxis, se produjo a la inversa un auge de la demanda de comida para llevar, y la ingeniosa Barbosa pudo hacer pivotar su modelo de negocio para crear el mismo escenario para las aplicaciones que ofrecen comida a domicilio y necesitan un flujo constante de conductores.

Ahora las empresas a las que estaba engañando serían Instacart, DoorDash, Uber Eats y Grubhub.

La estafa también le permitió embolsarse cientos de bonos de inscripción.

Las licencias robadas eran la puerta de entrada a una gran estafa

¿Cómo consiguió Barbosa engañar a todas estas plataformas y crear su imperio? Si te interesa conocer más detalles de los que aquí resumo, Wired publicó el otro día un artículo muy bueno sobre toda la historia que te dirá mucho más.

Pero para mis propósitos, bastará con un resumen de su juerga delictiva con carnés falsos, porque me interesan más las lecciones que podemos extraer de su historia que su variopinta carrera en sí.

Barbosa disponía de recursos mínimos, al menos al principio, pero estaba muy dotada para la tecnología, sobre todo para idear formas de burlar la seguridad del sistema. También era una creadora de redes nata, capaz de entablar relaciones rápidamente y mantener cientos de ellas a la vez. Estas dos habilidades la llevaron muy lejos en muy poco tiempo.

¿De dónde sacó tantas identidades de conductor?

Su oficio empezó cuando intentó averiguar cómo convertirse ella misma en conductora. Utilizó el carné de otra persona, y funcionó. Así que empezó a ayudar a otros a hacer lo mismo.

Al principio, suplicaba a sus amigos que le proporcionaran documentos de identidad malversados. El primero que cayó en sus manos procedía de una estafa a domicilio: a los consumidores legítimos que recibían paquetes se les pedía que presentaran un documento de identidad para entregarles el paquete. El conductor distraía al cliente y tomaba rápidamente un primer plano de su carné de conducir, y esa imagen acababa llegando a Barbosa, que podía clonarla.

Cuando esta fuente no pudo suministrarle licencias en cantidad suficiente, acudió a la web oscura -donde se comercia libremente con material tan privado como éste- y empezó a comprar imágenes de licencias apropiadas indebidamente en mayor cantidad.

Entonces, una vez que había subido una licencia, el resto era fácil. Porque apenas se intentó cotejar los datos de la licencia robada con el resto de la información añadida por el titular de la cuenta.

Se aprovechó de una debilidad sistémica: comprobaban lo incorrecto

A menudo, las aplicaciones se daban cuenta rápidamente de que estaban siendo suplantadas y cerraban las nuevas cuentas con bastante rapidez, pero Barbosa se limitaba a abrir otras nuevas en respuesta.

Entonces, ¿cómo es posible que unas marcas tan masivas y con un volumen de negocio tan enorme hayan sido estafadas por un chanchullero que empezó equipado sólo con un iPhone y 50 dólares?

El principal problema surgió de esa confianza inicial en la carga de un permiso de conducir como columna vertebral de sus procesos de verificación. Supongo que parecía natural, incluso lógico, que las empresas que querían conductores recurrieran a este método al establecerse. No querrían que conductores no cualificados trabajaran bajo su marca, así que ésta debió de parecer la mejor forma de asegurarse de que no lo estuvieran. Pero, contraintuitivamente, no lo era entonces y no lo es ahora.

Como demuestra ampliamente esta historia, los documentos de identidad falsos son fáciles de conseguir y existen en grandes cantidades. Así que subir un documento es un mal punto de partida para la verificación.

Esto es lo que deberían haber hecho: comprobar sus teléfonos, no sus licencias

De hecho, el mejor punto de partida es el número de teléfono del solicitante. La inmensa mayoría de las personas de buena fe tendrán el mismo número desde hace algunos años. Comprobando tanto el estado actual como el historial de un número, podemos ver de un plumazo si muestra algún signo de advertencia de estar asociado a un fraude: si su comportamiento es coherente, si está físicamente donde cabría esperar, si está recién registrado, etc.

Una vez que hayas establecido la credibilidad del número del nuevo usuario, la carga de documentos como nivel secundario opcional de selección está bien, pero nunca deben ser el punto de partida.

Como prueba de lo que digo, fue el hecho de que gran parte de sus estafas se llevaran a cabo desde un único teléfono móvil o estuvieran vinculadas a él lo que permitió que el FBI identificara y detuviera a Barbosa tras una larga y costosa investigación que dio lugar a 17 causas penales.

Protestó en el juicio que había creído que su fingimiento había sido un delito sin víctimas.

De hecho, los miles de personas cuyas identidades habían sido usurpadas sufrieron sin duda muchas indignidades, molestias y probablemente pérdidas económicas. Fue encarcelada durante tres años.

Pero si se hubiera comprobado ese número de teléfono que el FBI buscó cuando hizo su primera solicitud hace seis años, nada de esto habría ocurrido.