Nuevas normas en el Reino Unido: Las víctimas del fraude APP serán indemnizadas – ¿Impacto en el fraude?

Es algo por lo que los grupos de protección de los consumidores llevan mucho tiempo presionando, y a lo que los políticos se muestran cada vez más abiertos.

Me refiero a la noticia de que este mes el Reino Unido verá la introducción inmediata de nuevas normas estrictas para proteger -y, sobre todo, indemnizar- a las víctimas del llamado fraude APP.

¿Qué estafas están cubiertas?

APP, que significa pago push autorizado, describe cualquier estafa en la que se engaña a la víctima para que pague voluntariamente dinero a un estafador. Este término general puede abarcar numerosos tipos diferentes de engaño: productos falsos, como entradas para conciertos, que se pagan pero nunca se reciben; fraude amoroso, cuando la víctima presta dinero para cubrir una crisis de su supuesto nuevo amor; fraude de inversión, cuando se pagan por adelantado acciones sin valor; fraude familiar, cuando un estafador se hace pasar por un pariente en apuros que necesita dinero urgentemente; fraude de suplantación de identidad, cuando una llamada parece provenir de tu banco y te advierte de que muevas dinero para protegerlo, sólo para que vaya a parar al estafador, y muchas variantes más.

Todas ellas tienen la característica común de que, en lugar de llevarse el dinero, se engaña a la víctima para que lo dé voluntariamente, para que autorice ese pago push. Y todos ellos estarán cubiertos por el nuevo sistema.

Las nuevas normas llegan tras años de aumento del fraude APP

El fraude APP se ha convertido en un problema cada vez mayor para las empresas, para sus reguladores y, en última instancia, también para los gobiernos. Y eso se debe al continuo aumento del coste de estas estafas y al número de personas afectadas, a menudo de formas que arruinan la vida.

Las últimas cifras disponibles en Gran Bretaña, procedentes de UK Finance, muestran que el número de casos ha aumentado un 12% interanual, con lo que el número de víctimas ascenderá a 232.429 en 2023, y sus pérdidas ascenderán a 459,7 millones de libras.

Este tipo de cifras enormes hacen que el problema sea cada vez más difícil de ignorar.

Mucha gente conocerá personalmente a una víctima, y cada semana aparecen nuevos casos en los medios de comunicación, a menudo muy sonados.

Las víctimas famosas también han aumentado el perfil APP

La semana pasada, la veterana presentadora de informativos Moira Stuart hizo pública su advertencia de que estuvo a punto de ser víctima de un fraude de suplantación de identidad. Esto sólo se detuvo cuando, muy afortunadamente, entró en una sucursal de su banco mientras hablaba por teléfono con un estafador que fingía llamar desde allí.

Afortunadamente, esto permitió a los verdaderos trabajadores del banco detectar a los falsos y se salvó, pero aun así se sintió avergonzada por lo cerca que había estado de ser víctima y quiso advertir a los demás. Casos como éste -y ha habido muchos- han hecho que el tema adquiera mayor relevancia.

¿Qué dicen las nuevas normas – y cuánto cubren el fraude APP?

A partir de la semana que viene, el 7 de octubre, los bancos británicos deben reembolsar a las víctimas de fraude hasta 85.000 libras de cualquier pérdida. Y tienen que hacerlo muy rápidamente: en un plazo de cinco días a partir de la presentación de una reclamación creíble.

Para ser justos con los bancos, en realidad sólo se trata de hacer obligatorio lo que muchos ya venían haciendo voluntariamente. Pero las nuevas normas, anunciadas y aplicadas por el Regulador de los Sistemas de Pago (PSR), representan una formalización de la postura de que la responsabilidad de acabar con estas estafas recae en los propios bancos y no en los clientes particulares.

¿Cubrirá esto a todo el mundo?

Sin duda cubrirá a la mayoría de la gente: de los más de 200.000 casos registrados el año pasado, sólo en 411 personas perdieron más que el nivel del tope de reclamaciones del plan, 85.000 £, lo que supone menos del 0,25% de las víctimas anuales. Así que la mayoría estará cubierta en su totalidad. Sin embargo, hay un par de excepciones. No podrán acogerse quienes hayan cometido ellos mismos un fraude. Tampoco los que hayan incurrido en “negligencia grave”; corresponderá al regulador determinar cómo se aplica esto y a quién.

¿Qué significa para el sector financiero?

Curiosamente, el anuncio también contenía una nota a pie de página: una vez que el banco o la empresa de pagos haya reembolsado a un cliente víctima, podrá reclamar él mismo el 50% de sus pérdidas a la entidad financiera que el defraudador utilizó para recibir el dinero robado.

Está claro que la intención es instar a todas las instituciones financieras a que dificulten que los defraudadores reciban dinero electrónicamente y luego desaparezcan, como muchos hacen ahora. Pero también plantea interesantes disputas futuras entre organizaciones financieras sobre la responsabilidad y dónde se trazarán esas líneas.

Y, de forma más general, debería animar a todos a vigilar más que nunca quién utiliza sus cuentas y con qué fin.

¿Y qué significa para la lucha contra el fraude en general?

Esta medida es, en cierto sentido, una apuesta del regulador. El PSR espera claramente que, en respuesta a las nuevas normas, los bancos sigan intentando concienciar a los clientes del riesgo de APP y añadan más medidas para intentar detectarlo antes de que ocurra. Por ejemplo, ahora es habitual que las aplicaciones bancarias hagan preguntas como “¿Confías en esta persona?” cuando se mueve dinero en efectivo. Y muchos bancos incluso exigen ahora a los clientes que hablen en persona con sus equipos de fraude antes de autorizar transferencias de mayor cuantía.

Ahora estarán bajo presión para hacer más en la misma línea

El peligro es que, una vez que los clientes se den cuenta de que están cubiertos frente a las estafas, se volverán menos vigilantes, no más. Así, si ven unas entradas de Oasis a la venta en Internet y no están seguros de si son reales o una estafa, puede que se arriesguen sabiendo que, o bien conseguirán las entradas por las que están desesperados, o bien su banco les devolverá el dinero cinco días después. No quieren clientes indiferentes que jueguen con su dinero.

La falta de responsabilidad de otros jugadores

Sin embargo, es importante señalar que los bancos no son las únicas entidades implicadas en la cadena de responsabilidad. Existe una flagrante falta de responsabilidad por parte de los sitios web que alojan anuncios fraudulentos, los ISP y los servicios de alojamiento que proporcionan acceso a las plataformas, e incluso las aplicaciones de citas que no verifican a los usuarios. Ahora mismo, la responsabilidad de proteger a los clientes recae casi por completo en los bancos, mientras que a menudo se pasan por alto otros puntos del trayecto. Esta laguna en la supervisión permite prosperar a los estafadores, y para estrechar la red será necesario abordar estas vulnerabilidades fuera del sector bancario.

Esto podría ser un punto de inflexión para la opción nuclear

Pero si el fraude aumenta en lugar de disminuir, ¿qué sigue? Bueno, esto podría ser finalmente la señal para que los bancos empleen comprobaciones de reconocimiento de números en las transacciones de los clientes. Aunque es fácil para un estafador falsear un número para que parezca que llama, por ejemplo, de un banco internacional, la tecnología de reconocimiento de números no se engaña tan fácilmente; de hecho, es casi imposible engañar a estos sistemas cuando se basan en inteligencia de telecomunicaciones en tiempo real y en datos históricos.

Es crucial que los bancos mejoren la verificación de la identidad de sus clientes de “perfil bajo”. Las comprobaciones de identidad de los números de móvil pueden ayudar a verificar no sólo el número, sino también la identidad detrás del número, y el dispositivo en sesión durante todo el ciclo de vida del cliente. La integridad del móvil es fundamental al principio del ciclo de vida, pero también durante las transacciones de alto riesgo.

Por ejemplo, la verificación debe comenzar durante la incorporación para reducir la probabilidad de que los defraudadores obtengan una cuenta bancaria en primer lugar, las comprobaciones estándar de CSC, combinadas con otras más avanzadas, como las comprobaciones de Presencia Online para los clientes de “perfil delgado”. Al enviar dinero, los bancos deben autenticar la transacción verificando que el número de móvil no ha sido reciclado, que no está activada la portabilidad o el desvío de llamadas, y que no hay actividad de intercambio de SIM.

Más allá de la mera verificación de la identidad, los bancos deben aprovechar los conocimientos situacionales. Aunque la información sobre el comportamiento puede ayudar a detectar patrones fraudulentos, la información sobre la situación relacionada con el propio dispositivo móvil puede proporcionar una mayor protección. Comprobar el comportamiento móvil en tiempo real -por ejemplo, si un dispositivo realiza una actividad inusual durante un intento de transacción- podría ayudar a detener el fraude en seco.

Los bancos más pequeños también deberían adoptar el conocimiento de los datos

Hasta ahora, sólo los bancos más grandes utilizaban rutinariamente los datos para prevenir el fraude APP a este nivel de sofisticación. El nuevo reintegro máximo obligatorio ofrece una importante oportunidad para que los bancos más pequeños sigan el ejemplo. Dado el creciente coste del fraude, invertir en este tipo de medidas preventivas podría ser una sabia decisión financiera para instituciones de todos los tamaños, sobre todo porque las normas de la RSP hacen recaer directamente sobre los bancos la carga de la protección.

El intercambio de datos entre bancos es clave

El intercambio de datos es otro elemento clave en la lucha contra el fraude APP. Los bancos pueden detectar posibles fraudes identificando si la cuenta receptora es personal o de empresa, si el número de móvil vinculado a la cuenta ha sido marcado antes y si tiene un historial de actividad sospechosa. Cuando se acumulan señales de riesgo -como el comportamiento de la cuenta, importes inusuales de las transacciones e información sobre el dispositivo móvil-, la transacción debe marcarse para una mayor investigación. Al compartir estos datos entre instituciones, los bancos pueden colaborar más eficazmente para detener las transacciones fraudulentas en seco.

Esta es una respuesta del Reino Unido, pero la APP es un problema mundial

El Reino Unido parece ir por delante en este asunto. Muchos otros gobiernos y reguladores de todo el mundo estarán pendientes de lo que ocurra en el Reino Unido. ¿Detendrá esta medida el crecimiento del fraude APP o sólo protegerá a los clientes a costa de los bancos, y a costa de la economía británica en general? Hay mucho en juego. Estate atento a este espacio.