Un defraudador puede falsificar un nombre, un documento o un número de teléfono por separado, pero lograr que todos los datos encajen en una identidad coherente es mucho más difícil. Las grietas suelen aparecer en el origen de la solicitud: la red, el dispositivo, la ubicación o el canal que hay detrás.
Una solicitud con origen de alto riesgo es la alerta que aplican las entidades de crédito y servicios financieros cuando ese origen parece sospechoso, por muy creíbles que parezcan los datos del solicitante.
RESUMEN RÁPIDO
¿Qué significa que una solicitud tenga un origen de alto riesgo?
Los equipos de riesgo usan esta etiqueta para describir una solicitud cuyo origen genera dudas, aunque la identidad del solicitante parezca válida. El “origen” va más allá de la geografía. Incluye la conexión a internet, el dispositivo usado para solicitar, el historial de los datos de contacto y el canal por el que llegó la solicitud, como un sitio afiliado, un comparador, un bróker o un comercio aliado.
Por eso una persona legítima puede recibir la alerta. Alguien que solicita a través de una VPN, desde un dispositivo vinculado a otras solicitudes o mediante un aliado con historial de referidos de baja calidad puede ser calificado como de alto riesgo antes de que nadie revise sus documentos.
El término también se cruza con la prevención antilavado de dinero (AML). Las solicitudes desde jurisdicciones sancionadas, o de solicitantes que coinciden con listas de personas expuestas políticamente (PEP) o de sanciones, suman riesgo regulatorio al riesgo de fraude y deben filtrarse dentro de su programa AML.
Qué implica la alerta para el solicitante
La alerta se refiere al origen de la solicitud, no a la persona. Un solicitante genuino puede recibirla si su ubicación en línea no coincide con su domicilio, si solicita a través de una VPN o si usa un dispositivo que ya aparece en otras solicitudes.
Por eso el motivo rara vez se explica en detalle. Las personas rechazadas suelen recibir un mensaje automático con poca información, porque revelar qué señales activaron la decisión les mostraría a los defraudadores qué cambiar.
¿Qué cuenta como origen de alto riesgo?
Cada señal de la tabla plantea una pregunta, no prueba un fraude, así que la tercera columna importa tanto como la segunda. Una buena decisión descarta la explicación legítima antes de actuar.
| Señal | Por qué aumenta el riesgo | Explicación legítima que descartar |
|---|---|---|
| IP lejos del domicilio declarado | El solicitante podría estar ocultando dónde está | Viajes o una red corporativa |
| Conexión por VPN, proxy, Tor o centro de datos | Se oculta el origen real de la red | Redes corporativas, viajes y usuarios que cuidan su privacidad |
| Ubicación del dispositivo que contradice la IP y el domicilio | La ubicación declarada podría estar falsificada | Una VPN o red corporativa que redirige el tráfico mientras el dispositivo está donde dice el solicitante |
| Dispositivo ya visto en otras solicitudes | Una misma persona podría estar usando varias identidades | Un dispositivo compartido en casa, en el trabajo o en familia |
| Indicios de emulador, máquina virtual o granja de dispositivos | Un solo operador podría estar haciéndose pasar por muchos solicitantes | Raro en solicitudes de crédito, a veces desarrolladores o equipos gestionados por empresas |
| Canal, afiliado o comercio con patrones inusuales | Un aliado podría ser cómplice o enviar tráfico de baja calidad | Clientes sin relación que llegan por la misma campaña |
| IP o dispositivo en una jurisdicción sancionada | Riesgo regulatorio y de lavado de dinero | Viajes o una VPN que enruta el tráfico por ese país |
Por qué las solicitudes de alto riesgo superan el KYC y los controles de crédito
Los controles de identidad confirman que un documento es auténtico y que la persona coincide con él. No confirman que el solicitante tenga intención de pagar ni que otra persona no esté usando esa identidad. Eso deja espacio para identidades sintéticas, identidades robadas, mulas de dinero y solicitantes guiados por terceros.
Los equipos de riesgo describen el mismo patrón en crédito digital, BNPL y financiamiento al consumo: gran parte del fraude que llega a la cartera supera los controles de identidad y crédito, parece una persona real durante todo el alta y solo se revela cuando se incumple el primer pago y el acreditado deja de responder.
La automatización agrava el problema. Los agentes de IA ya completan solicitudes con precisión y más rápido que cualquier persona, y las granjas de dispositivos controlan teléfonos reales a distancia para que cada sesión parezca orgánica. Cada solicitud puede parecer normal por sí sola. Por eso importa revisar el origen: muestra desde dónde y a través de qué llegó la solicitud, no solo lo que contiene.
Países y jurisdicciones de alto riesgo
La mayoría de las organizaciones empiezan por las listas de sanciones. Las solicitudes vinculadas a jurisdicciones sancionadas implican riesgo regulatorio aunque no haya ninguna señal de fraude. Las listas aplicables dependen de dónde opere su empresa: en México, por ejemplo, la Lista de Personas Bloqueadas de la UIF se suma a las listas internacionales.
Además, estas listas cambian rápido. Una nueva designación puede aparecer de un día para otro, así que una tabla de países copiada en un manual de reglas queda desactualizada enseguida. Lo recomendable es filtrar en tiempo real con datos de fuente directa y actualizados con regularidad.
Muchos equipos también mantienen listas internas de alto riesgo basadas en sus propias pérdidas. Ayudan, pero bloquear países rara vez resuelve el fraude, porque los atacantes simplemente redirigen los mismos intentos por IP de países que usted sí permite.
Las investigaciones de SEON apuntan en la misma dirección. En un caso, la discrepancia de país del dispositivo era la única señal de alerta en un grupo de cuentas y resultó ser la parte menos estable del patrón. Use la ubicación como punto de partida de la investigación y confírmela con evidencia independiente.
Cómo detectar solicitudes de crédito fraudulentas
Los métodos siguientes funcionan mejor combinados. Cada uno aporta evidencia que un control aislado pasaría por alto. Juntos, permiten aprobar rápido a los buenos solicitantes y concentrar la revisión donde realmente está el riesgo.
1. Revise la solicitud antes de pagar por el KYC
Los controles de dispositivo, red, correo electrónico y teléfono se ejecutan en milisegundos sin pedirle nada al solicitante. Si los ejecuta en el primer envío del formulario, filtrará el fraude evidente antes de pagar por la verificación de documento y selfie, y tendrá contexto para cada decisión posterior.
2. Compare dónde dice estar el solicitante con dónde está el dispositivo
Contraste el domicilio declarado con la ubicación de la IP y, si el solicitante da permiso, con la posición GPS del dispositivo. Un usuario de VPN cuyo dispositivo está en la misma ciudad que su domicilio es un caso muy distinto al de un dispositivo en otro país que se conecta a través de un proxy residencial.
“Usar una VPN no es delito, pero una salida de VPN en un país, un domicilio en otro y un operador móvil en un tercero cuentan una historia que no se sostiene.”
Jane Singh, Equipo de Product Marketing (Fintech)
3. Reconozca dispositivos que vuelven detrás de identidades nuevas
Las redes de fraude rotan nombres, correos y números de teléfono, pero reutilizan el hardware. Un identificador de dispositivo persistente, que resiste restablecimientos de fábrica, reinstalaciones y navegación privada, revela cuándo un mismo dispositivo está detrás de varios solicitantes supuestamente nuevos.
Los grupos de fraude organizado ya generan un identificador de dispositivo nuevo para cada cuenta. Por eso conviene buscar también características de hardware que deberían variar entre dispositivos reales y no lo hacen. En una investigación de SEON, un mismo grupo operaba 197 cuentas que no compartían ningún identificador de dispositivo, pero tenían cinco características de hardware idénticas.
Las sesiones desde emuladores o máquinas virtuales merecen una respuesta más firme en crédito que en otros sectores. Rara vez una persona genuina solicita un préstamo desde estos entornos, así que lo adecuado es revisar o rechazar, no solo sumar unos puntos al score.
4. Evalúe cada canal y aliado por separado
Etiquete cada solicitud con el canal, afiliado, comparador, bróker o comercio que la envió, para comparar tasas de aprobación, fraude e impago por origen. En el crédito digital en LATAM, donde buena parte del volumen llega por comparadores y afiliados, este control es clave. Si los solicitantes de un aliado empiezan a compartir dispositivos, domicilios o datos casi idénticos, ese aliado está enviando un patrón que ninguna solicitud aislada revela.
Las reglas de velocidad, que cuentan cuántas veces aparece un dispositivo, una IP o un aliado en un periodo determinado, detectan estos picos en el momento. En crédito, el número de solicitudes desde un mismo dispositivo en 48 horas es una señal clave.
Cuando las solicitudes llegan por formularios de terceros, quizá no pueda capturar datos del dispositivo. En esos flujos, dé más peso a las señales de correo, teléfono y canal, y envíe antes los casos dudosos a verificaciones adicionales.
5. Filtre sanciones y PEP con criterios basados en riesgo
Compare a cada solicitante con listas de sanciones, PEP, vigilancia y delitos, pero sin aplicar las mismas reglas a todos. Ajuste el grado de coincidencia exigido según la jurisdicción y el producto, para que los segmentos de alto riesgo tengan umbrales estrictos y los de bajo riesgo no saturen a su equipo con falsos positivos.
El momento importa tanto como el ajuste. Una nueva designación puede aparecer de un día para otro, y un proceso por lotes nocturno podría aprobar una solicitud antes de que la actualización la detecte. Por eso conviene filtrar en tiempo real, en el momento de la solicitud. Una primera revisión automática de cada coincidencia descarta los falsos positivos evidentes antes de que lleguen a un analista.
6. Evalúe las señales en conjunto, no una por una
Ninguna señal por sí sola debería decidir una solicitud. Sume un puntaje moderado por una VPN, otro por un correo recién creado y otro por una discrepancia del dispositivo. Reserve las respuestas más firmes para señales que casi nunca son legítimas en una solicitud de crédito, como las sesiones desde emuladores o el tráfico por Tor.
El contexto, como la edad, el producto o el monto del préstamo, cambia el significado de cada señal. Los acreditados jóvenes y quienes se mudaron hace poco comparten rasgos superficiales con las identidades sintéticas. Las reglas que combinan señales protegen a los solicitantes genuinos con poco historial y siguen detectando las combinaciones que los clientes reales rara vez producen.
Use los datos de contacto como contraste, no como veredicto. Un correo o un teléfono sin historial en línea, o reportado por otras empresas por fraude, suma peso cuando el dispositivo, la red o el canal ya parecen sospechosos.
Qué hacer al detectar una solicitud de alto riesgo
Ajuste la respuesta a la solidez de la evidencia. Apruebe automáticamente las solicitudes de bajo riesgo, rechace las que tengan indicios claros de fraude y aplique verificaciones adicionales (documento, selfie o validación bancaria) a los casos intermedios en lugar de rechazarlos directamente. Así los buenos clientes siguen avanzando.
Dimensione la cola de revisión manual con criterio. Si sus analistas pasan la mayor parte del tiempo descartando anomalías que ya sabe que son legítimas, ajuste el peso de las reglas en lugar de sumar personal.
Si una revisión genera sospechas de lavado de dinero, presente el formulario SAR o el reporte equivalente ante las autoridades correspondientes. Ofrezca a los solicitantes rechazados una vía de apelación, pero no revele las señales concretas detrás de la decisión, porque eso les muestra a los defraudadores qué cambiar.
Por último, use los resultados para mejorar sus reglas y modelos. Etiquete las solicitudes que terminan en fraude o en impago del primer pago, y tenga en cuenta que esas etiquetas tardan entre uno y tres meses en madurar, porque el fraude de primer pago solo se hace visible cuando vencen las primeras cuotas.
Cómo ayuda SEON a detectar solicitudes con origen de alto riesgo
Las señales de origen son más útiles cuando llegan antes de los controles costosos y cuando su equipo puede ver por qué se activaron. SEON analiza la red, el dispositivo y la ubicación de cada solicitud en el momento del envío, para que pueda filtrar o escalar los orígenes sospechosos antes de iniciar la verificación de identidad.
La inteligencia de dispositivos reconoce cuándo un dispositivo vuelve detrás de una identidad nueva y detecta emuladores, granjas de dispositivos y sesiones automatizadas. También compara los datos de GPS, IP y red del navegador para mostrar si el solicitante está realmente donde dice estar.
Los datos de contacto funcionan como contraste, no como veredicto. El análisis de huella digital muestra si un correo o un teléfono tiene historial en línea, y el filtrado de sanciones se ejecuta en el mismo flujo, de modo que el riesgo de ubicación y el regulatorio se evalúan juntos.
Cada decisión muestra las señales y reglas que la respaldan, para que su equipo pueda explicar los resultados y ajustar las reglas a medida que cambian los patrones de fraude.
Artículo original de Dora Pinter, redactora de contenidos, revisado por Jane Singh, gerente sénior de Marketing de Producto (Fintech) en SEON. Traducido y revisado por el equipo hispanohablante de SEON.
