Esperar a una alerta de retiro para investigar una cuenta mula es llegar tarde. Para entonces, la cuenta ya pasó el KYC, tiene historial de transacciones y muchas veces ha cambiado sus datos tras el onboarding. Todos esos pasos dejaron señales que nadie revisó.
Todas las cuentas mula siguen el mismo ciclo: registro, verificación de identidad, una actualización de datos que casi nunca se evalúa, una fase de calentamiento para parecer normal y, por último, el fraude en el momento del retiro.
Este artículo recorre cada etapa, muestra dónde están las señales y explica por qué vigilar solo el retiro es atacar el problema equivocado.
puntos clave sobre la detección de cuentas mula
El recorrido de una cuenta mula
La mayoría de los equipos de fraude descubre las cuentas mula en el retiro o cuando llega una disputa. Ese enfoque no tiene en cuenta cómo funciona el problema.
Una cuenta mula pasa por cinco etapas: registro, verificación, actualización de la cuenta, comportamiento transaccional y retiro. Los equipos suelen intervenir en la quinta, pero las señales que habrían delatado la cuenta están en las cuatro anteriores, y la mayoría de las plataformas no las recoge.
1. Cómo es una cuenta mula en el registro
Muchos equipos dan por hecho que el KYC se encarga del registro, pero no basta por sí solo. Una cuenta mula sintética está diseñada para pasar la verificación documental: como la identidad puede fabricarse con datos filtrados, el nombre puede coincidir con un documento sin que haya una persona real detrás.
Lo que no tiene es la huella digital de alguien que lleva años en internet. Un correo real tiene historia (una cuenta de Netflix, un perfil de LinkedIn, años de boletines), mientras que uno creado para el fraude no suele tener nada de eso. Por eso no basta con comprobar que el correo es válido: hay que revisar su antigüedad, su huella digital y si se ha usado en fraudes en otras plataformas. Con el teléfono pasa lo mismo. El tipo de operador, la antigüedad de la línea y las señales de red dicen mucho más que una simple validación de formato.
El dispositivo y la IP completan el cuadro. Un dispositivo compartido por varias cuentas recién creadas, o una IP que sale por un proxy residencial, es una señal clara en el registro, antes de cualquier transacción.
“Al analizar la huella digital del usuario en el registro, las empresas obtienen un contexto clave que el KYC tradicional simplemente no ve.”
Mira Sidhu, Directora de Soluciones de Cumplimiento (IDV)
2. El punto ciego de la verificación
La cuenta pasa el KYC y se aprueba. La mayoría de los equipos de fraude da el riesgo por cerrado aquí, y ese es el primer punto ciego.
La verificación confirma que quien presenta las credenciales coincide con la identidad de la cuenta. No confirma que esa identidad no sea sintética, que el dispositivo no lo usen otras 10 cuentas ni que el correo no se creara dos días antes.
En fintechs y plataformas de pago, la verificación suele tratarse como un control de sí o no, no como un dato que acompaña a la cuenta.
Quienes operan cuentas mula lo saben, y por eso se esfuerzan en pasar ese control. La verificación, junto con los datos enriquecidos del onboarding, debería generar una puntuación de riesgo que acompañe a la cuenta, no un aprobado o rechazado que se archiva.
3. La actualización de la cuenta, el evento menos evaluado
Es la etapa que menos se monitorea, y justo donde más se nota que una cuenta legítima se está convirtiendo en una cuenta mula.
El patrón es conocido entre los equipos que gestionan este fraude a gran escala: la cuenta se registra con una identidad, pasa la verificación y, a los pocos días o semanas, cambia el correo, el teléfono o la dirección de envío. Una vez superado el control de cumplimiento, el estafador pone la cuenta a trabajar.
Este cambio suele quedar registrado, pero casi nunca se evalúa. Eso es lo que lo hace tan aprovechable.
Las señales de riesgo son claras: un correo nuevo sin huella digital, un teléfono de otro operador sin historial, una dirección de envío que corresponde a un servicio de reenvío de paquetes. Cada una puede tener explicación por separado, pero juntas, poco después del registro, describen una cuenta que se está activando para el fraude.
La actualización de la cuenta debería tratarse como un segundo onboarding, con el mismo enriquecimiento de datos y la misma lógica de decisión que en el registro.
4. Comportamiento transaccional y fase de calentamiento
Las cuentas mula no pasan directamente a fraudes de alto valor. Primero se ganan la confianza de la plataforma, a propósito.
El calentamiento es una serie calculada de transacciones limpias y de bajo riesgo para que el motor de riesgo considere normal la cuenta: montos bajos, sin contracargos, sin disputas, igual que un cliente real.
Después llega la avalancha: un pico repentino de transacciones, artículos de alto valor por debajo del precio de mercado o una actividad acelerada que no encaja con nada de lo anterior.
Si el equipo lo detecta en este punto, el problema ya sale caro. Con las reglas de velocidad adecuadas, el calentamiento se puede detectar en tiempo real. Por ejemplo, una regla que compare el volumen de las últimas 72 horas con la media de los 30 días anteriores puede revelar el cambio antes de que el fraude llegue a su pico.
El problema de los sistemas tradicionales basados en reglas es que alguien tiene que haber identificado el patrón antes. Un modelo de machine learning entrenado con casos confirmados de cuentas mula puede reconocer la secuencia previa (el calentamiento, el cambio de velocidad y el cambio de identidad tras el registro) sin escribir una regla para cada variante.
5. Los límites de las listas de bloqueo
Casi todos los equipos de fraude tienen una lista de bloqueo. Son necesarias, pero tienen límites.
Una cuenta mula que comparte huella de dispositivo, IP o hash de tarjeta con una entidad fraudulenta conocida es riesgosa aunque no aparezca en ninguna lista. La conexión es la señal, pero sin una puntuación de asociaciones basada en grafos, pasa desapercibida. Una IP bloqueada provoca un rechazo. El mismo dispositivo con una IP nueva, no.
Así falla en la práctica: una cuenta mula se registra con un correo nuevo, pero desde el mismo dispositivo que una cuenta suspendida. La lista detecta la coincidencia exacta, pero la conexión que revela la red pasa inadvertida.
Para detectar cuentas mula no basta con cotejar contra estafadores conocidos. Hay que medir la cercanía con ellos. ¿Cuántas cuentas comparten este rango de IP? ¿Qué tasa de rechazo tienen las transacciones de este dominio de correo? ¿Cuántos dispositivos conectan con los últimos tres casos confirmados? Son preguntas que una lista de bloqueo no puede responder.
Por qué esperar a la salida de fondos es llegar tarde
Cuando una cuenta mula dispara una alerta de retiro, la plataforma ya ha asumido casi todo el costo.
Los contracargos ya están en camino, los productos ya se enviaron y el dinero ya se movió. El equipo de fraude está recuperando pérdidas en lugar de prevenirlas. Y lo que es peor: el modelo de riesgo ha aprendido que el calentamiento es normal, porque nadie intervino.
Detectar antes no es solo atrapar el fraude más rápido. Es romper el círculo que hace a la plataforma cada vez más fácil de explotar.
Una cuenta mula que completa el calentamiento pasa a formar parte de lo que el sistema considera normal. El siguiente estafador copia la estrategia, la ajusta un poco y vuelve a intentarlo. Sin señales en el registro, la actualización y las transacciones, el modelo nunca aprende el patrón que llevó al fraude.
Cómo frenar las cuentas mula antes de que muevan el dinero
Cerrar este hueco implica tratar cada evento del ciclo de vida del usuario como una señal de riesgo, no solo el pago.
En el registro
Enriquecer el correo, el teléfono, el dispositivo y la IP. Evaluar la huella digital, el uso de proxies y VPN, los dispositivos compartidos y las conexiones con fraudes anteriores. Marcar o rechazar las cuentas que no pasen este filtro antes de llegar a la verificación documental.
En la actualización de la cuenta
Volver a enriquecer los campos modificados y comparar la identidad original con la nueva. Tratar los cambios importantes, sobre todo un correo nuevo sin relación con el anterior, como un evento de riesgo y no como un simple cambio de perfil.
En el inicio de sesión
Vigilar el dispositivo y la IP para detectar anomalías frente al comportamiento habitual de la cuenta. Un acceso desde un dispositivo nuevo, en otra ubicación y con una biometría del comportamiento distinta es una posible apropiación de cuenta y debe puntuarse como tal.
En la transacción
Aplicar reglas de velocidad que analicen el comportamiento a lo largo del tiempo, no cada transacción por separado. Evaluar cada evento frente al historial del dispositivo en la plataforma y en la red de fraude. Detectar el calentamiento antes de la avalancha.
En el resultado
Devolver automáticamente al modelo las cuentas mula confirmadas para que aprenda de cada caso, no solo de los que revisa un analista a mano.
Nada de esto exige cambiar de tecnología. Exige ver todo el ciclo de vida del usuario como una superficie de riesgo, no como una serie de controles aislados.
Preguntas frecuentes
¿Qué es una cuenta mula?
Es una cuenta bancaria, de pagos o de un marketplace que se usa para recibir y mover dinero obtenido de forma fraudulenta en nombre de otra persona, normalmente quien dirige una red de fraude. El titular puede ser cómplice, actuar bajo presión o, en las cuentas mula sintéticas, ni siquiera existir.
¿Cómo pasan el KYC las cuentas mula?
De dos formas: usan identidades sintéticas diseñadas para pasar la verificación documental, o son cuentas abiertas por un usuario real cuyas credenciales se comprometen después. El KYC verifica la identidad en un momento concreto y no vigila los cambios posteriores.
¿Qué es la fase de calentamiento en el fraude con cuentas mula?
Es la táctica de hacer varias transacciones limpias y de bajo riesgo tras abrir la cuenta para ganarse la confianza del motor de riesgo. Cuando la cuenta ya tiene historial, se usa para fraudes de alto valor. El patrón se puede detectar con análisis de velocidad antes del pico, no solo a posteriori.
¿Qué señales delatan una cuenta mula en el registro?
Las principales son un correo recién creado sin huella digital, un dispositivo compartido con varias cuentas nuevas, una IP que sale por un proxy residencial o una VPN, un teléfono sin historial en el operador y una ubicación declarada que no coincide con la de la IP.
¿Cómo mejora el machine learning la detección de cuentas mula?
Un modelo entrenado con casos confirmados puede reconocer los patrones previos al fraude, como el calentamiento, los cambios en la cuenta o los dispositivos compartidos, sin escribir una regla para cada variante. Así detecta tácticas nuevas a medida que aparecen, no solo las que el equipo ya conoce.
Artículo original de Oliver Bognar, consultor sénior de fraude en SEON. Traducción y revisión técnica: por el equipo hispanohablante de SEON.
