Reputación de IP: Análisis para la detección de fraude

La reputación de IP es una evaluación del riesgo de una dirección IP basada en su historial y en sus características técnicas, como el uso de VPN, proxy o Tor. Su mayor valor no está en ubicar al usuario con exactitud, sino en detectar datos que no cuadran, como una IP que no coincide con la zona horaria del dispositivo.

Esta guía explica qué tan fiable es, qué señales importan y cómo usarla sin bloquear a clientes legítimos.

¿Qué es la reputación de IP?

La reputación de IP es una medida del riesgo asociado a una dirección IP. Se calcula a partir de dos tipos de datos: su historial (si se ha vinculado antes con fraude, spam o bots) y sus características técnicas (si pertenece a una VPN, un proxy, un nodo de Tor o un centro de datos).

A diferencia de un puntaje de fraude general, que evalúa toda la actividad de un usuario, la reputación de IP se limita a la conexión. Por eso funciona mejor como una señal dentro de un modelo de riesgo que como criterio único de decisión.

Toda conexión a internet usa una dirección IP pública asignada por el proveedor de servicios de internet (ISP). Esa dirección revela el país y la región aproximada, el proveedor y el tipo de conexión: residencial, móvil, corporativa o de centro de datos.

¿Qué tan fiable es la geolocalización por IP?

Es la pregunta que más se repite entre los equipos de fraude, y la respuesta depende de para qué se use. La geolocalización por IP suele ser fiable a nivel de país. A nivel de ciudad la precisión varía según el proveedor y el tipo de conexión, y a nivel de domicilio no es fiable, por tres razones:

• IP compartidas. Ante la escasez de direcciones IPv4, muchos proveedores de internet, también en Latinoamérica, asignan una misma IP pública a varios hogares o líneas móviles. Varios usuarios legítimos pueden aparecer con la misma IP.
• IP dinámicas. Muchas conexiones residenciales y móviles cambian de IP con frecuencia, así que una IP no identifica a una persona a lo largo del tiempo.
• Enmascaramiento. Con una VPN o un proxy, cualquier usuario puede mostrar una IP de otro país en segundos.

Por eso, para una ubicación precisa y para identificar al usuario a lo largo del tiempo, la IP debe complementarse con datos del dispositivo. La IP sigue siendo útil para detectar VPN, Tor o navegadores de privacidad, y cambios de país que no tienen sentido.

En la práctica, la IP aporta más valor cuando se compara con otros datos. Si la IP indica México, la zona horaria del dispositivo indica Europa y el idioma del navegador no coincide con ninguno de los dos, la precisión exacta deja de importar. La inconsistencia es la señal.

Señales de IP que indican riesgo

Ninguna señal de IP prueba un fraude por sí sola. Lo que cambia la evaluación es el tipo de conexión, el historial de la IP y si los datos del usuario coinciden entre sí.

• Herramientas de anonimato. Las VPN, los proxies, Tor y los navegadores de privacidad ocultan la IP real. Una VPN por sí sola dice poco, porque muchas personas la usan por privacidad o por trabajo. Tor es menos habitual en un registro o un pago, y suele justificar una revisión. Los proxies residenciales cuestan más de detectar que los de centros de datos porque usan IP de hogares reales, así que la sospecha suele venir de otras señales.
• Tipo de conexión e historial. Una IP de centro de datos indica que el tráfico sale de un servidor y no de un hogar o una red móvil. Es típico de bots y scripts, aunque también de algunas VPN corporativas. Las IP en listas negras ya se han vinculado con spam, ataques o fraude, y ciertos puertos abiertos pueden indicar que la conexión pasa por un equipo configurado como proxy.
• Datos que no coinciden. Este suele ser el grupo de señales que más contexto aporta. Si la zona horaria del dispositivo no corresponde a la ubicación de la IP, o la IP indica México mientras el dispositivo reporta estar en Francia, es probable que el usuario esté ocultando dónde está. Lo mismo ocurre cuando la IP no encaja con el domicilio declarado o con el país de la tarjeta.

Los atacantes organizados combinan estas herramientas con emuladores y granjas de dispositivos para simular muchos usuarios desde IP distintas. Por eso, lo que suele delatarlos no es la IP, sino la combinación: una IP residencial aparentemente limpia con un emulador, o cientos de registros desde IP distintas con la misma huella de dispositivo.

Cómo ocultan los estafadores su dirección IP

Cambiar de IP cuesta poco. Una VPN comercial permite elegir el país de salida en segundos, y un proxy hace lo mismo para un solo navegador o aplicación. Tor va más allá y hace pasar el tráfico por varios nodos cifrados, aunque sus nodos de salida son públicos y fáciles de reconocer.

Los ataques más elaborados suelen recurrir a proxies residenciales, que enrutan el tráfico a través de conexiones domésticas reales. Para un sistema de detección, esa IP parece la de un cliente cualquiera. Si además se rota la IP en cada intento y se combinan con emuladores o granjas de dispositivos, un solo operador puede simular cientos de usuarios distintos.

Por eso el análisis de IP aislado se queda corto frente a un ataque organizado. Lo que suele delatarlo es lo que no cambia entre cuentas: cientos de registros desde IP distintas con la misma huella de dispositivo, o una IP residencial aparentemente limpia en un equipo que resulta ser un emulador.

Cómo funciona un puntaje de fraude de IP

En SEON, el puntaje de fraude se calcula con reglas transparentes: cada regla que se activa suma o resta puntos, y el total se compara con umbrales que definen si la solicitud se aprueba, pasa a revisión manual o se rechaza. Por defecto, los umbrales son de 0 a 10 para aprobar, de 10 a 20 para revisión y más de 20 para rechazar, y cada negocio puede ajustarlos a su apetito de riesgo.

La IP rara vez decide sola. Por ejemplo, un registro puede activar estas reglas por defecto:

• La IP está marcada como fraudulenta: +10
• La cuenta se creó en modo de navegación privada: +3
• El teléfono es sospechoso: +3
• El correo es muy similar a otro registrado en la última semana con el mismo dominio y el mismo hash de navegador: +5

El total es 21, por encima del umbral de rechazo. La regla de IP es la de mayor peso, pero es la combinación con el dispositivo, el teléfono y el correo la que justifica la decisión. Además, la respuesta incluye cada regla aplicada, así que el equipo puede ver exactamente por qué se rechazó la solicitud.

Muchas reglas de IP funcionan mejor con poco peso, sumadas a otras. Para lo que su negocio no acepta en ningún caso, como una IP en lista negra o un país donde no opera, use una regla de bloqueo: así ningún buen resultado en otras reglas compensa una señal claramente fraudulenta.

Cómo analizar la IP en el registro, el inicio de sesión y los pagos

La misma señal de IP pesa distinto según dónde aparece.

Use la IP como apoyo en el registro

En el registro no hay historial con el cual comparar, así que el correo, el teléfono, la presencia en línea y el dispositivo pesan más. La IP sirve de apoyo: decenas de correos distintos desde una sola IP en poco tiempo pueden indicar abuso de bonificaciones o identidades falsas, algo habitual en iGaming y en programas con incentivos de entrada.

Como la IP puede ser compartida, analícela junto con el dispositivo. Varias cuentas desde una misma IP son una alerta. Varias desde un mismo dispositivo son una evidencia mucho más sólida.

Detecte accesos inusuales en el inicio de sesión

Aquí la IP ayuda a detectar la apropiación de cuentas. Las señales más útiles son un país donde su negocio no opera, un cambio brusco de ubicación frente a sesiones anteriores y los viajes imposibles, como un acceso desde Ciudad de México y otro desde Bogotá minutos después. Un acceso desde fuera de sus mercados merece revisión, aunque no siempre un rechazo: puede ser un cliente de viaje.

Monitoree la velocidad por IP en pagos y retiros

Las reglas de velocidad por IP detectan pruebas de tarjetas y movimientos coordinados. Compare también la IP de la transacción con la del registro: si alguien se registró desde Perú y retira fondos desde otro país con un dispositivo nuevo, conviene revisarlo. Si procesa pagos transfronterizos, use listas personalizadas para marcar los países de alto riesgo.

Qué hacer si el usuario no comparte su ubicación

En mercados regulados, como el de apuestas en Brasil, los operadores tienen obligaciones de geolocalización. Sin embargo, muchas personas rechazan el permiso de GPS y después no saben cómo reactivarlo. Bloquearlas reduce la conversión.

La alternativa es combinar otras señales para estimar la ubicación y dejar constancia de ella: la geolocalización de la IP, la zona horaria y la configuración regional del dispositivo, la IP detectada por WebRTC (que en algunas configuraciones revela la IP real detrás de una VPN), la detección de VPN, emuladores y aplicaciones de ubicación falsa, y el historial del usuario.

Nada de esto reemplaza al GPS para saber si alguien cruzó una frontera a pocos metros. Pero sí permite detectar cuándo un usuario oculta su ubicación y dejar un registro auditable para el equipo de cumplimiento.

Cómo evitar falsos positivos analizando la IP

Una regla de IP mal calibrada bloquea a clientes legítimos. Estas prácticas ayudan a evitarlo:

• Excluya los rangos de IP conocidos. Oficinas, sucursales o casinos con tabletas compartidas generan muchas cuentas desde una sola IP. Agréguelos a una lista blanca.
• Diferencie el canal. Si opera en persona y en línea, envíe un campo con el canal de cada transacción para aplicar reglas distintas.
• Separe el tráfico de pruebas. Las pruebas internas con VPN disparan rechazos y distorsionan las métricas de las reglas.
• No decida con una sola señal. Una VPN puede venir de una red corporativa o de un cliente de viaje. Combine la IP con el dispositivo, el correo y el teléfono.
• Revise el rendimiento de cada regla. Si una regla se activa en muchas transacciones que terminan aprobadas, reduzca su peso o agregue una excepción.
• Ajuste por región. Si una región se vuelve más riesgosa en cierto periodo, márquela en una lista personalizada sin reescribir las reglas.

Cómo SEON analiza la reputación de IP

En SEON, el análisis de IP forma parte de la dimensión de red y ubicación, que se evalúa junto con la huella digital y los datos del dispositivo. Para cada IP se obtienen el país, la ciudad, la zona horaria, el proveedor de internet y el tipo de conexión (residencial, de centro de datos o a través de un servicio de privacidad), además de los puertos abiertos y si corresponde a Tor, una VPN, un proxy o una dirección con historial de abuso. Estos datos están disponibles a través de la API, sin necesidad de integrar un SDK.

Si además se integra el SDK de dispositivo, la IP puede compararse con la zona horaria, la configuración y la ubicación del dispositivo, lo que permite detectar emuladores, accesos remotos y dispositivos suplantados. De esta forma, la IP no se evalúa de forma aislada, sino junto con el domicilio, el método de pago y la actividad de la sesión.

Las reglas se configuran sin código, y el aprendizaje automático propone otras nuevas a partir de los casos que usted confirma. Para ver cómo se combina la IP con el resto de señales, consulte las 16 dimensiones de señales de riesgo.

Traducido y revisado por el equipo hispanohablante de SEON.

Preguntas frecuentes