Los fraudes informáticos son numerosos y variados, por lo que es crucial estar al tanto de estos riesgos y aplicar medidas de protección adecuadas para reducir la posibilidad de ser víctima de un ciberataque.

En la siguiente entrevista de iProfesional, Matías Nahón, consultor y con más de 28 años en prevención de fraudes en América latina, explica los diferentes tipos de fraudes informáticos que hay en la Argentina y cómo se los puede prevenir.

Autor del libro "El fraude en la era digital", Nahón es director gerente de la empresa Analitix. Durante cinco años trabajó en esa misma posición en la compañía BRG, donde fue responsable del Cono Sur sudamericano, integrado por Paraguay, Uruguay, Bolivia, Chile y la Argentina).

Trabajó durante 25 años en la consultora de riesgos Kroll como director gerente con trabajos de responsabilidad con el cuartel general de la compañía en la ciudad estadounidense de Miami para América latina.

-¿Cuáles son los fraudes informáticos más comunes hoy en la Argentina?

-Hoy en día los ciberataques se han vuelto cada vez más sofisticados y variados. Hay muchos tipos, pero los más comunes que podemos encontrar son:

• Phishing, un tipo de engaño donde se envían correos electrónicos que parecen provenir de fuentes fiables con el objetivo de obtener datos sensibles como contraseñas y detalles de tarjetas de crédito.
• Los ataques de ransomware que involucran malware donde los archivos del usuario son cifrados y se exige un rescate para descifrarlos.
• Los ataques de denegación de servicio (DDoS) donde inundan un sistema o red con tráfico para sobrepasar los recursos y hacerlo inaccesible para los usuarios legítimos.
• El malware es el más conocido, un software malintencionado que se instala en el dispositivo de la víctima sin su consentimiento y puede realizar una variedad de acciones dañinas.
• Los ataques de fuerza bruta, que es el intento de descifrar contraseñas o claves de cifrado mediante la prueba de todas las combinaciones posibles.
• El SQL Injection que es un ataque que se dirige a bases de datos a través de la inyección de código SQL malicioso en un campo de entrada de una aplicación para manipular la base de datos.
• El ataque Man-in-the-Middle (MitM), cuando un atacante se posiciona en medio de dos partes, como un usuario y un servicio web, y captura o modifica los datos intercambiados.
• El Cross-Site Scripting (XSS) un tipo de ataque en el que los ciberdelincuentes inyectan código malicioso en sitios web legítimos para ejecutar scripts en el navegador de la víctima.
• Exploits de día cero: ataques que aprovechan las vulnerabilidades de seguridad que aún no se han descubierto o parcheado por los desarrolladores de software.
• El Eavesdropping electrónico donde se intercepta la comunicación privada, como correos electrónicos o llamadas telefónicas, sin el consentimiento de las partes involucradas.

El phishing es un tipo de engaño donde se envían correos electrónicos que parecen provenir de fuentes fiables.

Estos son solo algunos ejemplos de los numerosos y variados ataques que pueden ocurrir en el espacio cibernético. Es crucial estar al tanto de estos riesgos y aplicar medidas de protección adecuadas para reducir la posibilidad de ser víctima de un ciberataque.

-¿Cuál es el perfil del defraudador o cómo se puede detectar el empleado "desleal"?

-El perfil de un defraudador o empleado desleal puede variar considerablemente, pero existen ciertos comportamientos y características que pueden servir como señales de advertencia.

Es importante destacar que la presencia de uno o más de estos signos no necesariamente indica que un empleado está cometiendo fraude o sea desleal, pero pueden ser motivos para una supervisión más detallada. Aquí algunos factores y señales de riesgo:

1. Cambio repentino en el comportamiento: esto puede incluir cambios en los hábitos de trabajo, como llegar más temprano y salir más tarde que los demás, de forma inusual.
2. Resistencia a las auditorías o los controles: una actitud defensiva o reacia a compartir información durante las auditorías puede ser una señal de alerta.
3. Estilo de vida por encima de sus posibilidades: si un empleado muestra signos de riqueza que no se corresponden con su salario conocido, puede ser un indicador.
4. Descontento laboral: un empleado que constantemente expresa descontento con su trabajo o su remuneración puede tener una motivación más alta para actuar de manera desleal.
5. Falta de supervisión: Los empleados que tienen control total sobre ciertos procesos o sistemas, especialmente aquellos relacionados con las finanzas, sin un adecuado sistema de supervisión o contrapesos, tienen más oportunidades de cometer fraude.

-¿Cómo se previene la aparición del fraude en una organización?

-Prevenir la aparición del fraude en una organización implica una estrategia integral que abarque diversos aspectos del funcionamiento y la cultura empresarial. Algunas medidas clave para lograrlo que recomendamos son:

1. Establecer un código de conducta: definir y comunicar claramente las políticas éticas y legales de la empresa a todos los empleados.
2. Controles internos efectivos: desarrollar y mantener un conjunto robusto de controles financieros y operativos para detectar y prevenir conductas fraudulentas.
3. Auditorías regulares: realizar auditorías internas y externas de manera periódica para revisar los procesos y detectar posibles irregularidades.
4. Separación de funciones: asegurarse de que ninguna persona tenga control total sobre todas las partes de una transacción financiera para evitar conflictos de interés.
5. Cultura de honestidad y abierta: fomentar un ambiente donde los empleados se sientan cómodos reportando sospechas de fraude.
6. Capacitación y conciencia: educar a los empleados sobre el fraude y sus consecuencias, y entrenarlos para reconocer y responder a actividades sospechosas.
7. Contrataciones escrupulosas: realizar verificaciones de antecedentes exhaustivas antes de contratar personal, especialmente en puestos clave para la integridad financiera.
8. Sistema de denuncias: establecer canales anónimos para que los empleados informen sobre actividades fraudulentas o sospechosas.
9. Respuesta rápida: tener un plan de acción para las acusaciones de fraude, que incluya la investigación inmediata y, si es necesario, acciones disciplinarias.
10. Revisión continua de políticas: mantener las políticas antifraude actualizadas y adaptarlas a los nuevos riesgos conforme surjan. Implementar estas medidas de prevención de fraude puede requerir esfuerzo y recursos, pero los costos potenciales del fraude para una organización suelen ser mucho mayores, justificando así la inversión en estas prácticas preventivas.

Matías Nahón.

-¿Cómo saber si estamos ante un fraude en una organización?

-Para detectar un fraude en una organización, es importante estar atentos a ciertas señales y adoptar un enfoque sistemático para evaluar las actividades sospechosas.

Si hay sospechas de fraude, es esencial seguir una ruta formal para investigar y, si es necesario, tomar medidas legales. Esto puede incluir formar un equipo de investigación, recolectar evidencia de forma segura y posiblemente trabajar con asesores legales y profesionales forenses.

Además, la cultura de la empresa, donde se promueva la ética y la integridad, es fundamental para prevenir el fraude. Hay ciertas estrategias y pasos para identificar si estamos ante un fraude como:

• Control interno: es fundamental. Un sistema de control interno deficiente puede ser un indicador de que el fraude es posible o incluso probable.
• Separación de funciones: una medida importante contra el fraude es asegurar que ninguna persona tenga control total sobre todas las partes de una transacción financiera. Si una persona puede autorizar, registrar y manejar activos sin supervisión, esto puede ser un signo de alerta.
• Reportes financieros: revisar los reportes financieros buscando inconsistencias o anomalías, como discrepancias en los balances, ingresos o gastos inexplicables, o transacciones no autorizadas.
• Cambios en el comportamiento: aquí es cuando es necesario prestar mucha atención porque los cambios en el comportamiento de los empleados o directivos pueden incluir una resistencia a compartir información o estar bajo una presión financiera notable.
• Quejas y rumores: También estar atentos a las quejas de clientes o empleados y los rumores que puedan indicar problemas de ética o integridad.

-¿Cuándo debe comenzar una investigación en una organización por un fraude informático?

-Una investigación por fraude informático dentro de una organización debe comenzar tan pronto como existan suficientes indicios razonables de actividad sospechosa o irregular.

No es necesario esperar a tener pruebas definitivas antes de iniciar la investigación, ya que hacerlo podría permitir que el fraude continúe y se expanda.

Aquí están algunas señales y situaciones que pueden indicar cuándo debe comenzar una investigación:

1. Alertas de sistemas de seguridad: si los sistemas de seguridad informáticos detectan anomalías, intrusiones o patrones de uso inusuales.
2. Indicadores técnicos: un aumento en la cantidad de errores del sistema, uso inusual de la red o presencia de programas o ficheros maliciosos.
3. Solicitud de entidades reguladoras o autoridades legales: si se ha hecho una solicitud formal de investigación por parte de estas entidades. La rapidez en el inicio de la investigación es crucial para minimizar los daños, asegurar pruebas y evitar la destrucción de evidencia.

Una vez que se haya decidido comenzar la investigación, la organización debe: asegurar la integridad de los registros y sistemas informáticos, mantener la confidencialidad durante el proceso de investigación, recopilar evidencias de forma metodológica y legalmente admisible, analizar todos los datos y registros relevantes, considerar la intervención de expertos externos en ciberseguridad o forenses informáticos y prepararse para las implicaciones legales y de relaciones públicas que puedan surgir.

-¿Cómo impacta el crecimiento de la inteligencia artificial en los fraudes informáticos?

-El crecimiento de la inteligencia artificial (IA) tiene un impacto significativo en los fraudes informáticos, tanto en la prevención y detección como en su perpetuación dado que al analizar grandes volúmenes de transacciones la IA puede identificar patrones sospechosos, lo que ayuda a detectar y prevenir fraudes más rápidamente que los métodos tradicionales.

Las herramientas de IA pueden utilizar datos históricos para predecir y alertar sobre posibles fraudes antes de que ocurran y monitorear comportamientos de usuarios y transacciones que se desvían de los patrones normales, lo cual es un indicativo de una posible actividad fraudulenta.

Por otro lado, los sistemas de IA avanzados implementan reconocimiento biométrico, como reconocimiento facial o de voz, para mejorar los protocolos de seguridad y autenticación de usuarios.

El crecimiento de la inteligencia artificial (IA) tiene un impacto significativo en los fraudes informáticos.

Así, los ataques de phishing pueden volverse más sofisticados, personalizando automáticamente los correos electrónicos o mensajes para aumentar las tasas de clics y éxito.

La posibilidad de crear videos y audios falsificados pero realistas puede llevar a engaños y manipulación para obtener acceso a sistemas o información sensible y la disponibilidad de plataformas de IA en la nube hace que sea más fácil para los ciberdelincuentes acceder a herramientas de IA potentes sin una gran inversión inicial.

Observamos un cambio en la naturaleza del fraude porque se vuelven más complejos y adaptables. La IA puede aprender de las intervenciones y mutar sus métodos para evitar la detección y tiene capacidad de automatizar ataques a gran escala lo cual puede permitir a los ciberdelincuentes probar muchas técnicas diferentes rápidamente, aumentando las posibilidades de éxito.

Sobre este tema, estamos frente a una serie de desafíos éticos y legales como la privacidad y la confianza, dado que a medida que la IA se vuelve más prevalente, surgen preocupaciones sobre la privacidad y la confianza en los sistemas que manejan datos sensibles.

El rápido desarrollo de la IA desafía las estructuras legales y normativas existentes, que a menudo no están preparadas para abordar los nuevos tipos de fraude informático facilitados por la IA.

Por último, la IA contribuye positivamente a mejorar los sistemas de prevención y detección de fraudes, haciéndolos más inteligentes y eficientes. Sin embargo, también ofrece herramientas nuevas y poderosas para los delincuentes, lo que crea un juego constante de gato y ratón entre defensores de la seguridad y atacantes. Esto requiere una evolución continua de las técnicas de seguridad para mantenerse a la vanguardia de las tácticas de fraude informático.