El fraude no es uniforme: cada entidad tiene puntos ciegos distintos, y tratarlas todas con el mismo protocolo es la razón por la que la detección genérica sigue fallando. Este segundo artículo traduce a la defensa contextualizada un marco que ya resolvió el mismo problema en otro sector, la medicina de precisión, eje por eje, y cierra con cuatro preguntas que cualquier equipo de riesgo puede aplicar esta semana.
En la primera parte de esta serie expliqué por qué gastar más en ciberseguridad no está bajando el fraude. Comenté que cada señal (el documento, la biometría, el comportamiento del usuario) funciona bien por su cuenta, pero casi nunca se lee junto con las demás. A la capa que las conecta la llamamos defensa contextualizada.
Lo que no conté ahí es de dónde sale el marco para construir esa capa. Y antes de llegar a eso, vale la pena dejar claro cuál es el cambio de fondo: dejar de clasificar el riesgo por tipo de ataque y empezar a clasificarlo por el perfil completo de quien lo sufre. El fraude no es uniforme y cada entidad tiene puntos ciegos distintos.
Esta forma de pensar ya existe en otro campo. Hace un siglo, el médico alemán Ludolf von Krehl decía algo parecido sobre su propio campo: “no existen enfermedades, existen enfermos”. La medicina tardó décadas en poder aplicarlo (necesitó el Proyecto Genoma Humano para tener la tecnología que le permitiera diagnosticar al paciente completo, no solo la etiqueta de la enfermedad), pero cuando lo hizo, nació la medicina de precisión: un marco con seis ejes muy concretos que hoy se traduce, casi sin fricción, a la defensa contextualizada.
Seis ejes de la medicina de precisión aplicados a la prevención del fraude
La tabla siguiente traduce cada uno de esos seis ejes a su equivalente exacto en la defensa contextualizada, no como una metáfora suelta, sino como seis cosas concretas que hoy tu stack probablemente no hace, y que, si hiciera, cerrarían fraude que ahora mismo se te está escapando.
| EJE | MEDICINA DE PRECISIÓN | DEFENSA CONTEXTUALIZADA |
|---|---|---|
| Taxonomía | Abandona la clasificación por síntomas y adopta una clasificación molecular: no existen enfermedades, sino personas enfermas con perfiles diferentes. | Abandona la clasificación por tipo de ataque y adopta una clasificación por perfil: no existe algo como el «fraude», sino instituciones con diferentes puntos ciegos. |
| Diagnóstico previo | El diagnóstico complementario permite anticipar si un paciente responderá a una terapia antes de administrarla, evitando tratamientos ineficaces y efectos adversos. | El diagnóstico de la arquitectura permite anticipar qué controles funcionarán para una institución concreta antes de desplegarlos, evitando invertir en sistemas de detección que no frenan el fraude real. |
| Estratificación | Clasifica a los pacientes en subpoblaciones en función de su susceptibilidad, biología y respuesta esperada al tratamiento. | Clasifica operaciones y usuarios en perfiles de riesgo según el canal, la geografía, el historial y el vector de ataque actual. |
| Datos integrados | Integra información genómica, clínica, ambiental y de estilo de vida en un único perfil del paciente. | Integra señales documentales, biométricas, transaccionales y de comportamiento en un único historial de identidad continuo. |
| Colaboración | Es imposible sin colaboración público-privada: el problema clínico se aborda en un lugar, mientras que la validación y la industrialización se realizan en otro. | Es imposible sin inteligencia compartida: ningún banco ve el sistema completo, pero el atacante sí. Los consorcios entre instituciones y el entrenamiento federado de modelos de IA permiten revertir esa asimetría sin centralizar datos sensibles. |
| Sostenibilidad | Contribuye a la sostenibilidad del sistema sanitario al evitar tratamientos costosos e innecesarios en pacientes que no responderán. | Contribuye a la sostenibilidad de la inversión en seguridad al concentrar los recursos donde realmente frenan el fraude, en lugar de donde mejoran una métrica a nivel de módulo. |
De estos seis ejes, dos ya los adelantaba en la Parte 1 con otro nombre (la historia de identidad continua era, en el fondo, los datos integrados, y proteger el sistema completo en lugar de la cuenta individual es la misma lógica que hoy llamo colaboración).
El que más me interesa de los nuevos es el diagnóstico previo, o lo que en oncología se conoce como companion diagnostic: un test que anticipa si el paciente va a responder a una terapia antes de administrarla, en lugar de tratar a ciegas y corregir después.
La industria antifraude todavía hace lo contrario: despliega la detección y mide el resultado cuando el fraude ya ha entrado. Es la diferencia entre desplegar un motor de detección de cuentas mula y esperar meses para ver cuántas cazó, frente a diagnosticar antes qué tipo de red mulera opera en ese mercado en concreto (cuentas individuales compradas una a una, redes sincronizadas, testaferros reclutados por redes sociales) y calibrar el motor a ese patrón desde el primer día, no seis meses después de verlo fallar.
El diagnóstico de arquitectura, que consiste en evaluar de antemano qué controles va a necesitar realmente una entidad concreta, es lo que invierte ese orden.
Quién es el paciente en esta comparación
Aquí el paralelismo tiene una vuelta de tuerca que conviene señalar. En la medicina de precisión, el paciente es el individuo. En la defensa antifraude, el paciente es la entidad financiera con su legado tecnológico acumulado durante décadas, su marco regulatorio específico, la composición real de su base de usuarios y las capacidades efectivas de la infraestructura de datos del país en el que opera.
Dos bancos con el mismo síntoma clínico pueden necesitar arquitecturas de respuesta radicalmente distintas, igual que dos pacientes con el mismo diagnóstico pueden necesitar protocolos opuestos según su perfil molecular.
La defensa contextualizada tiene que conocer al paciente para poder tratarlo; no existe un protocolo genérico que funcione aquí.
Como en medicina, adoptar este modelo no se limita a incorporar nuevas tecnologías de detección. La medicina de precisión no sería posible sin colaboración público-privada: el problema clínico se aborda en el hospital, la validación e industrialización en el sector de I+D.
La defensa contextualizada exige el mismo tipo de colaboración entre bancos, reguladores y proveedores, por ejemplo mediante consorcios entre entidades privadas y entrenamiento federado de modelos de IA que cumplan con el RGPD. La sanidad ya lo resolvió así con datos igual de sensibles, cubriendo tres frentes a la vez: privacidad, especialización y mejora de la seguridad.
El error de fondo que describí en el primer artículo de esta serie es actuar como si cada entidad viera el problema completo, cuando en realidad solo ve su propia porción: sus clientes, su canal, sus intentos de fraude fallidos. El atacante, en cambio, sí ve el sistema completo y prueba el mismo patrón en varios bancos hasta encontrar el que tiene el punto ciego que los demás ya cerraron.
Un banco que diagnostica solo su propia arquitectura, sin cruzar señales con el resto del sector, puede mejorar internamente y seguir siendo el eslabón débil, porque su diagnóstico sigue limitado a un fragmento del tablero.
Cuatro preguntas para evaluar tu propio stack
El marco de la medicina de precisión se traduce en cuatro preguntas concretas que cualquier equipo de riesgo puede hacerse sobre su propio stack:
En la mayoría de los equipos con los que hemos hablado, alguna de estas cuatro preguntas tiene una respuesta incómoda. Esa respuesta es, en sí misma, el diagnóstico de dónde está el gap real en la arquitectura, y es el mismo punto de partida del que arrancamos con cualquier banco antes de proponer un cambio: primero identificar qué eje falta, después decidir qué construir.
El siguiente paso
Si el diagnóstico resuena, si reconoces en tu propio stack ese patrón de capas que no se hablan entre sí y controles genéricos metidos en un entorno que no se parece a ningún otro, el paso siguiente no es salir a mirar herramientas nuevas. Es mapear primero dónde está exactamente el hueco y cuánta orquestación contextual tienes ya construida.
La medicina de precisión sustituye el diagnóstico por etiqueta —tratar la enfermedad— por el diagnóstico del paciente completo, integrando historial clínico, biología y hábitos de vida en un perfil único. La industria antifraude enfrenta el mismo problema que la medicina resolvió hace dos décadas: capas de seguridad que funcionan bien por separado pero nunca comparten contexto entre sí.
Un companion diagnostic es un test que anticipa si un paciente responderá a una terapia antes de aplicarla, evitando tratamientos ineficaces. Su equivalente en defensa contextualizada es el diagnóstico de arquitectura: evaluar de antemano qué controles antifraude necesita una entidad, en lugar de desplegar detección genérica y medir el resultado cuando el fraude ya ha entrado.
Porque cada entidad tiene un legado tecnológico, un marco regulatorio y una base de usuarios distintos, igual que dos pacientes con el mismo diagnóstico clínico pueden necesitar protocolos opuestos según su perfil molecular. La defensa contextualizada diagnostica a la entidad concreta antes de prescribir arquitectura; no existe una configuración estándar que sirva para todas.
Porque ningún banco ve el sistema de fraude completo por sí solo, solo su propia porción. El atacante sí ve el ecosistema y prueba el mismo patrón en varios bancos hasta encontrar el punto ciego que los demás ya cerraron. Compartir inteligencia contextual invierte esa asimetría, igual que la medicina de precisión depende de colaboración público-privada.
Cuatro, tomadas del marco de medicina de precisión: si clasifica el riesgo por tipo de ataque o por perfil completo, si anticipa qué controles funcionarán antes de desplegarlos, si sus señales viven en un perfil único o cada módulo guarda su propia
