El fraude multicuenta le llegó a costar a GanaExpress, un operador de apuestas en Perú, el 15% de lo que pagaba en comisiones a su red de agentes. Buena parte de lo que se habla sobre multicuentas lo aborda como un problema de dispositivos y direcciones IP. Mi lectura es que se trata, antes que nada, de un problema de identidad, porque la regla que se intenta burlar es la de una persona, una cuenta. Desde esa idea repaso cómo opera en las apuestas online, por qué los controles habituales no lo frenan y qué combinación de medidas permite detectarlo.
¿Qué es el fraude multicuenta?
El fraude multicuenta es la práctica por la que una misma persona abre y controla varias cuentas en una plataforma, con su identidad o con identidades falsas o prestadas, para obtener beneficios que el operador limita a una cuenta por persona, como bonos, comisiones o ventajas en las apuestas.
No toda persona con dos cuentas comete fraude. Hay jugadores que olvidan la contraseña y se registran de nuevo, y familias que comparten el mismo celular para apostar cada uno desde su cuenta. Las multicuentas se convierten en fraude cuando hay intención de explotar una regla pensada para un solo titular. En los mercados regulados de la región, esa regla suele estar ya en la propia normativa, que exige identificar a cada jugador.
Cómo funciona el fraude multicuenta en apuestas online
Cuando un operador me plantea que tiene un problema de multicuentas, lo primero que intento entender es qué beneficio se está explotando. La respuesta cambia el diagnóstico, porque cada variante deja un rastro distinto y afecta a una parte diferente del negocio.
Abuso de bonos y promociones de bienvenida
Es la variante más conocida. Un bono de registro, una freebet o unas tiradas gratis están pensados para captar a un cliente nuevo, y quien abre diez cuentas los cobra diez veces. El impacto va más allá del importe del bono, porque el coste de captación se calcula por cliente y la multicuenta lo multiplica por clientes que no existen.
En los mercados de la región que se han regulado hace poco, la competencia por captar jugadores se libra en buena parte con promociones, y eso convierte el bono de bienvenida en el primer objetivo. Cuando el ataque se automatiza, la escala cambia por completo, porque una misma red puede registrar cuentas en serie y sustituir cada cuenta bloqueada por otra nueva.
Fraude en comisiones de agentes y afiliados
Es la variante de la que menos se habla fuera de Latinoamérica, y creo que la explicación está en el modelo de negocio. En la región, muchos operadores crecen con redes de agentes que asisten a los jugadores y cobran una comisión según sus resultados. Para inflarla, el agente abre una segunda cuenta con una identidad falsa y reparte las apuestas entre las dos.
La cuenta registrada concentra las apuestas ganadoras y genera comisión, mientras la cuenta falsa absorbe las pérdidas y acaba abandonada. Como las dos cuentas nunca se compensan entre sí, la casa puede ganar en conjunto y aun así pagar comisión sobre números inflados.
Multiplicado por miles de agentes, en GanaExpress ese agujero llegó al 15% del pago de comisiones. El mismo esquema aparece en los programas de afiliación que pagan por cada registro o cada primer depósito.
Colusión y apuestas coordinadas
Aquí varias cuentas controladas por un mismo actor juegan a favor de un solo resultado. En una mesa de póker online, quien controla dos asientos ve más cartas que sus rivales y puede coordinar sus jugadas.
Con el chip dumping, una cuenta pierde a propósito frente a otra del mismo actor para traspasar saldo, una técnica que también sirve para dar apariencia legítima a fondos de origen dudoso.
En apuestas deportivas, repartir una operación entre varias cuentas permite cubrir varios resultados, aprovechar varias veces una cuota promocional o superar el límite que el operador fija a cada cliente.
Identidades falsas y sintéticas para abrir cuentas
Cada cuenta adicional necesita una identidad que supere el registro. Los defraudadores recurren a documentos robados, a identidades sintéticas que combinan datos reales e inventados, y a identidades prestadas o compradas a personas que ceden sus datos a cambio de dinero.
Los reguladores ya lo tratan como un riesgo prioritario. La Gambling Commission británica califica como riesgo alto los controles inadecuados sobre cuentas vinculadas o duplicadas, y documenta el caso de un cliente que depositó unas 40.000 libras en seis meses tras abrir cuentas con los datos de cinco personas distintas.
Evasión de autoexclusión y de bloqueos
Un jugador bloqueado por abuso, o una persona que se ha inscrito en un registro de autoexclusión, puede volver a jugar con una cuenta a nombre de otra persona. En este punto la multicuenta toca directamente las obligaciones de juego responsable del operador.
Según el análisis que la Dirección General de Ordenación del Juego (DGOJ) de España hizo de las denuncias por suplantación de identidad, más de 7.600 personas inscritas en el registro de autoprohibidos podrían haber jugado con datos de terceros. A medida que los mercados latinoamericanos desarrollen sus propias herramientas de juego responsable, este riesgo va a crecer, porque cada límite que se fija a una persona crea un incentivo para jugar con la identidad de otra.
Por qué los controles tradicionales no frenan las multicuentas
Para explicar dónde se rompe la cadena, prefiero partir de un escenario. Es hipotético, pero cada pieza responde a patrones que reguladores y operadores ya han documentado.
Pongamos un operador con licencia que lanza un bono de bienvenida en plena temporada de fútbol. Su registro valida el documento y una selfie, pero la prueba de vida no distingue a una persona real de un vídeo reproducido ante la cámara. Una misma red abre decenas de cuentas con documentos de terceros, cobra el bono en cada una y retira a cuentas bancarias distintas. Entre esas cuentas aparece además alguien que se había autoexcluido. Al bono pagado se suman otros costes: el equipo antifraude revisa a mano cientos de altas, el operador tiene que explicar al regulador por qué un jugador autoexcluido volvió a jugar y, en el peor caso, se enfrenta a un expediente sancionador.
Lo que más me preocupa de este tipo de situaciones es la falsa sensación de control. El operador ve que su sistema aprueba sin problema a los usuarios legítimos y concluye que funciona, cuando en realidad nunca lo ha puesto a prueba un atacante con recursos. En el escenario hay tres puntos de fallo.
Verificación documental sin una prueba de vida robusta
Comprobar que un documento es auténtico no demuestra que quien lo presenta sea su titular ni que esté delante de la cámara. Es lo que le pasó a GanaExpress antes de cambiar de enfoque. Sus dos soluciones previas, un proveedor externo y un desarrollo propio, validaban sin problema al usuario honesto, pero bastaba una foto o un vídeo para sostener una identidad falsa. Paraban la primera ola de intentos, y la segunda y la tercera, cada vez más sofisticadas, ya no. Sin una prueba de vida (liveness) robusta, la verificación filtra al usuario honesto y deja pasar al defraudador.
Fotos, vídeos, deepfakes y ataques de inyección
Los ataques a la prueba de vida han evolucionado en dos direcciones. Los de presentación ponen ante la cámara una foto, una pantalla o una máscara. Los de inyección van más lejos y sustituyen la señal de la cámara por un vídeo fabricado mediante cámaras virtuales o emuladores, de modo que el sistema analiza una imagen que nunca pasó por el sensor. Con deepfakes generados con IA, ese vídeo puede reproducir el rostro de un tercero con gestos convincentes. La defensa frente a los ataques de inyección de vídeo es hoy un requisito de base del registro remoto, y lo será más a medida que estas herramientas se abaraten.
Señales de dispositivo e IP, útiles pero insuficientes por sí solas
Las huellas de dispositivo y el análisis de IP detectan al defraudador poco sofisticado, el que abre varias cuentas desde el mismo teléfono. El organizado usa navegadores antidetección que alteran la huella del equipo, proxies residenciales que simulan conexiones domésticas independientes y emuladores o granjas de dispositivos para que cada cuenta parezca venir de un usuario distinto. A la vez, estas señales generan falsos positivos con familias o compañeros de piso que comparten conexión. Son una pieza útil para relacionar cuentas, pero ninguna de ellas demuestra que detrás haya una persona distinta.
Cómo detectar y prevenir el fraude multicuenta en 6 claves
Ninguna de estas medidas resuelve el problema por sí sola. Lo que he visto funcionar es su combinación, con la identidad como hilo conductor durante toda la vida de la cuenta. Las tres primeras actúan en el registro y aseguran que cada cuenta nace asociada a una persona real y única. Las dos siguientes vigilan la cuenta una vez activa, cuando cambia de manos o empieza a comportarse como parte de una red. La última garantiza que cada decisión pueda explicarse ante el regulador.
1. Onboarding biométrico con validación de documento, prueba de vida y comparación facial
El registro es el momento en el que se fija la identidad de cada cuenta. Un onboarding biométrico completo valida el documento, comprueba con una prueba de vida que hay una persona real delante de la cámara y compara su rostro con la foto del documento. Así se asegura que cada cuenta nace asociada a una persona verificada.
2. Deduplicación facial 1:N para garantizar una persona, una cuenta
Para mí, esta es la pieza que cierra el círculo. La verificación del registro responde a si la persona es quien dice ser, y la deduplicación responde a si ya tiene otra cuenta. Consiste en comparar cada rostro nuevo con la base de usuarios existente. Si coincide con el de una cuenta registrada con otro nombre, la alerta salta antes de que se active la segunda cuenta. Es el control que convierte la regla de una persona, una cuenta en algo verificable, y forma parte de la verificación de identidad para operadores de apuestas y juego online.
3. Detección de ataques de inyección y deepfakes
La deduplicación solo es fiable si el rostro capturado es real. La detección de inyección comprueba que la imagen procede de la cámara física del dispositivo, y el análisis de deepfakes busca rastros de manipulación sintética en el vídeo.
4. Autenticación recurrente en los momentos de riesgo
Verificar en el alta no basta si después la cuenta cambia de manos. Volver a autenticar biométricamente al titular en una retirada, en el cobro de una comisión o en un cambio de datos sensibles confirma que sigue siendo la misma persona, con una fricción mínima para el usuario legítimo. GanaExpress aplicó esta lógica con verificaciones cíclicas a sus agentes, siguiendo el principio de la verificación continua de identidad (pKYC).
5. Señales de comportamiento y relación entre cuentas
Algunos indicadores aparecen después del registro: cuentas que apuestan en espejo, que retiran a la misma cuenta bancaria o que se activan en las mismas franjas horarias. La biometría del comportamiento añade otra señal, la forma en que cada usuario escribe, toca la pantalla o navega. Con las señales de dispositivo, estos indicadores ayudan a priorizar qué cuentas revisar.
6. Trazabilidad para auditoría regulatoria
Cada decisión sobre una cuenta debe dejar evidencia: qué se verificó, cuándo, con qué resultado y por qué se bloqueó o se aprobó. Esa trazabilidad permite responder a un requerimiento del regulador con datos y no con reconstrucciones a posteriori.
Fraude multicuenta y regulación de apuestas en LATAM
Perú es uno de los marcos de la región que recoge con más claridad la regla de una persona, una cuenta. La Ley 31806, publicada en El Peruano el 28 de junio de 2023, modificó la Ley 31557 sobre juegos y apuestas deportivas a distancia. Establece que, para adquirir la condición de jugador, hay que registrarse previamente, y por única vez, en la plataforma, y obtener el código o cuenta de usuario correspondiente. El operador debe verificar la identidad, la edad y la nacionalidad del jugador al registrarlo, y la correspondencia entre la identidad del jugador y su cuenta es condición previa para cada apuesta. El reglamento se aprobó con el Decreto Supremo 005-2023-MINCETUR, publicado el 13 de octubre de 2023.
Mi lectura es que la ley fija la regla y deja al operador la tarea de hacerla cumplir. Una verificación en el registro comprueba que la identidad es real, verificación de edad incluida, pero no detecta por sí sola que esa persona ya se registró antes con otros datos. Para que el registro sea de verdad único, cada jugador nuevo tiene que compararse con los existentes.
En el resto de la región, el panorama es desigual. En México, donde trabajo, el sector lleva tiempo señalando que el marco federal del juego se ha quedado atrás frente al crecimiento de las apuestas online. Brasil, que había construido un mercado regulado a nivel federal, publicó en septiembre de 2026 una medida provisoria que prohíbe la explotación, la oferta, la intermediación y la publicidad de apuestas, y en noviembre la justicia autorizó la vuelta de tres plataformas. Hemos seguido ese proceso en nuestro análisis sobre la regulación de las apuestas online en Brasil.
Si miro fuera de la región, la dirección es clara. En su evaluación de riesgos de 2026, la Gambling Commission británica califica como riesgo alto los controles inadecuados sobre cuentas vinculadas o duplicadas, incluida la identificación de cuentas conectadas y la aplicación de controles a todas las cuentas de un mismo cliente. Los reguladores más maduros ya supervisan a la persona y no la cuenta, y creo que los marcos latinoamericanos irán en el mismo sentido.
Cómo un operador peruano bajó del 15% a cerca del 3% el fraude en el pago de comisiones
GanaExpress, el operador que mencionaba al principio, es la casa de apuestas de The OxiaCore Project (CPEL) en Perú y el escaparate de su plataforma B2B de iGaming. Tras el fallo de sus dos soluciones previas frente a fotos y vídeos, implantó onboarding biométrico, verificación cíclica de sus agentes y detección de ataques de inyección, y tuvo el primer flujo en producción en menos de tres semanas. El fraude en el pago de comisiones bajó del 15% a cerca del 3%, el operador ya cuenta con más de 10.000 agentes verificados y ha pasado de captar por campañas cerradas a mantener la captación abierta. Carlos V., de CPEL, lo resume así: “Siguen existiendo multicuentas, pero ya no nos dañan los números”. Los detalles están en el caso de éxito de GanaExpress.
Diferencias entre multicuenta, cuenta mula e identidad sintética
Son fenómenos relacionados y a menudo aparecen juntos, porque las identidades sintéticas y prestadas alimentan las multicuentas, pero cada uno exige controles distintos.
| Objetivo | Quién la controla | Señal clave | |
|---|---|---|---|
| Multicuenta | Obtener varias veces un beneficio limitado a una persona | La misma persona o red, detrás de varias cuentas | Un mismo rostro detrás de cuentas con datos distintos |
| Cuenta mula | Mover fondos de origen ilícito y romper su trazabilidad | Un tercero que presta o vende su cuenta a una red | Quien opera la cuenta no es su titular; depósitos y retiradas hacia otras cuentas |
| Identidad sintética | Crear una persona inexistente para abrir cuentas o acceder a productos | El defraudador que la fabrica | Datos o documentos que no corresponden a una persona real |
Para el caso de las cuentas mula, existe una línea de trabajo propia de detección de cuentas mula.
Las multicuentas no van a desaparecer de las apuestas online, y ningún control las elimina por completo. Lo que sí está al alcance de un operador es que dejen de condicionar su margen, su programa de agentes y su relación con el regulador. Eso empieza por tratar la identidad como el dato que une todas las cuentas de una misma persona, desde el registro hasta cada retirada.
Preguntas frecuentes sobre el fraude multicuenta
Es la práctica por la que una misma persona abre y opera varias cuentas en una plataforma, con su identidad o con identidades falsas, para obtener beneficios limitados a una cuenta por persona, como bonos, comisiones o ventajas en las apuestas.
Combinando verificación de identidad en el registro (documento, prueba de vida y comparación facial), deduplicación facial 1:N contra la base de usuarios, detección de ataques de inyección y autenticación recurrente en retiradas o pagos de comisiones. Las señales de dispositivo y de comportamiento ayudan a relacionar cuentas.
La Ley 31557, modificada por la Ley 31806, establece que el jugador se registra por única vez y obtiene un código o cuenta, y que el operador verifica su identidad, edad y nacionalidad. Antes de cada apuesta se comprueba que la identidad corresponde a esa cuenta.
El abuso de bonos es uno de los objetivos del fraude multicuenta: se abren varias cuentas para cobrar varias veces la misma promoción. La multicuenta también se usa para inflar comisiones de agentes, coordinar apuestas o eludir una autoexclusión.
Porque una verificación sin prueba de vida robusta puede engañarse con una foto, un vídeo o un deepfake inyectado, y porque verificar en el alta no basta si no se comprueba que la misma persona no tiene ya otra cuenta.
