IA contra IA: el nuevo campo de batalla del fraude en el ecommerce

Durante años, prevenir el fraude en el ecommerce fue, básicamente, un ejercicio de reglas: si una transacción cumplía ciertos parámetros sospechosos, se bloqueaba. Ese modelo funcionó mientras el fraude fue artesanal, ejecutado por personas probando combinaciones de a una. Dejó de funcionar en el momento en que, del lado del fraude empezó a haber inteligencia artificial.

Hoy los atacantes no prueban tarjetas robadas a mano

Usan modelos generativos para fabricar identidades sintéticas, automatizar el testeo de combinaciones y coordinar ataques que se mueven a una velocidad que ningún equipo humano — y ninguna regla escrita de antemano — puede seguir en tiempo real. El fraude dejó de ser un acto “artesanal” para convertirse en un problema de escala industrial. Y un problema de este tipo, tarde o temprano, solo puede resolverse con otra escala industrial del lado de la defensa. Ahí está el cambio de paradigma: el fraude se volvió, literalmente, un problema de “IA contra IA”. Defenderse con reglas fijas frente a un atacante que se reinventa constantemente es intentar sacarle una foto a algo que se mueve. Las reglas estáticas parten de una foto del fraude de ayer; la Inteligencia Artificial Generativa que usan los atacantes hoy ya cambió de forma antes de que esa foto termine de revelarse.

Del fraude artesanal a los ataques con IA

El error más común entre los comercios es tratar al fraude como un problema binario: se aprueba o se rechaza una transacción. Pero la variable que realmente define si un negocio gana o pierde con esto no es solo cuánto fraude logra bloquear, sino cuántos clientes legítimos se rechazan por error. Un sistema mal calibrado puede terminar viendo sospechoso lo que es simplemente distinto — y esa venta buena que se pierde por un rechazo injustificado suele salir más cara, en el mediano plazo, que el fraude que efectivamente se evitó. Ahí es donde el enfoque tiene que cambiar de raíz. No alcanza con un motor de reglas más estricto; hace falta una arquitectura de inteligencia artificial que analice cada transacción en múltiples dimensiones al mismo tiempo — comportamiento del usuario, dispositivo desde el que compra, velocidad de la operación, historial — y que se reentrene de forma continua a medida que el fraude evoluciona. Trabajar con agentes autónomos especializados, cada uno enfocado en una tarea puntual — uno que valida identidad, otro que investiga patrones sospechosos, otro que monitorea en tiempo real, otro que caza comportamientos anómalos antes de que se conviertan en un ataque masivo — permite anticipar el fraude mientras está ocurriendo, en lugar de perseguirlo después de que ya sucedió.

El error más común entre los comercios es tratar al fraude como un problema binario.

Archivo.

Hay, además, un componente que potencia todo esto y que ningún sistema aislado puede replicar: el efecto de red. Cuando un intento de fraude se detecta en un comercio, esa señal puede propagarse en tiempo real al resto de una red de comercios conectados. Cada transacción analizada no solo protege al negocio que la generó, sino que fortalece la capacidad de detección de todos los demás. Es una lógica de defensa colectiva, no individual.

El costo de bloquear clientes legítimos

La pregunta que cada comercio debería hacerse hoy no es si va a ser blanco de un ataque — a esta altura, esa certeza ya está asumida. La pregunta es con qué inteligencia va a defenderse. Porque frente a un atacante que ya automatizó su operación con IA, la única defensa que tiene sentido es una que también sepa aprender, adaptarse y anticiparse a la misma velocidad.

* Dieter Spangenberg, Chief Fraud Officer de Koin