Source: Deutsche Nachrichten
El Banco Central de la República Argentina (BCRA) le puso fecha límite al problema: a partir del 1° de diciembre de 2026, todas las entidades financieras y los proveedores de servicios de pago del país deberán tener en marcha un Programa Antifraude, según la Comunicación “A” 8471, con perfiles de riesgo compartidos que cruzan señales entre entidades para detectar transferencias sospechosas. La medida llega después de que las denuncias por estafas virtuales treparan casi 200% desde 2022, según el Observatorio de Cibercrimen de la Universidad Austral, y de que una encuesta de Fiserv encontrara que 2 de cada 10 usuarios de cuentas digitales en Argentina ya sufrieron una estafa. Es una respuesta necesaria y, hasta ahora, tardía. Pero mirar solo la transacción sospechosa deja afuera una pregunta más incómoda: ¿quién tuvo acceso, antes de esa transacción, a la cuenta, a los datos o al sistema que la hizo posible?
La mayoría de los grandes fraudes financieros que se conocen públicamente en Argentina no empiezan con un algoritmo engañado, sino con una persona: un cuidador de un adulto mayor que le saca la tarjeta y hace compras sin que la víctima lo note, un empleado de call center que vende datos de clientes, un desarrollador externo con acceso a una base de cuentas que no fue debidamente verificado antes de sumarse al proyecto. El vishing, la técnica de estafa telefónica que suplanta a un banco y que explica buena parte del salto en las denuncias, funciona precisamente porque explota la confianza de la víctima en una voz humana, no una falla en el sistema. Ninguna de estas rutas de fraude aparece en un perfil de riesgo compartido entre entidades armado a partir de patrones de transacciones: aparecen, si aparecen, en un proceso de verificación de las personas que tienen acceso a esos sistemas desde adentro.
Esto no es una crítica al enfoque del BCRA, que ataca un problema real y lo hace con una herramienta razonable para su alcance: el análisis de patrones entre entidades. Es un llamado de atención sobre lo que ese enfoque no puede cubrir por diseño. Las entidades financieras y fintechs argentinas ya deben cumplir con obligaciones de “Conozca a su Cliente” bajo la normativa de la Unidad de Información Financiera (UIF) para sus clientes; lo que muchas todavía no aplican con el mismo rigor es la verificación de identidad, integridad y antecedentes de su propio personal y de los proveedores externos que tienen acceso a esos mismos sistemas y datos. Un cajero, un oficial de cuentas, un desarrollador de la fintech que administra la billetera virtual: cada uno de esos roles representa una superficie de riesgo que el Programa Antifraude del BCRA no evalúa, porque no fue diseñado para eso.
“El Programa Antifraude del BCRA obliga a mirar hacia afuera, hacia el patrón de la transacción. Nosotros creemos que las entidades también necesitan mirar hacia adentro, hacia quién tiene acceso a qué sistema y con qué verificación previa”, señala Guido Schenone, Comercial & Growth Manager de Validato. “No alcanza con cumplir el requisito regulatorio de diciembre si, puertas adentro, un empleado nuevo o un proveedor externo se suma sin pasar por el mismo nivel de control que la entidad le exige a un cliente que abre una cuenta. La verificación de personal debería ser, para un banco o una fintech, tan automática y tan poco negociable como la verificación de un cliente nuevo.”
La recomendación práctica para bancos, aseguradoras y fintechs argentinas que hoy corren para cumplir con el plazo de diciembre es no limitar el esfuerzo al cumplimiento técnico de la Comunicación A 8471: aprovechar el mismo impulso regulatorio para revisar cómo se verifica al personal propio y a los proveedores externos que acceden a cuentas y datos de clientes, con reevaluaciones periódicas y no solo un chequeo al momento de la contratación. En un sistema financiero donde la confianza de la víctima sigue siendo el arma más efectiva del estafador, cerrar la puerta de adentro es, al menos, tan importante como vigilar la puerta de afuera.