Reglas y Patrones de Riesgo

OCTAVO CÍRCULO

Serie: Herramientas del Consumidor Digital

REGLAS Y PATRONES DE RIESGO

Aprende a identificar y mapear los vectores de ataque más comunes, construyendo reglas de prevención efectivas y dinámicas

Agosto 2026 · Fuentes: CONDUSEF · Signifyd · LexisNexis Risk Solutions · Sumsub · PCI Security Standards Council · OWASP · Banco de México

INTRODUCCIÓN

El fraude digital rara vez ocurre de golpe. Casi siempre deja huellas.

Un número de tarjeta probado con un cargo de $1 peso antes del robo real. Una cuenta creada esta semana que ya intenta comprar tres laptops. Un mismo dispositivo que abre cinco sesiones de usuario distintas en una hora. Una dirección de entrega que ya aparece en 12 pedidos de comercios diferentes en los últimos tres días.

Cada uno de estos eventos, visto de forma aislada, puede parecer inofensivo o simplemente anómalo. Pero vistos en conjunto, como piezas de un patrón, son la firma del fraude antes de que el fraude se consuma.

La diferencia entre las personas y los negocios que pierden dinero frente al fraude digital y los que no, no siempre está en las herramientas tecnológicas que usan. Está en si han aprendido a leer los patrones que el fraude inevitablemente deja antes de golpear.

Este artículo te enseña exactamente eso: qué son los patrones de riesgo, cómo se construyen los vectores de ataque más comunes en el ecosistema digital mexicano, y —lo más importante— cómo traducir ese conocimiento en reglas de prevención concretas, efectivas y adaptables que puedas implementar hoy, sin importar si eres un consumidor individual o el responsable de fraude de una empresa de e-commerce.

PARTE I — FUNDAMENTOS: QUÉ SON LOS PATRONES DE RIESGO

1.1 DEFINICIÓN: PATRÓN VS. EVENTO AISLADO

Un evento es un hecho singular: una transacción, un clic, un intento de acceso.

Un patrón es la firma que emerge cuando múltiples eventos se analizan en conjunto, buscando correlaciones que revelan comportamiento intencional.

El fraude digital, por su naturaleza, opera bajo patrones reconocibles porque:

1. Los atacantes reutilizan métodos que funcionaron antes.

2. Las herramientas de fraude (kits de phishing, bots de credential stuffing, generadores de identidades sintéticas) producen comportamientos técnicos predecibles.

3. La escala requiere automatización, y la automatización produce regularidad.

4. Los estafadores humanos también siguen rutinas operativas: horarios preferidos, montos habituales, tipos de producto favoritos.

La detección de patrones de riesgo es el proceso de identificar estas firmas antes de que el daño ocurra.

1.2 LOS TRES NIVELES DE ANÁLISIS DE RIESGO

El análisis de patrones de riesgo opera en tres niveles que se complementan:

NIVEL 1 — SEÑALES INDIVIDUALES (Indicadores de Riesgo)

Son los datos de una sola transacción o evento que por sí solos pueden ser señal de alerta. Ejemplo: un correo electrónico recién creado. Una dirección IP de VPN. Un monto que no corresponde al historial del usuario.

Limitación: ninguna señal individual es infalible. Muchas personas legítimas usan VPN. Los correos nuevos no son automáticamente fraudulentos.

NIVEL 2 — COMBINACIONES DE SEÑALES (Reglas)

La correlación de múltiples señales individuales dentro de una misma transacción o sesión. Ejemplo: correo recién creado + VPN + primer pedido de alto valor + dirección diferente a la de facturación. Ninguna de estas señales sola detona la alarma; juntas, sí.

Este es el nivel donde operan la mayoría de las reglas antifraude básicas.

NIVEL 3 — PATRONES TEMPORALES Y RELACIONALES (Comportamiento)

El análisis del comportamiento a lo largo del tiempo y entre múltiples actores. Ejemplo: el mismo dispositivo usado por cinco "usuarios" diferentes en 48 horas. Una dirección de entrega que recibe pedidos de 8 comercios distintos pagados con tarjetas de 8 titulares distintos. Una velocidad de compra imposible para un humano (3 pedidos en 4 segundos).

Este nivel requiere datos históricos y es donde operan los sistemas de machine learning antifraude.

1.3 LOS DOS TIPOS DE ERROR EN LA DETECCIÓN DE RIESGOS

Antes de construir cualquier regla, debes entender el dilema fundamental de la detección de fraude:

FALSO POSITIVO (False Positive):

Bloquear o marcar como sospechosa una transacción legítima. El cliente real es rechazado. Consecuencias: pérdida de la venta, fricción para el cliente, daño a la reputación del negocio.

FALSO NEGATIVO (False Negative):

No detectar una transacción fraudulenta real. El fraude pasa. Consecuencias: pérdida económica, contracargo, posibles sanciones por tasa de fraude elevada.

La tensión entre estos dos tipos de error define toda la estrategia de gestión de riesgo:

· Reglas demasiado permisivas → más fraude pasa (muchos falsos negativos)

· Reglas demasiado restrictivas → muchos clientes legítimos bloqueados (muchos falsos positivos)

El objetivo no es eliminar el fraude al 100% (imposible sin bloquear también clientes reales), sino encontrar el umbral óptimo donde el daño del fraude que pasa es menor que el daño causado por los clientes legítimos bloqueados.

Para negocios de e-commerce en México, una referencia de industria aceptable es:

· Tasa de fraude: menor al 1% de las transacciones

· Tasa de falsos positivos: menor al 0.5% de las transacciones legítimas

PARTE II — MAPA DE VECTORES DE ATAQUE EN MÉXICO 2026

Un vector de ataque es el camino o método que usa el fraude para acceder a su objetivo. Conocer los vectores más comunes en el ecosistema mexicano es el primer paso para construir reglas de prevención relevantes.

VECTOR 1 — CARD TESTING (PRUEBA DE TARJETAS)

QUÉ ES:

Los atacantes obtienen grandes volúmenes de datos de tarjetas robadas (del dark web, filtraciones, skimming). Antes de usarlas para fraudes de alto valor, necesitan verificar cuáles están activas. Para esto, realizan cargos de montos muy pequeños ($1, $5, $10 pesos) en sitios que no requieren autenticación adicional. Si el cargo pasa, la tarjeta está activa y disponible para el fraude mayor.

CÓMO SE VE EN LOS DATOS:

· Múltiples transacciones de montos mínimos ($1-$50 pesos) en un período muy corto

· Intentos consecutivos con diferentes números de tarjeta desde el mismo dispositivo o IP

· Transacciones que no corresponden al catálogo del negocio (una tienda de ropa recibe cargos de $5 pesos repetidamente)

· Alta tasa de intentos fallidos seguida de uno exitoso de monto mayor

SEÑALES DE ALERTA ESPECÍFICAS:

✗ 3+ transacciones de menos de $100 pesos desde el mismo dispositivo en menos de 10 minutos

✗ Más de 5 tarjetas diferentes usadas desde la misma dirección IP en 1 hora

✗ Ratio de intentos fallidos / exitosos mayor al 30% desde un origen

VECTOR 2 — ACCOUNT TAKEOVER (ATO / TOMA DE CUENTA)

QUÉ ES:

El atacante obtiene las credenciales de una cuenta legítima (mediante credential stuffing, phishing o compra en el dark web) y toma el control. Una vez dentro, cambia la dirección de entrega y realiza compras con las tarjetas guardadas en la cuenta, o extrae puntos/saldo acumulado.

CÓMO SE VE EN LOS DATOS:

· Inicio de sesión desde una ubicación geográfica nueva o inusual

· Inicio de sesión desde un dispositivo nunca antes usado por esa cuenta

· Cambio de contraseña seguido inmediatamente de cambio de dirección de entrega

· Múltiples intentos fallidos de inicio de sesión antes del acceso exitoso

· Sesión activa simultánea desde dos ubicaciones geográficamente imposibles

SEÑALES DE ALERTA ESPECÍFICAS:

✗ Acceso desde país/estado diferente al histórico + pedido de alto valor en la misma sesión

✗ Cambio de email o contraseña + pedido en menos de 30 minutos

✗ Más de 5 intentos de login fallidos antes del acceso exitoso (credential stuffing)

✗ Velocidad de navegación imposible para un humano (bots navegan en milisegundos, no segundos)

VECTOR 3 — FRAUDE DE IDENTIDAD SINTÉTICA

QUÉ ES:

El atacante construye una identidad que combina datos reales de personas existentes (nombre, CURP, RFC de filtraciones) con información inventada para crear un perfil que no existe pero que pasa los controles de verificación automáticos. Estas identidades se "cultivan" durante meses antes del fraude real.

CÓMO SE VE EN LOS DATOS:

· Historial de cuenta muy corto con actividad inicialmente pequeña que escala repentinamente

· Datos de identidad que existen en bases de datos pero cuya combinación es incoherente (una CURP de Oaxaca con dirección de CDMX y número de teléfono de Monterrey sin historia de cambios)

· Documentos de identidad con metadatos inconsistentes

· La misma combinación de datos de identidad aparece en múltiples plataformas con variaciones mínimas

SEÑALES DE ALERTA ESPECÍFICAS:

✗ RFC/CURP que existe en SAT/RENAPO pero la combinación con nombre no coincide exactamente

✗ Dirección que no existe en bases de datos de validación postal

✗ Teléfono recién activado + email recién creado + primer pedido de alto valor = triada de alto riesgo

✗ Velocidad de completado de formulario de registro anormalmente rápida (bots llenan formularios en <5 segundos)

VECTOR 4 — TRIANGULACIÓN (FRAUDE DEL INTERMEDIARIO)

QUÉ ES:

El atacante opera una tienda online (real o falsa) donde acepta pagos legítimos de compradores reales. Con ese dinero real, compra productos en otros comercios usando tarjetas robadas, enviando los productos al comprador real. El comprador recibe su pedido sin saber que fue financiado con una tarjeta robada. El comercio legítimo pierde el producto y enfrenta el contracargo.

CÓMO SE VE EN LOS DATOS:

· Múltiples pedidos en corto tiempo con diferentes tarjetas hacia las mismas 2-3 direcciones de entrega

· Dirección de entrega diferente a la dirección de facturación en más del 80% de pedidos

· Tarjetas de diferentes bancos y titulares con destinos de entrega idénticos

· Pedidos de artículos de alta reventa (electrónicos, perfumes, accesorios de lujo)

SEÑALES DE ALERTA ESPECÍFICAS:

✗ 3+ tarjetas diferentes enviando a la misma dirección de entrega en 24 horas

✗ Artículos de alto valor + dirección de entrega no validada + tarjeta recién registrada

✗ Mismatch entre el perfil del comprador (historial, ubicación) y los artículos ordenados

VECTOR 5 — VELOCITY ABUSE (ABUSO DE VELOCIDAD)

QUÉ ES:

Explotación de sistemas que no tienen límites de velocidad (rate limiting) para realizar operaciones a una escala imposible para un humano. Incluye: credential stuffing automatizado, card testing masivo, abuso de promociones con múltiples cuentas, y fraude de afiliados.

CÓMO SE VE EN LOS DATOS:

· Volumen de solicitudes que supera lo humanamente posible en el tiempo dado

· Patron de timing demasiado regular (cada X segundos exactos, sin variación)

· Sesiones sin comportamiento humano: sin scrolling, sin tiempo en la página, sin movimiento de ratón

· Uso del mismo user-agent exacto en miles de sesiones

SEÑALES DE ALERTA ESPECÍFICAS:

✗ Más de 100 intentos de login desde la misma IP en 1 hora

✗ Tiempo de completado de formulario menor a 3 segundos (bots)

✗ Sin cookies de sesión / sin historial de navegación en el sitio

✗ User-agent idéntico en 50+ sesiones en un período corto

VECTOR 6 — SOCIAL ENGINEERING FRAUD (FRAUDE POR INGENIERÍA SOCIAL)

QUÉ ES:

El fraude donde el atacante no compromete sistemas sino personas. Incluye phishing, vishing, smishing, pretexting y todas las variantes donde la víctima es manipulada para entregar información o realizar acciones no deseadas.

CÓMO SE VE EN LOS DATOS (desde la perspectiva del análisis de patrones):

· Transacciones iniciadas inmediatamente después de un evento de phishing conocido (en las horas posteriores a campañas de smishing masivo)

· Cambios en la cuenta (dirección, teléfono, email) seguidos de transacciones de alto valor en la misma sesión

· Transacciones realizadas desde dispositivos o ubicaciones inusuales para el usuario

· Transferencias SPEI hacia CLABEs que ya aparecen en reportes de fraude conocidos

SEÑALES DE ALERTA ESPECÍFICAS:

✗ Modificación de datos de cuenta + transacción de alto valor en menos de 1 hora

✗ Acceso desde nuevo dispositivo + transacción inmediata sin período de "calentamiento"

✗ CLABE de destino que ya aparece en bases de datos de fraude reportado

✗ Monto de transferencia exactamente en el límite que no requiere confirmación adicional

VECTOR 7 — FRIENDLY FRAUD (FRAUDE DEL COMPRADOR LEGÍTIMO)

QUÉ ES:

El titular legítimo de la tarjeta realiza una compra real, recibe el producto y luego disputa el cargo ante su banco alegando que no lo autorizó o que nunca llegó. Es el más difícil de detectar porque el actor es un cliente real con historial legítimo.

CÓMO SE VE EN LOS DATOS:

· Historial de contracargos previos en el mismo cliente

· Patron de compras recurrentes en ciertos períodos seguidas de disputas

· Compras de artículos de alta reventa sin devolución solicitada

· Comportamiento de compra anómalo respecto al historial (primer pedido de monto muy superior al promedio histórico)

SEÑALES DE ALERTA ESPECÍFICAS:

✗ Cliente con 2+ contracargos previos en los últimos 12 meses

✗ Primera compra con el comercio de alto valor (sin historial de compras menores previas)

✗ Artículo de alta reventa + sin interacción con servicio al cliente + posterior contracargo

✗ Dirección de entrega diferente a la histórica sin comunicación previa al cliente

PARTE III — GUÍA PRÁCTICA: CÓMO DETECTAR PATRONES Y CONSTRUIR REGLAS

Esta es la sección más importante del artículo. Aquí traducimos el conocimiento teórico en un proceso concreto de 5 pasos para construir tu propio sistema de detección de patrones y reglas de prevención.

PASO 1 — DEFINE TUS PUNTOS DE DATOS (DATA POINTS)

Antes de buscar patrones, necesitas saber qué datos tienes disponibles. Cada interacción digital deja un rastro. Estos son los puntos de datos más valiosos para la detección de fraude:

DATOS DEL DISPOSITIVO:

· Dirección IP (y su geolocalización)

· Tipo de dispositivo (móvil/escritorio/tablet)

· Sistema operativo y versión

· Navegador y versión

· Fingerprint del dispositivo (combinación única de características técnicas)

· Si usa VPN o proxy

· Si el dispositivo ha sido visto antes en tu plataforma

DATOS DE COMPORTAMIENTO EN SESIÓN:

· Tiempo total en la sesión

· Tiempo en cada página

· Velocidad de llenado de formularios

· Movimiento del ratón (¿hay movimiento o es completamente estático = bot?)

· Profundidad de scroll

· Número de páginas visitadas antes del checkout

DATOS DE IDENTIDAD:

· Email (¿cuándo fue creado? ¿aparece en filtraciones conocidas?)

· Número de teléfono (¿operadora? ¿prepago o contrato? ¿recién activado?)

· Nombre completo (¿coincide con los datos de la tarjeta?)

· RFC/CURP (¿existe en el SAT/RENAPO? ¿coincide con el nombre?)

· Dirección (¿existe en bases de datos postales? ¿es una dirección de paquetería o reenvío?)

DATOS DE LA TRANSACCIÓN:

· Monto (¿corresponde al historial del usuario?)

· Artículos (¿son de alta reventa?)

· Método de pago (¿tarjeta recién registrada? ¿primera vez que se usa?)

· Dirección de facturación vs. dirección de entrega (¿coinciden?)

· Velocidad de decisión (¿cuánto tiempo pasó entre ver el producto y comprarlo?)

DATOS HISTÓRICOS (los más valiosos):

· Historial de compras del usuario en tu plataforma

· Historial de contracargos

· Historial de devoluciones

· Número de cuentas asociadas al mismo dispositivo

· Número de tarjetas usadas en la misma cuenta

· Número de cuentas que han usado la misma tarjeta

PASO 2 — ESTABLECE TU LÍNEA BASE (BASELINE)

Una anomalía solo es visible cuando tienes un referente de qué es "normal". La línea base es el perfil del comportamiento típico legítimo en tu contexto.

CÓMO CONSTRUIR TU LÍNEA BASE:

Analiza tus últimas 90 días de transacciones verificadamente legítimas (excluye las que resultaron en fraude o contracargo) y responde estas preguntas:

SOBRE EL MONTO:

· ¿Cuál es el monto promedio de transacción?

· ¿Cuál es el rango típico (percentil 25 - percentil 75)?

· ¿Cuál es el monto máximo que aparece en más del 95% de las transacciones legítimas?

SOBRE EL COMPORTAMIENTO:

· ¿Cuánto tiempo en promedio pasan los usuarios en el sitio antes de comprar?

· ¿Qué porcentaje de usuarios compra en su primera visita?

· ¿Cuántas páginas visitan típicamente antes de hacer checkout?

· ¿Desde qué estados/ciudades proviene la mayoría de las compras?

SOBRE EL PERFIL DEL COMPRADOR:

· ¿Qué porcentaje usa móvil vs. escritorio?

· ¿Qué proporción usa VPN? (algunos sectores tienen usuarios legítimos de VPN)

· ¿Cuántas tarjetas diferentes usa un cliente promedio?

· ¿Qué porcentaje de compradores son clientes recurrentes vs. nuevos?

EJEMPLO DE LÍNEA BASE (tienda de electrónicos en México):

· Monto promedio: $3,200 pesos

· Rango típico: $800 - $8,500 pesos

· 95% de las compras: menos de $15,000 pesos

· Tiempo promedio en sitio antes de comprar: 12 minutos

· 78% compra desde móvil

· 4% usa VPN (usuarios legítimos)

· 85% son compradores nuevos (primer pedido)

· Distribución geográfica: 45% CDMX, 18% Jalisco, 12% Nuevo León

PASO 3 — IDENTIFICA LAS ANOMALÍAS

Una anomalía es cualquier evento que se desvía significativamente de tu línea base. El umbral de "significativamente" depende de tu contexto, pero como punto de partida:

ANOMALÍAS DE MONTO:

· Transacción mayor al percentil 99 de tu historial = revisar

· Primera transacción de un cliente nuevo con monto mayor a 3x el promedio = alto riesgo

· Múltiples transacciones de monto exactamente igual en período corto = posible automatización

ANOMALÍAS GEOGRÁFICAS:

· IP en país diferente al de la dirección de facturación

· IP en estado diferente al histórico del usuario

· IP de VPN o proxy conocido

· Velocidad de cambio geográfico imposible (IP en CDMX a las 2pm, IP en Europa a las 3pm)

ANOMALÍAS DE COMPORTAMIENTO:

· Tiempo en sitio menor a 30 segundos antes de completar pedido (imposible para humano)

· Cero movimiento de ratón en toda la sesión

· Formulario completado en menos de 5 segundos

· Navegación directa a la URL de checkout sin visitar páginas de producto

ANOMALÍAS DE IDENTIDAD:

· Email creado hace menos de 48 horas

· Teléfono prepago recién activado (se puede verificar con APIs de validación)

· Nombre en la tarjeta no coincide con el nombre de la cuenta

· Dirección de entrega que es un buzón de correo o paquetería de reenvío

ANOMALÍAS DE VELOCIDAD:

· Mismo usuario con más de 3 pedidos en 1 hora

· Mismo dispositivo accediendo a más de 5 cuentas en 24 horas

· Más de 3 tarjetas de crédito diferentes usadas en la misma cuenta en 7 días

PASO 4 — CONSTRUYE TUS REGLAS

Las reglas son condiciones lógicas que, cuando se cumplen, activan una acción: bloquear, revisar manualmente, solicitar autenticación adicional o permitir con monitoreo.

ESTRUCTURA DE UNA REGLA ANTIFRAUDE:

SI [condición A] Y [condición B] Y [condición C]

ENTONCES [acción]

CON [nivel de confianza]

TIPOS DE ACCIÓN DISPONIBLES:

· BLOQUEAR: rechazar la transacción automáticamente

· REVISAR: enviar a cola de revisión manual antes de procesar

· AUTENTICAR: solicitar verificación adicional (OTP, 3DS, selfie)

· MARCAR: permitir pero marcar para monitoreo post-transacción

· PERMITIR: procesar sin fricción adicional

EL SISTEMA DE PUNTUACIÓN (RISK SCORING):

En lugar de reglas binarias (bloquear/permitir), los sistemas más efectivos usan puntuación de riesgo: cada señal de alerta suma puntos, y el total determina la acción.

EJEMPLO DE SISTEMA DE PUNTUACIÓN BÁSICO:

Factor de Riesgo → Puntos

Email creado hace menos de 48 horas → +30 pts

Teléfono prepago → +15 pts

IP de VPN o proxy → +20 pts

Primera compra (sin historial) → +10 pts

Monto mayor a 2x el promedio → +25 pts

Dirección de entrega diferente a facturación → +15 pts

Artículo de alta reventa (electrónico, perfume) → +10 pts

Tiempo en sitio menor a 1 minuto → +35 pts

Dispositivo nuevo nunca visto → +20 pts

Sin historial de cookies → +15 pts

Dirección IP coincide con historial → -10 pts

Email con historial de compras previas → -20 pts

Comprador recurrente sin contracargos → -30 pts

Dirección validada en base postal → -10 pts

3DS completado exitosamente → -25 pts

RANGOS DE ACCIÓN:

· 0-25 puntos → PERMITIR sin fricción

· 26-50 puntos → MARCAR para monitoreo

· 51-75 puntos → AUTENTICAR (solicitar OTP o 3DS)

· 76-100 puntos → REVISAR manualmente antes de procesar

· 101+ puntos → BLOQUEAR automáticamente

PASO 5 — PRUEBA, CALIBRA Y ACTUALIZA

Las reglas antifraude son hipótesis, no verdades absolutas. Necesitan validación continua.

CÓMO PROBAR TUS REGLAS ANTES DE IMPLEMENTARLAS EN PRODUCCIÓN:

Método del "shadow mode" (modo sombra):

1. Implementa las reglas pero sin que afecten las transacciones reales

2. Registra qué transacciones habrían sido bloqueadas, revisadas o autenticadas

3. Analiza los resultados 2-4 semanas después: ¿las transacciones que habrían sido bloqueadas resultaron en fraude? ¿Las que pasaron fueron legítimas?

4. Ajusta los umbrales según los resultados reales

Prueba A/B de reglas:

Aplica la nueva regla al 50% del tráfico y compara la tasa de fraude y la tasa de falsos positivos entre los dos grupos.

INDICADORES DE QUE TUS REGLAS NECESITAN CALIBRACIÓN:

REGLAS DEMASIADO RESTRICTIVAS (muchos falsos positivos):

· Quejas de clientes legítimos sobre pedidos rechazados

· Tasa de abandono de checkout superior al 15%

· Tasa de aprobación muy por debajo del promedio de la industria

· El equipo de revisión manual está siendo abrumado con casos que luego resultan legítimos

REGLAS DEMASIADO PERMISIVAS (muchos falsos negativos):

· Tasa de contracargos superior al 1%

· Fraudes detectados que comparten características que tus reglas no cubren

· Picos de fraude en fechas específicas (Buen Fin, Navidad) que tus reglas no anticiparon

CICLO DE ACTUALIZACIÓN RECOMENDADO:

Revisión semanal: analiza los fraudes confirmados de la semana. ¿Qué señales compartían? ¿Alguna era nueva o diferente a lo visto antes?

Revisión mensual: revisa el performance general de cada regla. ¿Cuántas transacciones bloqueó? ¿Qué porcentaje de las bloqueadas resultaron ser fraude real vs. falsos positivos?

Revisión trimestral: actualiza la línea base con los datos recientes. Los comportamientos cambian con las temporadas y los patrones de fraude evolucionan.

Revisión por evento: después de cualquier campaña de fraude masiva conocida (Buen Fin, campañas de smishing documentadas), revisa y ajusta inmediatamente.

PARTE IV — CATÁLOGO DE REGLAS PRÁCTICAS POR CONTEXTO

Las siguientes reglas están documentadas en formato estándar y pueden adaptarse a cualquier contexto: desde un consumidor que quiere protegerse antes de una compra, hasta el equipo de riesgo de un e-commerce mexicano.

REGLAS PARA EL CONSUMIDOR INDIVIDUAL (para aplicar antes de realizar una compra o venta)

REGLA C-01: LA REGLA DEL PRECIO IMPOSIBLE

SI el precio anunciado es menor al 50% del precio oficial de mercado

Y el vendedor no es un retailer establecido verificable

ENTONCES riesgo ALTO — detener y verificar antes de proceder

REGLA C-02: LA REGLA DEL MÉTODO DE PAGO ÚNICO

SI el vendedor solo acepta SPEI, efectivo, criptomonedas u OXXO

Y no acepta tarjeta de crédito ni PayPal

ENTONCES riesgo ALTO — el vendedor está evitando mecanismos de protección al comprador

REGLA C-03: LA REGLA DE LA URGENCIA ARTIFICIAL

SI hay presión temporal extrema ("solo hoy", "quedan 2 unidades", "oferta termina en 10 minutos")

Y el vendedor no es una plataforma establecida (Mercado Libre, Amazon, Liverpool)

ENTONCES riesgo ALTO — la urgencia está diseñada para inhibir la verificación

REGLA C-04: LA REGLA DEL COMPROBANTE SPEI

SI recibes un comprobante de transferencia como imagen (JPG/PNG/PDF)

Y el dinero no aparece en TU app bancaria como saldo disponible

ENTONCES riesgo CRÍTICO — no entregues el artículo bajo ninguna circunstancia

REGLA C-05: LA REGLA DEL VENDEDOR NUEVO

SI la cuenta del vendedor tiene menos de 6 meses de antigüedad

Y tiene un número sospechosamente alto de seguidores o reseñas para su antigüedad

Y el producto es de alto valor o alta reventa

ENTONCES riesgo ALTO — seguidores y reseñas pueden ser comprados

REGLA C-06: LA REGLA DEL DOMINIO RECIENTE

SI el dominio del sitio fue registrado hace menos de 90 días (verificable en who.is)

Y vende productos de marcas conocidas a precios de descuento significativo

ENTONCES riesgo MUY ALTO — patrón clásico de tienda fantasma

REGLA C-07: LA REGLA DE LA FOTO DUPLICADA

SI las fotos del producto aparecen en múltiples tiendas diferentes en búsqueda inversa

Y los precios varían entre ellas

ENTONCES riesgo MEDIO-ALTO — el vendedor no tiene el producto; usa fotos robadas

REGLA C-08: LA REGLA DEL SMS SOSPECHOSO

SI recibes un SMS con enlace de una paquetería o banco

Y el dominio del enlace no coincide exactamente con el dominio oficial

ENTONCES riesgo CRÍTICO — es smishing; no hacer clic bajo ninguna circunstancia

REGLAS PARA NEGOCIOS DE E-COMMERCE (para implementar en sistemas de gestión de pedidos)

REGLA N-01: ALTA VELOCIDAD + ALTO VALOR (Card Testing Avanzado)

SI en las últimas 2 horas se han procesado más de 5 transacciones de menos de $100 pesos desde la misma dirección IP o dispositivo

Y posteriormente aparece una transacción de más de $3,000 pesos del mismo origen

ENTONCES BLOQUEAR y marcar para revisión manual

RAZÓN: patrón clásico de card testing previo a fraude de alto valor

REGLA N-02: TRIADA DE ALTO RIESGO EN PRIMERA COMPRA

SI el comprador es nuevo (primer pedido)

Y el email fue creado hace menos de 72 horas

Y el monto supera $5,000 pesos

ENTONCES AUTENTICAR con OTP adicional o 3DS obligatorio

RAZÓN: las identidades fraudulentas se usan rápidamente después de crearse

REGLA N-03: MISMATCH GEOGRÁFICO SEVERO

SI la dirección IP está en un país diferente al de la dirección de facturación

Y la dirección de entrega está en un tercer país diferente

ENTONCES BLOQUEAR automáticamente

RAZÓN: la triangulación geográfica es señal de fraude de triangulación o ATO

REGLA N-04: VELOCIDAD DE SESIÓN IMPOSIBLE (Bot Detection)

SI el tiempo de completado del formulario de checkout es menor a 8 segundos

O si no hay ningún movimiento de ratón registrado durante la sesión

O si el tiempo total en el sitio es menor a 20 segundos

ENTONCES BLOQUEAR o activar CAPTCHA

RAZÓN: los humanos no compran en menos de 20 segundos; los bots sí

REGLA N-05: MÚLTIPLES TARJETAS EN UNA CUENTA

SI se han registrado más de 3 tarjetas diferentes en la misma cuenta en 7 días

Y ninguna de ellas tiene historial de uso previo en la plataforma

ENTONCES REVISAR manualmente y potencialmente solicitar verificación de identidad

RAZÓN: los atacantes de ATO prueban múltiples tarjetas robadas en cuentas comprometidas

REGLA N-06: DIRECCIÓN DE ENTREGA COMPARTIDA

SI la dirección de entrega solicitada ya aparece en más de 3 pedidos diferentes con diferentes tarjetas de crédito y diferentes titulares en los últimos 30 días

ENTONCES BLOQUEAR y marcar dirección para revisión

RAZÓN: patrón característico de fraude de triangulación y uso de reshipping mules

REGLA N-07: CLIENTE CON HISTORIAL DE CONTRACARGOS

SI el email, teléfono o dispositivo del comprador ya está asociado a 2 o más contracargos en los últimos 12 meses

ENTONCES REVISAR manualmente antes de procesar

Y DOCUMENTAR exhaustivamente la transacción para defensa futura

RAZÓN: el friendly fraud recurrente es el indicador más predictivo de friendly fraud futuro

REGLA N-08: PICO DE PEDIDOS EN ARTÍCULOS DE ALTA REVENTA

SI en un período de 4 horas se reciben más de 10 pedidos del mismo artículo de alto valor desde diferentes cuentas o IPs

ENTONCES PAUSAR el procesamiento y revisar manualmente

RAZÓN: los ataques de card testing y fraude de triangulación se concentran en artículos de alta reventa

REGLA N-09: CAMBIO DE DATOS + TRANSACCIÓN INMEDIATA (ATO)

SI una cuenta registra cambio de email, contraseña o dirección

Y en los 30 minutos siguientes se realiza un pedido de más de $2,000 pesos

ENTONCES BLOQUEAR el pedido y notificar al usuario legítimo por el contacto anterior

RAZÓN: patrón clásico de Account Takeover; el atacante cambia datos y compra antes de que el usuario real reaccione

REGLA N-10: AUSENCIA DE COOKIES + PRIMERA COMPRA DE ALTO VALOR

SI el usuario no tiene cookies del sitio (primera visita verificada)

Y el tiempo total en el sitio es menor a 3 minutos

Y el monto del pedido supera $8,000 pesos

ENTONCES AUTENTICAR con verificación adicional o REVISAR manualmente

RAZÓN: los compradores de alto valor legítimos típicamente investigan antes de comprar; la compra inmediata sin historial es anómala

REGLAS PARA ANÁLISIS POST-TRANSACCIONAL (para detectar fraude después del hecho y mejorar reglas futuras)

REGLA P-01: CORRELACIÓN DE CONTRACARGOS

Cada semana: analiza todos los contracargos recibidos.

¿Comparten alguna característica: mismo código postal de entrega, mismo rango de IP, mismo proveedor de email, mismo dispositivo, misma tarjeta bancaria?

Si 3 o más comparten una característica común → crear nueva regla preventiva basada en esa característica.

REGLA P-02: ANÁLISIS DE VELOCIDAD POST-FRAUDE

Para cada fraude confirmado: registra el tiempo entre el primer contacto del atacante con tu plataforma y el momento del fraude.

Si la mayoría de los fraudes ocurren en la primera hora de actividad → fortalecer las reglas de "primera compra".

Si ocurren después de semanas de actividad normal → los atacantes están "cultivando" la cuenta; implementar monitoreo de cuentas con actividad repentinamente elevada.

REGLA P-03: MAPA DE CALOR TEMPORAL

Analiza en qué horarios ocurren la mayoría de tus fraudes confirmados.

Si hay concentración en ciertos horarios (ej. madrugada, cuando hay menos revisión manual) → aumentar el umbral de revisión automática en esos horarios.

PARTE V — HERRAMIENTAS PARA DETECTAR PATRONES (SIN COSTO)

Para consumidores y pequeños negocios, existen herramientas gratuitas o de bajo costo que permiten implementar detección de patrones básica:

HERRAMIENTAS PARA CONSUMIDORES

WHOIS (who.is / whois.domaintools.com)

Permite verificar la antigüedad de un dominio. Una tienda con dominio de menos de 3 meses + productos de marca a precio imposible = señal de alerta crítica.

Costo: Gratuito

Tiempo de uso: 2 minutos por consulta

VIRUSTOTAL (virustotal.com)

Analiza URLs contra 70+ motores de seguridad. Si el enlace de una supuesta paquetería o banco aparece en listas negras, es fraude confirmado.

Costo: Gratuito

Tiempo de uso: 30 segundos por consulta

GOOGLE IMAGES (images.google.com)

Búsqueda inversa de imágenes para detectar fotos de producto robadas. Si la misma foto aparece en 15 "tiendas" diferentes, ninguna tiene el producto.

Costo: Gratuito

Tiempo de uso: 1-2 minutos

FOTOFORENSICS (fotoforensics.com)

Análisis de metadatos y ELA de imágenes para detectar comprobantes editados. Si el campo "Software" muestra Photoshop en un supuesto comprobante bancario, fue manipulado.

Costo: Gratuito

Tiempo de uso: 2-3 minutos

HAVEIBEENPWNED (haveibeenpwned.com)

Verifica si tu email fue expuesto en filtraciones de datos. Si lo fue, cambia contraseñas en todos los servicios donde lo usas.

Costo: Gratuito

Tiempo de uso: 1 minuto

SOCIALBLADE (socialblade.com)

Analiza el historial de crecimiento de cuentas de redes sociales. Un salto de 500 a 15,000 seguidores en 3 días = seguidores comprados.

Costo: Gratuito (función básica)

Tiempo de uso: 2-3 minutos

HERRAMIENTAS PARA NEGOCIOS (ENTRY LEVEL)

STRIPE RADAR (para negocios que usan Stripe)

Sistema de ML integrado que asigna risk scores a cada transacción. Permite crear reglas personalizadas con el mismo lenguaje de este artículo. Incluyendo consultas como: "bloquear si monto > $10,000 Y email_age < 7 días".

Costo: Incluido en el plan de Stripe

Nivel técnico: Medio

CONEKTA ANTIFRAUD (para negocios en México)

Módulo antifraude nativo de Conekta con datos del mercado mexicano. Incluye reglas predefinidas para el contexto local y permite personalización.

Costo: Incluido en el plan de Conekta o como add-on

Nivel técnico: Bajo-Medio

GOOGLE ANALYTICS 4 (para análisis de comportamiento)

Con configuración adecuada, permite detectar sesiones anómalas: tiempo en página demasiado corto, rebote inmediato desde el checkout, picos de tráfico de una sola fuente.

Costo: Gratuito

Nivel técnico: Medio

IPQUALITYSCORE (ipqualityscore.com)

API que verifica si una IP es de VPN, proxy, Tor o ha sido asociada a fraude. Permite integrar la verificación directamente en el proceso de checkout.

Costo: Nivel gratuito limitado, planes de pago desde $20 USD/mes

Nivel técnico: Medio-Alto (requiere integración)

EMAILREP (emailrep.io)

API que evalúa la reputación de un email: antigüedad, presencia en filtraciones, si ha sido marcado como spam o fraude. Una señal de "high risk" en un email de comprador es señal de alerta.

Costo: Nivel gratuito disponible

Nivel técnico: Medio (requiere integración)

PARTE VI — PATRONES ESPECÍFICOS DEL ECOSISTEMA MEXICANO 2026

El ecosistema digital mexicano tiene características únicas que producen patrones de riesgo locales que las reglas internacionales genéricas no siempre capturan.

PATRÓN MX-01: EL CICLO DEL BUEN FIN

Cada noviembre, el fraude en e-commerce mexicano aumenta entre 40% y 60% durante las semanas del Buen Fin. El patrón tiene fases:

Semana -2 (pre-Buen Fin): Card testing masivo. Los atacantes validan sus inventarios de tarjetas robadas para tenerlos listos para el evento.

Semana del evento: Pico de fraude. Se usan las tarjetas validadas para compras de electrónicos, perfumes y artículos de alta reventa en tiendas con descuentos reales.

Semana +1: Spike de smishing y phishing post-evento. Los estafadores lanzan campañas de "reclama tu cashback" o "tu compra del Buen Fin tiene un problema" aprovechando que millones de personas hicieron compras que esperan recibir.

REGLA PREVENTIVA PARA EL CICLO BUEN FIN:

· Elevar el umbral de revisión manual 2 semanas antes del evento (para capturar el card testing)

· Durante el evento: reducir los límites de monto para transacciones de primera vez sin autenticación 3DS

· Post-evento: incrementar filtros de phishing y smishing en sistemas de email corporativo

PATRÓN MX-02: EL FRAUDE DEL COMPROBANTE SPEI FALSO

Exclusivo del ecosistema de pagos mexicano. El patrón:

1. El atacante contacta al vendedor para comprar un artículo de alto valor

2. Envía un comprobante de SPEI generado con IA (indistinguible del real a simple vista)

3. Presiona para recoger el artículo antes de que el vendedor verifique

SEÑALES DEL PATRÓN:

· El "comprador" acepta el precio sin ningún regateo

· Insiste en recoger el artículo ese mismo día/hora

· Cuando se le pide esperar a que se refleje el saldo, tiene prisa/excusa

· El comprobante llega por WhatsApp como imagen (no como PDF con metadatos verificables)

REGLA PREVENTIVA:

SI se recibe comprobante de pago como imagen de WhatsApp

Y el vendedor es particular (no empresa con sistema de pagos)

ENTONCES verificar el saldo en la app bancaria oficial

Y NO ENTREGAR hasta que aparezca como saldo disponible, nunca antes

PATRÓN MX-03: LA TIENDA FANTASMA ESTACIONAL

En México, las tiendas fantasma siguen ciclos estacionales:

· Agosto-Septiembre: regreso a clases (uniformes, útiles, tablets)

· Noviembre: Buen Fin (electrónicos, moda)

· Diciembre: regalos de temporada, juguetes

· Enero-Febrero: San Valentín (flores, joyería, chocolates)

· Marzo-Abril: Semana Santa (artículos de viaje, destinos)

El patrón de detección: dominios registrados 2-4 semanas antes de la temporada + productos de temporada + precios imposibles + solo acepta SPEI.

REGLA PREVENTIVA:

En las semanas previas a temporadas identificadas, aumentar el nivel de escepticismo hacia tiendas nuevas que venden artículos de temporada a precios de descuento significativo.

PATRÓN MX-04: EL VISHING BANCARIO CON DATOS REALES

En México, los atacantes de vishing frecuentemente conocen datos reales de la víctima antes de llamar (del dark web o filtraciones). Esto hace el ataque más convincente.

El patrón de la llamada:

1. Llaman con el número del banco suplantado (caller ID spoofing)

2. Mencionan el nombre completo de la víctima y los últimos 4 dígitos de su tarjeta

3. Alertan sobre un cargo sospechoso (falso) en una ciudad diferente

4. Piden confirmar el número completo y CVV "para cancelar el cargo"

5. Obtienen los datos y usan la tarjeta de inmediato

SEÑALES DEL PATRÓN:

· La llamada llega sin que el usuario haya iniciado contacto

· El "ejecutivo" tiene datos básicos (nombre, últimos 4 dígitos) pero no tiene acceso al sistema (de lo contrario no necesitaría preguntar el CVV)

· Hay urgencia extrema: "si no actúa en los próximos minutos, el cargo se procesará"

REGLA PREVENTIVA ABSOLUTA:

Ningún banco pide CVV, NIP completo o que el cliente transfiera dinero por teléfono.

Nunca. Sin excepción. Si alguien pide esto, es fraude independientemente de la información que tenga.

PARTE VII — CONSTRUYE TU PROPIO MAPA DE RIESGO

El mapa de riesgo es la representación visual de tu exposición al fraude: dónde eres más vulnerable, qué vectores son más relevantes para tu contexto y qué reglas tienes cubiertas vs. cuáles son puntos ciegos.

PLANTILLA DE MAPA DE RIESGO — CONSUMIDOR INDIVIDUAL

Completa esta evaluación marcando con ✓ lo que ya haces y ✗ lo que aún no:

PROTECCIÓN DE CUENTAS:

□ Uso contraseñas únicas y fuertes para cada servicio (gestor de contraseñas)

□ Tengo 2FA activado con app autenticadora (no solo SMS) en mi email y banco

□ He verificado en HaveIBeenPwned si mi email fue expuesto

□ Tengo PIN adicional configurado con mi operadora telefónica (contra SIM swapping)

PROTECCIÓN EN COMPRAS:

□ Siempre verifico la antigüedad del dominio antes de comprar en tiendas nuevas

□ Uso tarjeta virtual o tarjeta de crédito (nunca SPEI) para compras en tiendas desconocidas

□ Hago búsqueda inversa de imágenes cuando el precio me parece sospechoso

□ Tengo 3D Secure activado en mis tarjetas principales

PROTECCIÓN EN VENTAS:

□ Verifico el saldo disponible en mi app bancaria antes de entregar cualquier artículo

□ Nunca entrego artículos de alto valor antes de confirmar el pago en mi propio banco

□ Grabo en video el proceso de entrega de artículos de valor significativo

PROTECCIÓN DE DATOS:

□ Mis redes sociales tienen configuración de privacidad adecuada

□ No comparto datos sensibles (CURP, RFC completo, INE escaneado) en canales no verificados

□ He activado alertas de transacción en tiempo real en mi app bancaria

EVALUACIÓN:

· 12-16 marcas ✓: Protección robusta

· 8-11 marcas ✓: Protección básica, con vulnerabilidades específicas

· 4-7 marcas ✓: Exposición media-alta, implementar mejoras prioritarias

· 0-3 marcas ✓: Exposición alta, requiere acción inmediata

PLANTILLA DE MAPA DE RIESGO — NEGOCIO DE E-COMMERCE

PREVENCIÓN TÉCNICA:

□ 3D Secure implementado y activado para todas las transacciones con tarjeta

□ Sistema de detección de bots activo (CAPTCHA o invisible bot detection)

□ Verificación de IP (detección de VPN/proxy) en el checkout

□ Rate limiting implementado (máximo de intentos por IP/período)

□ Fingerprinting de dispositivos activo

REGLAS DE NEGOCIO:

□ Reglas de velocidad: límites de transacciones por IP/dispositivo en ventanas de tiempo

□ Reglas de mismatch: detección de inconsistencias entre datos de facturación y entrega

□ Reglas de primera compra: umbrales más estrictos para compradores nuevos

□ Blacklists activas: emails, IPs, dispositivos, tarjetas y direcciones con historial de fraude

□ Monitoreo de tasa de contracargos con alertas automáticas

PROCESOS OPERATIVOS:

□ Proceso documentado de respuesta a contracargos con evidencia estándar

□ Equipo (o persona) responsable de revisar casos marcados para revisión manual

□ Revisión semanal de fraudes confirmados para actualizar reglas

□ Comunicación activa de cambios de cuenta con verificación del usuario real

EVALUACIÓN:

· 14-18 marcas ✓: Postura de seguridad sólida

· 9-13 marcas ✓: Protección básica, vectores específicos sin cubrir

· 5-8 marcas ✓: Exposición significativa, plan de mejora urgente

· 0-4 marcas ✓: Exposición alta, vulnerabilidades críticas sin atender

CONCLUSIÓN: LOS PATRONES NO MIENTEN

El fraude digital es predecible. No porque los estafadores sean predecibles en su creatividad, sino porque las restricciones de la realidad los obligan a dejar rastros: los bots se comportan diferente a los humanos, las identidades sintéticas tienen inconsistencias, los ataques a escala producen regularidad, y los métodos que funcionaron se repiten.

Aprender a leer esos patrones no requiere ser un ingeniero de ciberseguridad ni tener un presupuesto de millones. Requiere sistematizar la observación, definir qué es normal en tu contexto, detectar las desviaciones y traducirlas en reglas que actúen antes de que el daño ocurra.

Las reglas que has visto en este artículo no son teóricas: son las firmas reales de los vectores de ataque más comunes en México hoy. Algunas te protegerán como consumidor antes de la próxima compra que hagas. Otras le darán a tu negocio un marco estructurado para reducir la tasa de fraude esta semana.

El fraude busca el camino de menor resistencia. Tu trabajo es que ese camino nunca pase por ti.

GLOSARIO RÁPIDO

Account Takeover (ATO): Toma de control de una cuenta por un atacante usando credenciales robadas.

Baseline / Línea base: El perfil del comportamiento normal de los usuarios legítimos, usado como referencia para detectar anomalías.

Bot: Programa automatizado que simula comportamiento humano en sistemas digitales. Produce patrones de velocidad y regularidad imposibles para humanos.

Card Testing: Proceso de verificar tarjetas robadas con cargos mínimos antes de usarlas en fraudes de mayor valor.

Credential Stuffing: Ataque automatizado que prueba combinaciones usuario/contraseña robadas en múltiples servicios.

Device Fingerprint: Identificador único generado por la combinación de características técnicas de un dispositivo.

False Positive / Falso Positivo: Transacción legítima incorrectamente marcada como fraudulenta.

False Negative / Falso Negativo: Transacción fraudulenta que pasa los filtros sin ser detectada.

Friendly Fraud: Contracargo fraudulento iniciado por el titular legítimo de una tarjeta.

Rate Limiting: Límite técnico al número de solicitudes que puede hacer una IP o usuario en un período de tiempo.

Risk Score / Puntuación de Riesgo: Valor numérico que resume el nivel de riesgo de una transacción basado en múltiples señales.

Shadow Mode: Modo de prueba donde las reglas antifraude se evalúan sin afectar las transacciones reales.

Triangulation Fraud: Fraude donde el atacante usa tarjetas robadas para comprar en comercios legítimos, enviando los productos a compradores reales que pagaron al atacante.

Vector de Ataque: El método o camino específico que usa el fraude para comprometer un sistema o persona.

Velocity Abuse: Explotación de la velocidad posible mediante automatización para realizar operaciones a escala imposible para humanos.

OCTAVO CÍRCULO · Serie: Herramientas del Consumidor Digital

"Reglas y Patrones de Riesgo"

Versión 1.0 · Agosto 2026 · octavocirculo.com