El fraude por USSD sigue siendo un gran problema, y la autenticación no basta

Es fácil suponer que el USSD es una tecnología heredada en vías de desaparición. No lo es. En África, el sur de Asia y algunas partes de Latinoamérica, el USSD -esas sesiones de menú *123# en teléfonos corrientes- sigue siendo la principal forma en que cientos de millones de personas mueven dinero. Para la inclusión financiera, es indispensable. Para los equipos de fraude, es un dolor de cabeza persistente.

La razón es sencilla: el USSD combina un alto valor de transacción con una visibilidad muy baja. Y la respuesta por defecto de la industria -una autenticación más fuerte- no resuelve el problema, porque la autenticación rara vez es donde se rompe el fraude por USSD.

Por qué la autenticación se queda corta en el USSD

La seguridad del USSD se ha apoyado tradicionalmente en dos cosas: un PIN y, a veces, un OTP. Ambos se vencen de forma rutinaria, y ninguna de las vías de ataque habituales requiere en realidad romperlos:

• SIM swap. Apodérate del número y el OTP llega a la mano del defraudador. El PIN suele ser la única barrera restante, y los PIN son cortos, reutilizados y observables.
• Teléfonos robados o prestados. Basta con un teléfono físico más un PIN visto por encima del hombro u obtenido bajo coacción. La sesión se autentica a la perfección.
• Ingeniería social. Se guía a las víctimas paso a paso a través de las sesiones, o se las convence de compartir su PIN con un falso “agente” o “responsable del banco”.
• PIN comprometidos. Los PIN se filtran mediante el phishing, la observación y la reutilización entre servicios.
• Abuso de sesión. Una vez abierta una sesión en un terminal controlado, el defraudador opera como el usuario legítimo.

En cada caso, las credenciales resultan válidas. Acumular más autenticación -más PIN, más códigos- añade sobre todo fricción para los usuarios legítimos en dispositivos limitados, mientras que apenas incomoda al atacante.

El verdadero problema: el USSD es un canal de baja telemetría

La prevención de fraude moderna basada en apps se nutre de datos. Una app bancaria puede observar el dispositivo, los sensores, el ritmo de tecleo, la dinámica táctil, el flujo de navegación y un rico contexto de sesión. El USSD casi no ofrece nada de esto. Una sesión USSD es un intercambio breve, basado en menús, sobre la red móvil: un puñado de entradas, un código de servicio, un importe, un destino.

Esa escasez de señal es precisamente por lo que los defraudadores lo prefieren. Los controles que dependen del fingerprinting de dispositivo o de la biometría del comportamiento de un smartphone simplemente tienen menos con lo que trabajar aquí. Tratar el USSD como “la app sin funciones” deja una brecha; necesita una defensa diseñada para sus limitaciones.

Compensar con contexto y comportamiento

Si el canal te da poca telemetría de dispositivo, tienes que extraer el máximo valor de las señales que sí tienes, y de todo lo que sabes sobre el cliente a lo largo del tiempo. Eso desplaza el foco de autenticar la sesión a razonar sobre su riesgo.

Incluso una sesión USSD escueta lleva consigo un contexto significativo:

• Comportamiento de la transacción. ¿Este importe, hora del día, frecuencia y destino son coherentes con la forma en que este cliente suele operar? Una transferencia repentina de alto valor a un beneficiario totalmente nuevo a las 3 de la madrugada cuenta una historia, incluso sin datos de dispositivo.
• Velocidad y secuencia. Transferencias repetidas y rápidas, o un cambio de PIN seguido de inmediato por un gran retiro, son patrones clásicos de apropiación.
• Riesgo del beneficiario. Los destinos vinculados a actividad de mulas conocida son arriesgados con independencia del canal.
• Señales entre canales. Un SIM swap o un evento sospechoso del lado de la app justo antes de una transferencia por USSD conectan los puntos entre canales.
• Contexto del ciclo de vida de la cuenta. Una cuenta nueva, una cuenta inactiva que se reactiva o un cambio reciente de datos de contacto alteran todos el riesgo.

Individualmente escuetas, estas señales se combinan en una evaluación de riesgo genuina, capaz de señalar una transacción USSD fraudulenta que la autenticación dejaría pasar de buen grado.

Cómo Paygilant cierra la brecha del USSD

La mayoría de las herramientas de prevención de fraude se construyen pensando primero en la app y tratan el USSD como algo secundario. Paygilant está diseñada de forma explícita para ofrecer una detección sólida tanto en apps como en USSD, precisamente porque muchos de los usuarios de sus clientes viven en teléfonos básicos.

En lugar de depender de una telemetría de dispositivo que el USSD no puede proporcionar, Paygilant se apoya en la puntuación de riesgo contextual y del comportamiento: evalúa cada transacción frente a los patrones establecidos del cliente, el riesgo del beneficiario, la velocidad y la secuencia, y cualquier señal entre canales, de forma continua y en tiempo real. El resultado es un veredicto de “seguro o arriesgado” incluso cuando las únicas entradas son una breve sesión de menú y todo lo que el sistema ya sabe sobre ese usuario.

El USSD no va a desaparecer, y el fraude por USSD tampoco. Pero con una puntuación de riesgo contextual y consciente del comportamiento, los bancos ya no tienen por qué aceptarlo como un punto ciego inevitable, ni castigar a los clientes de la inclusión con una fricción que detiene a los honestos y apenas frena al defraudador.