Modernización de IAM para gobiernos autonómicos y locales
Los gobiernos autonómicos y locales están modernizando rápidamente los servicios digitales para servir mejor a sus ciudadanos, pero al mismo ritmo que las agencias del sector público se digitalizan, las ciberamenazas y la complejidad operativa crecen con la misma rapidez. Los estafadores están aprovechando la GenAI para todo, desde deepfakes y clonación de voz hasta phishing personalizado y falsas plataformas de IA que roban credenciales de inicio de sesión. Dado que las pérdidas por fraude pueden descontrolarse rápidamente, la prevención del fraude es una parte fundamental de la estrategia de cualquier organización. ¿El resultado? Miles de millones perdidos por fraude, creciente desconfianza ciudadana y experiencias digitales llenas de fricción que socavan los objetivos de prestación de servicios. Pero hay un camino mejor.
Esta guía explora cómo las soluciones modernas de gestión de identidades y accesos (IAM) ayudan a las agencias públicas a unificar y proteger las experiencias digitales, reducir el fraude y los abusos, defenderse frente a amenazas impulsadas por IA y optimizar las operaciones. Descubra cómo ofrecer un acceso seguro y fluido a ciudadanos, empleados y partners, al tiempo que genera confianza, mejora la eficiencia y protege los recursos públicos.
¿Cómo acertar con la prevención del fraude?
- El cambiante panorama del fraude y su impacto en su estrategia antifraude
- El proceso de prevención del fraude en múltiples pasos y las distintas herramientas disponibles en su arsenal antifraude
- La relación entre la prevención del fraude y la experiencia de los ciudadanos y terceros
- El camino hacia una estrategia antifraude dinámica
¿Cómo explotan los estafadores a las agencias gubernamentales?
Los ciberdelincuentes no son un grupo homogéneo. La palabra «estafador» evoca la imagen de una figura sombría con sudadera con capucha encorvada de forma amenazante sobre una pantalla, pero no siempre es así. Los estafadores varían ampliamente en edad y viven en todos los países. Muchos actúan en solitario, pero muchos otros operan en «redes de fraude» dirigidas por estados nación y/o por grandes organizaciones criminales bien financiadas. Algunos de estos delincuentes eligen trabajar exclusivamente online, mientras que otros son hábiles timadores que obtienen información de sus víctimas haciéndose pasar por proveedores de servicios legítimos y luego utilizan esa información para acceder a cuentas. Y, por supuesto, muchos de estos actores maliciosos utilizan la tecnología digital para ampliar enormemente el alcance y la escala de sus ataques.
Las herramientas que utilizan los estafadores para cometer delitos
Cómo pueden los gobiernos autonómicos y locales prevenir el fraude
Una prevención eficaz del fraude requiere que las organizaciones recopilen información sobre la actividad fraudulenta para mejorar su postura defensiva.
Caso de uso: Gran operador inalámbrico y minorista que presta servicio a agencias del Gobierno de EE. UU.
Una empresa que ofrece servicios inalámbricos e internet para usuarios, empresas y agencias gubernamentales acudió a Ping en busca de una solución que mejorara la seguridad y facilitara a sus distribuidores autorizados y empleados la gestión de su actividad comercial.
Retos del cliente:
- Falta de control sobre los tipos de dispositivos y redes que utilizan los distribuidores
- La fatiga de MFA empezaba a comprometer tanto la seguridad como la experiencia
- Pérdida de productividad y ventas debido a solicitudes repetidas de MFA
- Aumento del fraude en el comercio electrónico, especialmente en las épocas de mayor actividad del año
Solución de Ping — Detección de fraude (PingOne Protect):
- Implementación de una solución de fraude para aprender los patrones de tráfico y comportamiento, seguida de la autenticación basada en riesgos para solicitar MFA solo en situaciones de alto riesgo
- Optimización de las políticas de riesgo de PingOne Protect para configurar MFA en redes anónimas
- Ampliación de la visibilidad de amenazas mediante la integración de registros con herramientas de seguridad
Resultado final:
- La implementación duró 3 meses y abarcó 30 políticas de PingFederate y más de 200 conexiones; la tasa de éxito fue alta, con solo 2 aplicaciones que fallaron
- Reducción de las solicitudes de MFA de varias veces al día a una vez por semana
- Disminución de la actividad fraudulenta sin generar fricción adicional para conexiones de confianza y empleados internos
- Activación de medidas de seguridad adicionales para redes anónimas y sospechosas
Herramientas antifraude
A medida que los defraudadores perfeccionan sus métodos y afinan sus enfoques, los equipos antifraude se esfuerzan por mantenerse al día. La revisión manual ya no es suficiente, por lo que proliferan las herramientas de gestión del fraude digital. Estas herramientas suelen encajar en una o varias categorías, alineándose en términos generales con uno o más de los pasos del proceso de prevención del fraude descrito anteriormente.
Protección contra el fraude en pagos
Las organizaciones perderán más por fraude a medida que más servicios continúen trasladándose al entorno online. Las herramientas automatizadas de protección contra el fraude en pagos pueden ayudar a mejorar la precisión de la detección y reducir la necesidad de que los empleados gestionen incidencias manualmente. Estas herramientas incorporan funcionalidades como reglas de riesgo, puntuación de riesgo, monitorización en tiempo real y control de velocidad para detectar y bloquear actividades de compra fraudulentas.
Detección y gestión de bots
Muchos bots están diseñados para causar daños, pero no todos son perjudiciales. Por ejemplo, Google utiliza bots legítimos para indexar y clasificar páginas web en los resultados de búsqueda. Las herramientas de detección y gestión de bots buscan distinguir entre bots buenos y malos y determinar cuáles pueden acceder a un sitio web. Esta capacidad es fundamental: tan importante como bloquear los bots maliciosos es permitir los bots legítimos para garantizar la visibilidad y relevancia de un sitio web. Estas herramientas diferencian entre visitantes humanos, bots legítimos y bots maliciosos, y utilizan machine learning e inteligencia de amenazas para detectar actividad fraudulenta. Son eficaces para evitar que los bots maliciosos lleven a cabo actividades como fraude con tarjetas de crédito, acaparamiento de inventario y credential stuffing.
Biometría conductual
A medida que los defraudadores se vuelven cada vez más sofisticados, las medidas de seguridad tradicionales como los PIN resultan menos eficaces. La biometría conductual es una herramienta cada vez más popular para diferenciar entre humanos y bots o entre usuarios humanos autorizados y no autorizados. Mientras que la biometría física captura rasgos humanos invariables como las huellas dactilares, la biometría conductual mide gestos interactivos. Por ejemplo, la forma en que sostenemos el teléfono, nuestros patrones de desplazamiento y la presión y velocidad al teclear son microgestos únicos de cada persona. Las herramientas digitales están empezando a utilizar estos datos biométricos para señalar actividad fraudulenta cuando el comportamiento de un usuario específico no coincide con su comportamiento anterior en un sitio web o cuando su comportamiento se asemeja al de un bot.
Identificación de dispositivos
La identificación de dispositivos se centra en los dispositivos en lugar de en los usuarios. Información como el tipo de dispositivo, la dirección IP, la zona horaria local y el idioma del navegador conforma una "huella" del dispositivo y puede ayudar a las empresas a detectar fraude. Por ejemplo, si un dispositivo específico está vinculado a cinco cuentas diferentes que intentan realizar compras en un sitio web, las herramientas de identificación de dispositivos registran actividad potencialmente fraudulenta. Algunas ventajas de utilizar estas herramientas son que no requieren datos personales del usuario y que pueden bloquear a defraudadores reincidentes en función del dispositivo que intentaron utilizar previamente.
Herramientas de verificación y validación de identidad
En el pasado, la identidad online se confirmaba con nombres de usuario, direcciones de correo electrónico y contraseñas. Ahora, estas medidas son insuficientes. Dependiendo de la naturaleza de sus servicios, las organizaciones deben utilizar diferentes herramientas de verificación de identidad para garantizar que la identidad declarada por un usuario coincida con su identidad real. Un componente de estas herramientas es el análisis rápido del historial de transacciones de un usuario recopilado de fuentes públicas y privadas. Esto se conoce como autenticación basada en el conocimiento (KBA) y a menudo se considera un método anticuado que añade demasiada fricción. Los métodos más modernos incluyen la evaluación de rasgos físicos del usuario. Algunas organizaciones realizan comprobaciones manuales, como pedir al usuario que muestre su pasaporte o permiso de conducir ante la cámara del ordenador. Otras utilizan herramientas biométricas faciales, tomando una foto del rostro del usuario a través de la cámara para verificar su identidad.
Herramientas de orquestación de pagos
Las organizaciones utilizan herramientas de orquestación de pagos para coordinar un proceso de transacción complejo en un único hub. Estas herramientas ayudan a evitar que las amenazas digitales penetren en las diferentes partes del proceso de pago. Las plataformas de orquestación de pagos recopilan y comparten datos que pueden ayudar a las organizaciones a añadir puntos de fricción para posibles defraudadores, al tiempo que ofrecen un proceso de transacción fluido para usuarios autorizados. Estas herramientas son especialmente útiles para prevenir el fraude en transacciones.
Herramientas de autorización
Tras autenticar a los usuarios, la organización puede concederles distintos niveles de acceso dentro de su sitio web. Las herramientas de autorización conceden o deniegan permisos mediante configuraciones y parámetros definidos por los equipos de seguridad y utilizando tokens de acceso. Algunas herramientas se centran únicamente en la autorización, mientras que otras combinan funcionalidades de autenticación y autorización. Al utilizar herramientas de autorización, las organizaciones establecen una infraestructura que determina el acceso y los permisos tanto de usuarios externos como de miembros internos de la empresa.
Las herramientas de autorización dinámica —también conocidas como control de acceso basado en atributos (ABAC) o gestión de autorización externalizada (EAM)— van mucho más allá de las herramientas de autorización tradicionales al ofrecer a las organizaciones la capacidad de evaluar cualquier conjunto de datos y aplicar decisiones basadas en políticas sobre qué acciones están permitidas en función de esos datos.
Hubs de fraude y delitos financieros
Los hubs de fraude y delitos financieros —a veces llamados hubs de toma de decisiones— se utilizan para simplificar y automatizar el proceso de toma de decisiones. A menudo se trata de herramientas de autorización con ciertas capacidades de orquestación. El objetivo de estas herramientas es simplificar la gestión del fraude centralizando la lógica y la toma de decisiones relacionadas con el fraude. El mayor beneficio de estas herramientas es su promesa de reducir significativamente la necesidad de revisión manual.
El papel de los equipos de fraude y riesgo
Con el aumento del comercio electrónico y el consiguiente incremento del fraude online, resulta más difícil para la mayoría de las empresas supervisar y prevenir el fraude manualmente sin la ayuda de herramientas automatizadas. Sin embargo, algunas empresas dependen exclusivamente de equipos humanos para la detección y prevención del fraude. Esta decisión suele basarse en la idea de que los trabajadores humanos pueden identificar el fraude con mayor precisión y reducir la tasa de falsos positivos examinando cada caso de forma individual. Estos profesionales utilizan su conocimiento específico de la empresa para adaptar el enfoque de prevención del fraude al contexto único de la organización.
No obstante, existen desventajas al emplear un equipo dedicado específicamente a la prevención del fraude: supone un coste elevado para las empresas; las exigencias sobre estos equipos pueden variar significativamente entre los periodos de pico y de caída de ventas; y las personas pueden tardar más que las herramientas automatizadas en detectar y prevenir el fraude, lo que genera frustración en los usuarios.
La mayoría de las organizaciones tienden a adoptar un enfoque de automatización parcial, en el que los equipos de fraude y riesgo realizan algunas revisiones manuales, pero también se centran en estrategias más amplias de prevención del fraude basadas en datos procedentes de herramientas automatizadas.
La naturaleza aditiva de la prevención del fraude
Dado que los métodos de fraude son cada vez más sofisticados y evolucionan con rapidez, las medidas antifraude deben adaptarse constantemente. Esto puede resultar frustrante para las empresas que dedican un esfuerzo considerable a decidir, desarrollar e implementar una estrategia antifraude. En lugar de poner el énfasis en el uso de herramientas y tecnologías específicas, una estrategia antifraude debería centrarse en principios generales, como determinar los recursos financieros y humanos que se destinarán a la lucha contra el fraude. Además, las empresas deberían adoptar nuevas tecnologías antifraude para reforzar —no sustituir— las existentes. Adoptar un enfoque aditivo frente al fraude puede mejorar la eficacia de estas medidas y optimizar la inversión de las empresas en recursos de ciberseguridad.
Una nota sobre los equipos de identidad
Aunque en el pasado los equipos de fraude solían operar de forma aislada, esto está empezando a cambiar. Con la llegada de nuevas tecnologías en detección de fraude, verificación de identidad y gestión de accesos, los equipos de identidad ahora pueden colaborar con los equipos de fraude en beneficio de toda la organización. A medida que el enfoque de la prevención del fraude pasa de proteger la transacción a proteger todo el recorrido del usuario de principio a fin, integrar herramientas de identidad y fraude en flujos de usuario seguros y sin fricciones puede ayudar a ambos equipos a cumplir sus métricas.
Construir un caso para la integración: prevención del fraude y el recorrido integral del usuario
El coste de una mala UX
Las administraciones estatales y locales no compiten por clientes en el sentido tradicional, pero la experiencia sigue siendo importante. Cuando los servicios digitales son difíciles de acceder, confusos o excesivamente complejos, los residentes no solo “convierten” menos, sino que recurren a centros de atención telefónica, visitas presenciales o directamente posponen la gestión. Aunque los ciudadanos esperan un cierto nivel de seguridad al acceder a los servicios gubernamentales, una fricción excesiva crea barreras para la adopción y erosiona la confianza. Las experiencias inconsistentes o frustrantes terminan llevando a las personas hacia canales menos eficientes, lo que incrementa los costes operativos y limita el impacto de las iniciativas digitales.
Seguridad vs. fluidez: encontrar el equilibrio
Los ciudadanos y terceros valoran la seguridad, la comodidad y la privacidad. No existe una fórmula perfecta que funcione para todas las organizaciones, pero adoptar un enfoque integrado de la prevención del fraude y la identidad del usuario puede ayudar a encontrar el equilibrio adecuado. La clave está en evaluar continuamente las sesiones de usuario para detectar fraude e introducir fricción mediante la activación de medidas de mitigación solo cuando sea necesario.
Integrar las herramientas adecuadas
El recorrido del usuario está en el centro de todo lo que hace su organización, y la prevención del fraude desempeña un papel importante. Las herramientas independientes de detección de fraude no son eficaces si la información que recopilan no se incorpora al recorrido global del usuario. Los equipos de fraude e identidad pueden y deben colaborar para orquestar recorridos centrados en la confianza.
La evolución constante de la estrategia antifraude
Por supuesto, incluso el modelo descrito anteriormente no puede permanecer estático. Los defraudadores están motivados, cuentan con conocimientos técnicos y son incesantemente ingeniosos. Surgen constantemente nuevos tipos de ataque, y los equipos de fraude suelen verse obligados a reaccionar ante los cambios en el panorama del fraude. Todo el entorno evoluciona tan rápido que, para cuando una organización ha definido, consensuado e implementado su estrategia, pueden haber aparecido nuevas amenazas que la hagan irrelevante.
Una estrategia antifraude eficaz debe centrarse en principios de alto nivel más que en detalles de implementación, ayudando a la empresa a tomar decisiones más inteligentes sobre el mejor enfoque para detectar, prevenir y gestionar el fraude. En lugar de comprometerse con un conjunto específico de herramientas y técnicas, una estrategia antifraude bien definida puede establecer los principios generales para adoptar, mantener y reforzar las medidas antifraude mediante la tecnología. Un punto clave aquí es que se trata de una carrera armamentística; a medida que los defraudadores desarrollan nuevas técnicas de explotación, los investigadores y las empresas de software crean nuevas contramedidas. Una estrategia antifraude pragmática pondrá el énfasis en la necesidad de mantenerse al día mediante la inversión continua tanto en nuevas tecnologías como en profesionales con las competencias necesarias para aplicarlas. Los defraudadores no se quedan quietos, por lo que los equipos de fraude tampoco pueden permitirse dormirse en los laureles. Su estrategia de prevención del fraude requerirá revisiones constantes y actualizaciones periódicas para garantizar que usted y sus usuarios sigan protegidos.
Sin embargo, con las herramientas adecuadas en su arsenal, tendrá la agilidad necesaria para seguir el ritmo del dinámico panorama del fraude.