Falsos positivos: el daño que tu antifraude le hace a tus mejores clientes

El cliente que dejaste de tener

Tienes un cliente que llevaba dos años. Compraba todos los meses. Una vez le bloqueaste una transacción porque la tarjeta vino con un patrón raro: estaba de viaje, cambió IP, monto inusual. Se quedó en caja. Reintentó dos veces, le saltó de nuevo. Se fue a tu competencia.

Visto desde el tablero, tu sistema antifraude funcionó. La métrica de "fraude prevenido" subió, igual que cualquier otro día. Pero detectaste fraude donde no había. El cliente no era atacante, era cliente fiel teniendo un mal día. Y lo trataste como criminal.

Eso es un falso positivo. Y los falsos positivos no se ven en los tableros porque nadie te llama a quejarse — se va y listo.

El falso positivo invisible

El problema es estructural: tu antifraude tiene métricas de lo que bloqueó, pero no de lo que no debería haber bloqueado.

Cuando bloqueas un fraude real, la métrica de "fraude prevenido" sube. Cuando bloqueas a un legítimo, la métrica de "fraude prevenido" también sube. El número se ve igual de bonito. Y el cliente perdido nunca aparece en el reporte.

Y no es un detalle menor. Estimaciones de la industria sitúan el costo global de las declinaciones falsas en al menos 10 veces el costo del fraude real prevenido. Es dinero que sale del negocio sin que nadie la audite.

Eso convierte al antifraude en un sistema donde el incentivo es bloquear más, porque más es mejor. Hasta que el equipo de crecimiento empieza a quejarse de que la conversión bajó. Hasta que soporte recibe quejas. Hasta que un cliente importante hace ruido y se descubre que llevaba seis meses con transacciones bloqueadas sin que nadie notara.

Cómo se mide lo que no mides

La métrica real es precisión (de lo que bloqueaste, qué porcentaje era fraude real) y cobertura (del fraude total, qué porcentaje detectaste). Suben juntas si el modelo es bueno; se compensan si el modelo es mediocre. La operación lo traduce en términos más concretos: tasa de aprobación y tasa de declinación falsa — los dos números que un gerente de riesgo mira primero.

Pero la precisión requiere saber qué de lo que bloqueaste era legítimo. Y eso, en la práctica, casi nadie lo sabe bien. Las formas de averiguarlo:

• Quejas que llegan a soporte. Si bloqueaste y el cliente escribió quejándose y resultó ser legítimo, cuentas. Cuidado: hay atacantes vivos que también se quejan haciéndose pasar por víctimas — la queja sola no es prueba, hay que cruzarla con otras señales.
• Tasa de reintento exitoso. Si el cliente reintentó y le aprobó la siguiente, probablemente era legítimo.
• Anulación manual del analista. Si un analista revisó y desbloqueó, cuentas.
• Lista blanca posterior. Si el cliente pasó a estar en lista blanca después de un bloqueo, era falso positivo.

Si tu sistema no captura ninguna de esas señales, tu precisión es una caja negra. Y aun cuando las captura, ninguna por sí sola es definitiva: funcionan agregadas y cruzadas entre sí, no caso por caso.

Los grafos amplifican el problema

Los sistemas modernos de antifraude usan grafos: relacionan clientes entre sí por dispositivo, IP, correo, métodos de pago. Sirven para detectar redes de fraude. Pero también amplifican falsos positivos por contaminación.

Si bloqueas una cuenta de una red de fraude real, y un cliente legítimo casualmente compartió una red de wifi con esa cuenta hace seis meses (un Starbucks, un aeropuerto), tu grafo lo etiqueta como sospechoso. Sin que el cliente haya hecho nada.

Y la cosa es peor: los atacantes lo saben. Las redes de fraude actuales se conectan deliberadamente con usuarios legítimos —compras chicas, devoluciones, transacciones de bajo monto— para diluir su propia señal en el grafo. La consecuencia es doble: el cliente bueno queda marcado, y el malo, gracias a esas conexiones falsas, queda menos marcado de lo que debería.

El grafo deja de ser un observador pasivo del fraude y pasa a ser una superficie de ataque más. Cuanto más rico el grafo, más rica la palanca que el atacante puede usar contra él.

Ese es el tema que toqué en Contaminación de grafos en detección de fraude. El falso positivo por relación es una de las trampas más sutiles del antifraude moderno, y casi nadie la mide.

El ciclo de etiquetado: cada acción del equipo enseña al sistema

Acá viene la parte que pocas operaciones aprovechan.

Cada decisión que toma el equipo es una etiqueta. Cuando un analista da de alta un cliente en una lista blanca, está diciendo "este es legítimo, no lo toquen". Cuando crea una regla de rechazo automático, está diciendo "este patrón es fraude". Cuando anula manualmente un bloqueo, está diciendo "el modelo se equivocó acá".

El problema es que en la mayoría de las operaciones esas etiquetas viven en sistemas distintos: las listas en una herramienta, las reglas en otra, las anulaciones en una hoja, el modelo en su propio mundo. La señal tarda semanas en cruzarse, si es que se cruza. Para cuando llega, el modelo ya tomó las mismas decisiones malas mil veces más.

La única forma de cerrar ese ciclo rápido es tener todo en un solo lugar. Que la decisión del analista de hoy cambie cómo el sistema decide hoy mismo —no en el próximo trimestre, no en el próximo reentrenamiento. Eso no se logra integrando proveedores — se logra cuando el sistema es uno solo.

Cuándo el falso positivo cuesta más que el fraude

Hacé el cálculo: cuánto te cuesta una transacción fraudulenta aprobada vs cuánto te cuesta un cliente legítimo perdido.

En un negocio de monto bajo y alta frecuencia (suscripciones, comercio minorista), el cliente perdido cuesta mucho más. Vale la pena equivocarse hacia el lado de aprobar.

En un negocio de monto alto y baja frecuencia (joyería, productos de lujo), el fraude prevenido cuesta más. Vale la pena equivocarse hacia bloquear.

La mayoría de los equipos antifraude están calibrados al revés del negocio que sirven, porque nunca se hicieron esa pregunta explícitamente.

Cuando el antifraude deja de castigar a los buenos clientes

Lo que cambia cuando el sistema se diseña con el cliente legítimo en mente no es solo la precisión. Es la dirección de cada decisión.

El cliente con historia limpia recibe más beneficio de la duda. La duda se resuelve con fricción adicional, no con un bloqueo automático.

Es repartir el rigor donde corresponde, y dejar de castigar al que no se lo merece.

La pregunta correcta

Un buen antifraude no se mide solo por cuánto fraude detectó. Se mide por cuánto detectó sin tocar a los clientes que no debía tocar.

La pregunta concreta es:

De cada 100 transacciones que mi sistema bloquea, ¿cuántas eran de clientes legítimos?

Pocas operaciones la responden con un número. Y mientras esa respuesta falta, el antifraude está optimizando contra la retención del negocio sin que nadie lo audite.

Cierre

El falso positivo es un costo que todo equipo antifraude paga, mire o no mire. No aparece en los tableros, no se reporta al directorio, pero está erosionando tu retención y tu reputación día a día.

Estos son problemas duros. Hay muchas técnicas, muchos tipos de fraude, muchas formas en que el adversario te lee y se adapta. Las transacciones que bloqueas nunca dejan ver si la decisión fue la correcta, así que medir la precisión real en producción te obliga a dejar pasar a propósito un subconjunto de lo que el sistema habría bloqueado. Cualquier equipo serio que esté trabajando en esto tiene cicatrices.

Lo que sí sabemos es que la única forma de moverse en la dirección correcta es tener una plataforma sólida, las herramientas adecuadas y un ciclo de retroalimentación constante que mejore todo el sistema como un solo organismo. No piezas sueltas pegadas con cinta.

En Frauddi construimos exactamente ese organismo: la operación del equipo, las reglas y listas, el grafo y el ciclo de retroalimentación viviendo en un solo lugar, diseñados juntos para que el cliente legítimo deje de pagar por la incoherencia entre piezas. El cliente legítimo siempre primero, y cada decisión del equipo capturada como señal — no perdida en una hoja de cálculo.

Si quieres ver cómo se ve una operación construida así, agendá una demo.

Próximo en la serie: Los contracargos son el termómetro, no la enfermedad (Parte 6/8).