Ingeniería social: el que compra con los datos que le dio la víctima y el cliente de viaje dejan el mismo rastro

Cómo ataca

Acá no hay nada que adivinar. Los datos se los dio el cliente.

Una llamada del banco que no era el banco. Un mensaje sobre un paquete retenido en la aduana. Una página igualita a la de siempre. El cliente escribe su número, su fecha de vencimiento y su CVC, y cuando le llega el código al teléfono lo dicta en voz alta, porque del otro lado hay alguien explicándole con mucha calma que ese código sirve para proteger su cuenta.

Desde ese momento el que llamó tiene lo mismo que tienes tú: nombre completo, tarjeta, correo, teléfono. Y tiene el código cada vez que lo pide, porque vuelve a llamar.

Así que no corre. Compra en horario de oficina, montos parecidos a los que ese cliente maneja, repartidos en varios días. Cada compra pasa la verificación porque los datos están bien. No hay reintentos, no hay rechazos, no hay ráfaga.

Lo único que no consiguió es el teléfono del cliente y la conexión desde la que ese cliente compra siempre.

Quién se le parece y es honesto

Y ahí es donde se pone difícil.

El que está de viaje. Se conecta a la red del hotel y compra a horas raras: la excursión de mañana, el restaurante, el traslado al aeropuerto. Su tarjeta aparece en una ciudad donde nunca había aparecido.

El que estrenó teléfono. Cambió de equipo el fin de semana. Volvió a instalar la aplicación, entró de nuevo y siguió comprando lo de siempre desde un aparato que tu sistema ve por primera vez.

La familia que comparte la tarjeta. La mamá compra desde el suyo, el papá desde el suyo, el hijo desde la tablet de la casa. Una tarjeta, tres aparatos, y ninguno de los tres te avisa cuando le toca a otro.

Los tres producen lo mismo que la regla está buscando: una tarjeta con todos los datos correctos, usada desde un aparato o un lugar donde nunca había estado.

Y al de viaje bloquearlo duele el doble, porque está lejos de su casa y se acaba de quedar sin con qué pagar.

Lo que sí los separa

• Qué pasó en la cuenta los días antes. El que se fue de viaje no cambió su correo ni su teléfono antes de salir. Cuando alguien consiguió los datos por llamada, muchas veces hay un cambio de contacto poco antes de la primera compra, para que los avisos dejen de llegarle al dueño.
• Qué hace el aparato de siempre. En el viaje y en la familia el teléfono conocido sigue apareciendo entre medio, un día sí y otro también. Cuando el conocido se queda quieto y el nuevo compra solo, quedan dos explicaciones: el cliente cambió de teléfono, o entró alguien más.
• En qué se gasta. El que cambió de equipo sigue comprando lo mismo y en los mismos comercios. El viaje tiene forma de viaje: hotel, comida, transporte, y se termina cuando el cliente vuelve. Con datos ajenos se compra lo que se revende rápido.
• A dónde llega lo comprado. El de viaje manda a su casa. La familia manda a su casa. Una dirección de envío que se estrena el mismo día que se estrena el aparato son dos cosas nuevas a la vez.
• Qué pasa cuando pides una confirmación. El de viaje contesta molesto y termina su compra. Y acá hay algo incómodo: el que consiguió los datos por teléfono también puede traer el código, porque vuelve a llamar al cliente y se lo pide.

Ninguna de estas señales alcanza sola. Un cliente que estrenó teléfono el mismo día que salió de viaje las prende casi todas.

Cómo muta cuando lo detectas

Cada bloqueo le enseña qué parte de la suplantación se nota desde afuera.

1. Bloqueas la compra que llega desde otro país. Hace que su conexión aparezca en la ciudad del cliente. La compra queda a la hora de siempre y en el lugar de siempre.
2. Bloqueas el aparato desconocido. Deja de comprar él. Llama otra vez al cliente y lo va guiando paso a paso para que la compra salga del teléfono de la casa.
3. Pides el código que llega por mensaje. Lo pide en la misma llamada. Le explica al cliente que ese código sirve para cancelar el cargo que le acaban de hacer, y el cliente lo dicta.
4. Bloqueas la dirección de envío nueva. Compra lo que no necesita dirección: recargas, saldo, tarjetas de regalo, servicios que se activan en el momento.
5. Le pones un tope al monto. Compra por debajo del tope, varias veces, en días distintos, y llega al mismo total.

Al final de esa escalera queda una compra hecha desde el teléfono del cliente, a su hora, desde su ciudad, con su código. Y todavía hay algo que no encaja: ese cliente nunca había comprado eso, ni tan seguido, ni con esa prisa.

Cada paso lo obliga a hablar más rato con la víctima y a sostener el cuento más tiempo. Y mientras más larga es la llamada, más gente cuelga.

Cierre

El trabajo está en dejar comprar al que se fue de vacaciones y frenar al que compra con sus datos desde otro aparato, cuando en la pantalla las dos compras llegan con todo correcto. Eso depende de si puedes mirar la historia completa de ese cliente, o solo la compra que acaba de entrar.

¿Y cómo se resuelve?

Afinar esto a mano te toma días, y cada día cuesta contracargos y ventas buenas. Eso estamos resolviendo en Frauddi. Te lo mostramos sobre tus datos.

Agendar demo gratuita

Próximo: el que espera, el atacante que se aguanta a propósito para no llamar la atención, y el cliente de siempre que compra un poco todos los meses (6 de 9).