El fraude como servicio

¿Qué es el fraude como servicio (FaaS)?

Fraude como servicio (FaaS) se refiere a un modelo de negocio ilícito en el que los estafadores venden o alquilan herramientas, software y servicios a otros delincuentes, lo que les permite llevar a cabo diversas actividades fraudulentas. Estos servicios suelen ofrecerse en mercados de la web oscura o en foros privados, lo que hace que los esquemas de fraude sofisticados sean accesibles para personas o grupos poco cualificados.

‍

Las ofertas de la FaaS suelen incluir kits de suplantación de identidad, redes de bots, credenciales robadas, paquetes de identidad falsa, servicios de ransomware y consultoría de fraude. La FaaS ha revolucionado la ciberdelincuencia al reducir las barreras de entrada y permitir que prácticamente cualquier persona participe en el fraude con un mínimo de conocimientos técnicos.

‍

¿Cómo funciona el fraude como servicio?

Creación de herramientas y servicios fraudulentos

• Los ciberdelincuentes desarrollan herramientas como kits de suplantación de identidad, malware y redes de bots u obtienen grandes cantidades de datos robados (por ejemplo, números de tarjetas de crédito, identidades personales o credenciales de inicio de sesión).

Distribución en Marketplace

• Estas herramientas y servicios se venden o alquilan en mercados clandestinos, foros privados o plataformas de mensajería cifrada.

• El pago se realiza a menudo a través de criptomonedas para mantener el anonimato.

Ejecución de campañas de fraude

• Los compradores de servicios de FaaS utilizan estas herramientas para cometer fraudes, como robar fondos, crear cuentas falsas o ejecutar ataques de suplantación de identidad.

• Los estafadores también pueden comprar servicios de consulta o guías prácticas para perfeccionar sus esquemas.

Distribución de ingresos y crecimiento

• Algunos proveedores de FaaS operan como empresas y ofrecen modelos de suscripción o esquemas de reparto de ingresos, en los que obtienen una parte de las ganancias del fraude.

‍

Casos de uso

Escenarios legítimos (para investigación)

• Empresas de ciberseguridad: Investigar las plataformas y ofertas de FaaS para anticipar las amenazas y crear medidas preventivas.

• Aplicación de la ley: Supervisar las actividades de la FaaS para identificar a los estafadores y desmantelar las redes de fraude organizadas.

Casos de uso fraudulentos

• Kits de phishing: Páginas de suplantación de identidad prediseñadas que imitan sitios web legítimos (por ejemplo, bancos o plataformas de comercio electrónico) para robar las credenciales de los usuarios.

• Ataques de relleno de credenciales: Las credenciales de inicio de sesión robadas, que a menudo se compran a través de la FaaS, se utilizan para obtener acceso no autorizado a las cuentas.

• Botnets para tráfico fraudulento: Los estafadores alquilan redes de bots para llevar a cabo ataques automatizados, como pruebas de tarjetas o abuso de promociones.

• Ransomware como servicio (RaaS): Los proveedores de FaaS alquilan herramientas de ransomware para permitir los ataques a las empresas y exigen el pago de un rescate a cambio del descifrado de los datos.

‍

Impactos en las empresas

Pérdidas financieras

• Transacciones fraudulentas: Las empresas se enfrentan a contracargos, pérdidas de ingresos y fondos robados debido a campañas de fraude ejecutadas con herramientas de FaaS.

• Mayores costos de mitigación del fraude: Las empresas deben invertir mucho en tecnologías de detección y prevención del fraude para combatir los ataques sofisticados.

Daño reputacional

• Desconfianza de los clientes: Los incidentes de fraude de alto perfil relacionados con el robo de credenciales o las filtraciones de datos pueden erosionar la confianza en la capacidad de una empresa para proteger los datos de los clientes.

• Posición en el mercado: Los problemas frecuentes de fraude pueden dañar la reputación de la marca de una empresa y afectar su posición ante los socios y las partes interesadas.

Desafíos operativos

• Aumento de los volúmenes de ataque: Las plataformas de FaaS permiten ataques a gran escala, operaciones empresariales abrumadoras y sistemas de detección de fraudes.

• Gestión de incidentes: Las empresas deben asignar importantes recursos para detectar, investigar y recuperarse de los incidentes de fraude.

Cumplimiento y riesgos legales

• Sanciones reglamentarias: No prevenir las infracciones relacionadas con el fraude puede conllevar multas en virtud de normativas como el RGPD, la CCPA o el PCI DSS.

• Costos de litigios: Las empresas pueden enfrentarse a demandas por parte de clientes o socios afectados por esquemas de fraude habilitados a través de la FaaS.