Este es un ejemplo de un fraude de pago autorizado (APP). En este tipo de fraude, el estafador se hace pasar por una persona legítima, convence a alguien de que envíe un pago alegando falsas pretensiones y el dinero termina en una cuenta controlada por los fraudsters. Ejemplos como el citado pueden incluir el fraude de facturas falsas, en el que el fraudster factura a la víctima un trabajo que realmente se ha realizado (solo que lo ha hecho otro) o se las arregla para interceptar la factura y cambiar los datos bancarios para que el pago se deposite en una cuenta controlada por él.

 

UK Finance señaló que en el primer semestre de 2019 el fraude por APP supuso en el Reino Unido una pérdida de 208 millones £. Las estafas por APP son cada vez más habituales debido a la adopción masiva de los pagos en tiempo real por parte del sector de servicios financieros, y se espera que en 2020 supongan una gran parte de la actividad fraudulenta.

 

Iniciativas como Faster Payments en el Reino Unido están contribuyendo a implantar pagos en tiempo real en todo el mundo, puesto que los bancos compiten con las fintechs para brindar la mejor experiencia de usuario posible. Los pagos en tiempo real son el elemento definitorio del fraude por APP, porque implican que las transacciones no se pueden revertir y los fraudsters pueden coger el dinero y salir corriendo.

 

El método para cometer este tipo de fraude no es nuevo ni innovador, ya que, como casi todas las estafas, implica alguna forma de ingeniería social. El fraudster se hará pasar por un empleado de banco, un policía o un empleado de una empresa legítima con la que el usuario mantiene una relación. Seguidamente, realiza lo que a primera vista son solicitudes de pagos legítimas debido a la familiaridad artificial percibida por la víctima.

 

El uso de ingeniería social permite a los fraudsters perpetrar un amplio abanico de ataques. Además, la autenticación reforzada del cliente exigida en el marco de la PSD2 no afecta al fraude de pago autorizado, porque el titular de la cuenta ha sido engañado para proporcionar la autenticación necesaria.