El fraude con tarjetas bancarias es diminuto en España: un 0,017% de las operaciones en 2017 con tarjetas emitidas en España fueron delictivas, según el Banco de España. De cada 100 tarjetas solo una se vio afectada, por un valor de 68 euros de media. En términos absolutos, no es poco dinero: 40 millones de euros. En la zona euro, los datos son ligeramente peores: hubo un 0,041% de fraude en 2016, según el Banco Central Europeo.

Esta eficacia en la lucha contra el fraude provoca un desafío mayor para las entidades bancarias, los comercios y los clientes: los falsos positivos. Un falso positivo es una compra legítima con tarjeta que el banco impide porque su sistema de prevención ve algo sospechoso. Es como si el sistema usara una sábana para cubrir los rotos de una red: cubre demasiado y termina por detener pagos legales.

Uno de cada seis dueños reales de una tarjeta vio cómo se declinaba al menos un pago en un año, según un estudio de 2015 de la consultora Javelin. El importe rechazado en esa compra fallida no es el único problema de los falsos positivos: el 26% visita menos el comercio en el que ha ocurrido y el 32% lo evita siempre desde ese momento. Además, el usuario recurre menos a la tarjeta que ha sido declinada, siempre según Javelin.

El BBVA acudió en 2016 al MIT para mejorar su sistema contra el fraude: “Pero trabajando con ellos vimos que con los medios actuales parar más el fraude implicaría una mejora residual”, dice Carlos Capmany, responsable del proyecto en el BBVA. Entonces fue cuando vieron que había otra mejora más factible: “¿Por qué no atacamos en cambio los falsos positivos que están impactando también, más que a nosotros, a los comercios y a la comunidad de clientes?”, añade. Un nuevo sistema del MIT podía tener la solución.

“El gran desafío de la industria son los falsos positivos”, dice Kalyan Veeramachaneni, coautor del artículo donde se explica el modelo e investigador principal en el Laboratorio de Sistemas de Decisión e Información del MIT, en una nota de prensa del centro.

Es comprensible que los bancos hayan vigilado tradicionalmente sobre todo el fraude. Una transacción realizada por un cibercriminal la asume la institución. En cambio, mucho del impacto que se produce en los comercios no llega a verse en los bancos. En una estimación hecha por los autores del modelo, los falsos positivos bloquean ahora unas 289.000 operaciones por cada 1,8 millones. El nuevo sistema detendrá solo unas 133.000, un 54% menos. Esas transacciones suponen aproximadamente 190.000 euros. Hay que tener en cuenta que el BBVA realiza 2 millones de operaciones diarias, con lo que esa cifra es, como dice el artículo científico, “una cifra diminuta del volumen total anual”.

Desde el siglo XX

Los modelos de machine learning para detectar fraude se usan desde finales del siglo XX. Pero eran modelos con pocas variables: miraban cantidades, frecuencias, lugar de la compra y poco más. Si una tarjeta sobrepasaba un límite de dinero o era usada muy a menudo o en lugares insospechados, se bloqueaba la compra. Pero hoy algo así puede ser un uso normal.

En el MIT un equipo donde participaba Veeramachaneni había ideado un sistema llamado Síntesis de Características Profundas (DFS en sus siglas en inglés) que encontraba variables mucho más elaboradas que las habituales: sobre las características técnicas del terminal, sobre los rasgos del vendedor, sobre la presencia del cliente.

El BBVA cedió un histórico de 900 millones de transacciones reales anonimizadas al MIT, que logró perfeccionar el modelo. El éxito no es total, pero su programa logra eliminar la mitad los falsos positivos que salían con el anterior método. ¿Cómo lo hace? Añadiendo muchas más variables para que el programa busque patrones de comportamiento en cada tarjeta y por tanto le sea más fácil detectar usos inhabituales.

El modelo del MIT creó 236 características a partir de los datos del BBVA. “Hay que pensar en características adicionales para producir información buena para que el machine learning funcione”, explica Carlos Capmany, responsable del proyecto en el BBVA. “Esto se hacía por prueba y error, y la forma de trabajar del MIT genera una serie de datos adicionales, muchos de los cuales no se nos hubieran ocurrido, nos acelera producirlo y nos entrega formas novedosas de cruzar la información para entrenar a los sistemas”.

El reto del modelo es extremadamente complicado. Una tarjeta no tiene un comportamiento y de repente varía para siempre: “Una tarjeta que se usa de forma fraudulenta no se usa siempre de forma fraudulenta. Un usuario normal la utiliza en promedio 150-200 veces a lo largo de un año y de repente en una, por el motivo que sea, aparece una cosa anómala”, dice Capmany. Si un criminal obtiene por ejemplo 1.500 números de tarjeta con la identidad de sus propietarios puede ir usándolas con delicadeza para evitar ser detectado. Muchos aún lo consiguen: se trata de ir probando. La evolución del fraude supone un reto a largo plazo.

En los últimos seis meses, el BBVA ha replicado el experimento con datos actualizados. El modelo mantiene su tasa de éxito. El banco está a punto de introducir el algoritmo en su sistema. El modelo funcionaría también para otros bancos. “El MIT ha emitido unas guías de código abierto”, dice Capmany.

Fuente: El País