LAS MEJORES PRÁCTICAS PARA RECONOCER Y COMBATIR LOS DELITOS FINANCIEROS CIBERNÉTICOS EN UNA REALIDAD HIPERCONECTADA VIRTUALMENTE

Por Gonzalo Vila, CFCS
Director de América Latina
Asociación de Especialistas Certificados en Delitos Financieros
ACFCS

 El mundo está transitando una fuerte lucha contra la pandemia del coronavirus Covid-19, a la que algunos han llegado a llamar el enemigo invisible. Si bien la expectativa sobre la victoria final o el momento en el que se restablezca el funcionamiento con normalidad de todas las actividades dista mucho de ser un dato fáctico, certero, muchos especialistas comenzaron a marcar cambios radicales en la manera en la que la sociedad funciona y estos cambios establecen nuevos riesgos de los que una sociedad hiperconectada virtualmente debe protegerse: riesgos cibernéticos.

Entre algunas de las tendencias determinantes a partir de esta nueva realidad se encuentra una sociedad cada vez más dependiente de la tecnología, una confirmación del teletrabajo y la realidad del aprendizaje virtual como medio de conocimiento y capacitación.

  • El fuerte incremento del consumo de todo tipo de pantallas ya sea para distenderse o trabajar fue un elemento desequilibrante en esta era de pandemia y si bien era algo ya usual en la realidad pre COVID-19, los aislamientos obligaron una convivencia más fuerte con todo tipo de tecnología para relaciones virtuales; not face to face, con todos los riesgos que esto implica.
  • La modalidad de teletrabajo se impuso como forma de supervivencia de las actividades, pero también evidenció que muchas veces las empresas no necesitan de reuniones personales y espacios tan amplios para desarrollar sus tareas. Hay una gran posibilidad de que en post COVID-19 se busque una mayor flexibilidad en las empresas que llevaría a una confirmación del concepto del teletrabajo, no presencial, con todos los riesgos que esto implica.
  • Las clases virtuales fue la modalidad que se aplicó para que los alumnos no perdieran sus clases este 2020 y podría ser una solución para extender y trabajar con menos apuro en el ámbito de capacitación; no cara a cara, con todas las debilidades que esto significa.

Esta nueva realidad en el espacio virtual lleva a considerar que con la explosión de las tecnologías de contacto virtual y la realidad de una sociedad confinada por la pandemia del COVID 19 es menester en la actualidad prestar especial atención a los potenciales enormes riesgos cibernéticos que se presentan. Si bien los delitos financieros cibernéticos son mucho más nuevos que sus equivalentes en mundo real, tienen el potencial de diversificarse y generalizarse con la misma rapidez; y mucho más en la actualidad, dadas la condiciones.

En un momento en que los delincuentes necesitan solo una laptop y/o celular y una conexión a Internet para cometer un delito financiero, el umbral de acceso es bastante bajo y las tentaciones bastante altas. De esta forma, los ardides de delitos cibernéticos solo se ven limitados por la imaginación y el ingenio del delincuente…y el conocimiento y buenas prácticas de sus supuestos blancos para protegerse.

La gran variedad, y enorme dinamismo, de los delitos financieros cibernéticos hace que sea poco práctico y hasta imposible elaborar una lista exhaustiva de las tipologías y casuísticas que los profesionales deben seguir para proteger de forma certera sus compañías.

Sin embargo, expondremos a continuación algunas de las técnicas más comunes empleadas en los delitos financieros cibernéticos para que los actores dentro del ecosistema de una organización (no solo los empleados, sino también los agentes, proveedores y hasta clientes) tengan presente para no convertirse en el eslabón más débil de la cadena de ciberseguridad por donde pueda ingresar el ataque. Todos estos actores deben tener presente que estas técnicas a menudo se usan en combinación con otras.

Un ataque phishing puede llevar al robo de información confidencial necesario para acceder a una cuenta bancaria, mientras que un keylogger malware puede servir para recopilar otro elemento para, por ejemplo, realizar una maniobra de apropiación fraudulenta de cuenta.

El especialista en delitos financieros debe prestar mucha atención al hecho de cómo un delito puede repercutir en otro. Esto es tan cierto para los profesionales que están investigando delitos financieros cibernéticos o creando mecanismos de control para evitarlos.

Algunas de las técnicas más reconocidas en los ciberataques son:

Ingeniería Social

La ingeniería social es el acto de engañar o manipular a una persona para que revele información confidencial o datos personales. Esto es diferente del uso de técnicas de piratería informática, como programas de computación que descifran contraseñas o códigos cifrados.

Ayudados por la tecnología, los ardid de ingeniería social se aprovechan de la inclinación humana a confiar y aceptar indicaciones, en especial aquellas provenientes de fuentes o personas con autoridad. No existe una estrategia única para protegerse de la ingeniería social en las organizaciones, pero una solución poco sofisticada pero efectiva es la capacitación de los empleados.

 

Phishing

El phishing consiste en el envío de correos u otro tipo de mensajes electrónicos, o a través de otros métodos, que simulan ser comunicaciones legítimas para manipular a su receptor para que revele información confidencial.

El mensaje phishing puede llevar al receptor hacia una página web falsa con la misma apariencia de una página original de una empresa, agencia gubernamental u otra organización, y dará instrucciones al usuario, no consciente del engaño, para que revele información sensible como contraseñas, números de tarjetas de crédito, e información de cuentas bancarias. Sin embargo, el sitio web no es genuino y ha sido creado con el único objetivo de robar la información del usuario.

Existen distintos tipos de phishing:

Phishing a través de emails

El tipo de phishing más común es mediante correo electrónico. Los delincuentes envían el mismo correo electrónico fraudulento a millones de direcciones de correo electrónico personales, solicitando al receptor que revele información personal usando medios fraudulentos, típicamente redireccionado a las víctimas a un sitio web falso que luce casi idéntico al sitio real que la víctima intentaba visitar. Estos datos son luego utilizados por los delincuentes para realizar varias actividades ilegales, siendo la más común un esquema de robo de identidad.

Si bien estos de ataque tienen niveles relativamente bajos de éxito pues hay más conciencia, un índice relativamente bajo de éxito entre los millones de correos electrónicos que se envían por día significa que muchos aún son víctimas de este tipo de ataque.

Business Email Compromise (BEC) 

BEC es un tipo de estafa dirigida a empresas que realizan transferencias electrónicas y tienen proveedores en el extranjero. Los correos electrónicos de ejecutivos o empleados de alto nivel relacionados con las finanzas o involucradas con pagos por transferencia bancaria son falsificados o comprometidos a través de keyloggers o ataques de phishing para realizar transferencias fraudulentas, lo que resulta en pérdidas de cientos de miles de dólares.

Previamente conocido como estafas de Man-in-the-Email, los delincuentes que utilizan BEC dependen en gran medida de las tácticas de ingeniería social para engañar a los empleados y ejecutivos desprevenidos. A menudo, se hacen pasar por CEO o cualquier ejecutivo autorizado para hacer transferencias bancarias. Además, los estafadores también investigan cuidadosamente y monitorean de cerca a sus posibles víctimas objetivo y sus organizaciones.

Algunos de los mensajes de correo electrónico de muestra tienen en sus asuntos palabras como solicitud, pago, transferencia y urgente, entre otros. Según el FBI, hay 5 tipos de estafas BEC:

El falso esquema de facturas: las empresas con proveedores extranjeros a menudo son blanco en esta táctica, en la que los atacantes fingen ser los proveedores que solicitan transferencias de fondos para pagos a una cuenta propiedad de estafadores.

Fraude del CEO: los atacantes se hacen pasar por el CEO o presidente de la empresa, u otro ejecutivo importante, y envían un correo electrónico a los empleados de finanzas, solicitándoles que transfieran dinero a la cuenta que controlan.

Cuenta comprometida: los delincuentes hackean el email de un ejecutivo o empleado y luego lo utiliza para solicitar pagos de facturas a los proveedores que figuran en sus contactos de correo electrónico. los pagos se envían a cuentas bancarias fraudulentas.

¿Abogado?: los delincuentes fingen ser un abogado o alguien de una firma de abogados supuestamente a cargo de asuntos cruciales y confidenciales. Normalmente, tales solicitudes falsas se realizan por correo electrónico o por teléfono, por lo general al final del día hábil.

Robo de datos: los empleados en las áreas de RR. HH. y contabilidad están destinados a obtener información de identificación personal o declaraciones de impuestos de empleados y ejecutivos. Dichos datos pueden usarse para futuros ataques.

Debido a que estos ardides no contienen enlaces o archivos adjuntos maliciosos, pueden evadir las soluciones tradicionales. La capacitación y el conocimiento de los empleados pueden ayudar a las empresas a detectar este tipo de estafa.

Spear-Phishing

Este es un método más refinado de phishing e implica el envío de mensajes con información o contenido personalizados para un receptor específico, lo que incrementa las posibilidades de que sea considerado un mensaje genuino. Lo que diferencia al spear-phishing de las técnicas tradicionales de phishing es que incluye algunos datos personales sobre el receptor.

Los mensajes de spear-phishing pueden ser bastante sofisticados, y pueden incluir el nombre de la víctima e información de identificación personal. También puede imitar mensajes de amigos, conocidos o asociados comerciales.

Man-in-the-Middle Attack

También conocido como ataque de intermediario, es una técnica sofisticadas de phishing, donde un delincuente está ubicado virtualmente entre el sitio web legítimo y la terminal del usuario. El delincuente intercepta detalles durante una transacción entre el sitio legítimo y el usuario. Después de que el usuario ingresa su información personal, esta es capturada por el delincuente sin que el usuario se percate de ello.

El método más efectivo para detectar potenciales fraudes de phishing, es conocer y permanecer actualizados sobre las técnicas de phishing, identificar los esquemas de robo de identidad, y familiarizarse con los canales que las organizaciones legítimas usan para comunicarse con sus clientes. Las compañías legítimas y las agencias gubernamentales raramente solicitarán información de identificación personal a través de una comunicación electrónica. Cualquier solicitud de información mediante esa vía debe ser considerada como muy sospechosa.

Apropiación Fraudulenta de Cuenta

La apropiación fraudulenta de una cuenta (account takeover) es una de las formas más comunes de robo de identidad que sucede cuando un delincuente obtiene la información personal de un individuo (número de cuenta y de identificación personal), y cambia la dirección de correo oficial o las credenciales bancarias en línea con la institución financiera de ese individuo.

Una vez logrado esto, el delincuente puede realizar transacciones no autorizadas usando la cuenta de la víctima sin su conocimiento.

Los esquemas de apropiación fraudulenta de una cuenta son a menudo el resultado final de una combinación de muchas tácticas sofisticadas de robo de identidad usadas para obtener información personal o confidencial de una persona con el objetivo de suplantar a un cliente legal de una institución financiera.

La ingeniería social y el phishing son métodos comunes para obtener la información necesaria para controlar una cuenta financiera, al igual que los programas de software maliciosos.

La adaptabilidad, amplitud y combinación de estos esquemas hace que sea cada vez más difícil detectarlos o prevenirlos, pues a menudo es muy difícil determinar las causas originales y la forma en que se realizó una estafa de apropiación fraudulenta.

 

EL REINO UNIDO LANZA EL CUERPO DE CONOCIMIENTOS DE SEGURIDAD CIBERNÉTICA PARA QUE SEA LA BASE DE CAPACITACIÓN CIBERNÉTICA, INCUBADORA DE IDEAS DE LA ACADEMIA Y DE LOS SECTORES PÚBLICO Y PRIVADO

Primero en el mundo de la defensa cibernética, el Reino Unido lanza el Cyber Security Body of Knowledge (CyBOK),  como base para la capacitación cibernética e incubadora de ideas.

El Reino Unido en lo que llama una «primicia mundial» ha lanzado el CyBOK, que proporcionará una base para la educación, la capacitación y las prácticas profesionales de seguridad cibernética relacionadas, y también es un recurso crítico, para los miembros de academia, industria y gobierno.

El recurso de 828 páginas tiene el potencial de ayudar a las organizaciones a protegerse mejor. Cubre los cimientos de la ciberseguridad, desde el elemento humano hasta problemas de seguridad del hardware de la computadora.

Lanzado en un evento especial en el Museo de Ciencias de Londres, CyBOK fue patrocinado por el Centro Nacional de Seguridad Cibernética (NCSC), que es parte de GCHQ, y financiado por el Programa Nacional de Seguridad Cibernética con el apoyo del DCMS. El desarrollo de CyBOK fue liderado por la Universidad de Bristol.

Chris Ensor, subdirector de crecimiento de NCSC, dijo: “Esta guía actuará como un facilitador real para desarrollar la seguridad cibernética como profesión. Ha sido desarrollado por la comunidad, para la comunidad y desempeñará un papel importante en la educación, la formación y la práctica profesional».

El proyecto CyBOK es supervisado por un comité directivo compuesto por expertos internacionales de la industria, organismos profesionales y académicos.

 

ENFOQUE BURSÁTIL 2020: LAS AUTORIDADES LES DARÁN MÁS ESCRUTINIO A LOS PROGRAMAS ALD/CFT Y A LAS EMPRESAS CRIPTOGRÁFICAS

La Oficina de Inspecciones y Exámenes de Cumplimiento (OCIE) de la Comisión de Bolsa de Valores (SEC) se centrará nuevamente en muchas de las áreas de negociación más riesgosas, emergentes y más exóticas, al tiempo que ejercerá más presión sobre las empresas de corretaje, los corredores individuales y cualquier entidad en la cadena de suministro para que fortalezcan el cumplimiento contra el lavado de dinero, combatan el fraude e identifiquen e informen sobre comportamientos potencialmente riesgosos.

El principal organismo supervisor del sector de títulos valores de EE.UU. ha establecido sus prioridades los exámenes del 2020, haciéndose eco de muchos de los puntos focales de años anteriores, incluyendo los activos relacionados con la criptografía y supuestas inversiones, seguridad cibernética y programas de cumplimiento de delitos financieros, entre otros.

La Oficina de Inspecciones y Exámenes de Cumplimiento (OCIE) de la Comisión de Bolsa de Valores (SEC) se centrará nuevamente en muchas de las áreas de negociación más riesgosas, emergentes y más exóticas, al tiempo que ejercerá más presión sobre las empresas de corretaje, los corredores individuales y cualquier entidad en la cadena de suministro para que fortalezcan el cumplimiento contra el lavado de dinero, combatan el fraude e identifiquen e informen sobre comportamientos potencialmente riesgosos.

Un breve resumen:

Combatir el fraude de inversores minoristas, especialmente personas mayores

Los esfuerzos analíticos y los exámenes de OCIE permanecen firmemente basados en sus cuatro pilares: promover el cumplimiento, prevenir el fraude, identificar y monitorear el riesgo e informar la política.

Los exámenes se enfocarán en productos de mayor riesgo, incluyendo colocaciones privadas y valores de emisores en áreas de riesgo nuevas y emergentes, tales como aquellos que: (1) son complejas o no transparentes; (2) tienen altas tarifas y gastos; o (3) cuando un emisor está afiliado o relacionado con la empresa registrada que hace la recomendación.

Las empresas también tendrán que reforzar los programas de ciberseguridad para contrarrestar la infiltración de estafadores externos, además de que estas compañías puedan ser engañadas accidentalmente para formar parte de estafas de acciones de piratas informáticos que buscan obtener conocimiento sobre información no pública que se puede utilizar en esquemas de manipulación de información privilegiada.

Los activos digitales volverán a obtener tiempo de examen adicional

El OCIE en 2020 renovará su enfoque en los valores relacionados con el criptoespacio, señalando que el incipiente mercado de activos digitales presenta nuevos desafíos para los inversionistas minoristas que no tienen pleno conocimiento con la forma en que estos activos virtuales difieren de los valores tradicionales respaldados por activos del mundo “tangible”.

Debido a estos riesgos, OCIE continuará identificando y examinando a los participantes del mercado registrados en la SEC que participan en este espacio. Los exámenes evaluarán lo siguiente:

  • idoneidad de inversión,
  • gestión de cartera y prácticas comerciales,
  • seguridad de los fondos y activos del cliente,
  • fijación de precios y valoración,
  • efectividad de los programas y controles de cumplimiento, y
  • supervisión de los empleados fuera de las actividades comerciales”, señaló el informe.

La SEC anunció por primera vez la intención de expandir la supervisión de los valores relacionados con las criptomonedas en 2018, con un enfoque en las criptomonedas y estableció más claramente su plan para monitorear a los participantes del mercado en términos de gestión de cartera, prácticas comerciales, seguridad de los fondos del cliente, precios, cumplimiento y controles internos.

Continuará una fiscalización reforzada en ALD/CFT

La OCIE continuará priorizando el cumplimiento de las obligaciones ALD/CFT de los corredores de bolsa y compañías de inversión.

Los examinadores revisarán áreas clave del programa, que incluyen:

  • Si las empresas han establecido programas apropiados de identificación de clientes.
  • Si están cumpliendo con sus obligaciones de presentación de reportes de operaciones sospechosas (ROS).
  • Si realizan la debida diligencia de los clientes.
  • Si cumplen con los requisitos de beneficiarios reales.
  • Si realizan pruebas independientes robustas y oportunas de sus programas ALD/CFT.

«El objetivo de estos exámenes es garantizar que los corredores de bolsa y las compañías de inversión cuenten con políticas y procedimientos adecuados que estén razonablemente diseñados para identificar actividades sospechosas y actividades ilegales de lavado de dinero», según la SEC.

El OCIE también detalló lo que considera algunas de las «características distintivas» de un «programa de cumplimiento efectivo», que incluye capacitación adecuada, experiencia y autoridad y apoyo activo de los niveles ejecutivo y de la junta directiva.

«En el curso de la realización de miles de exámenes de muchos tipos diferentes de empresas, las características de un cumplimiento efectivo se hacen evidentes», según la SEC. «Uno de estos sellos distintivos incluye la participación activa del cumplimiento en la mayoría de las facetas de las operaciones de la empresa y la participación temprana en desarrollos comerciales importantes, como la innovación de productos y los nuevos servicios».

Otro sello distintivo es un «director de cumplimiento experto y capacitado con plena responsabilidad, autoridad y recursos para desarrollar y hacer cumplir las políticas y procedimientos de la empresa».

Pero esos deben combinarse con una «cultura corporativa» que establezca una política de transparencia que venga desde la cúpula de la organización, algo que se repiten en los círculos de reguladores federales y que se menciona en muchas sanciones de alto perfil en los sectores bancario y de valores.

«Y quizás lo más importante, un compromiso con el cumplimiento por parte de altos ejecutivos para establecer un tono desde arriba que el cumplimiento es integral para el éxito de la organización y que existe un apoyo tangible para el cumplimiento en todos los niveles de una organización», según el equipo de ejecución de la SEC.

Que la SEC se centre en estas áreas no es sorprendente, de hecho, se espera.

El ambiente criptográfico ha estado aumentando en términos de enfoque por parte de los reguladores y agencias de control de todo el mundo y hay un componente importante de valores, ya que, en algunos casos, los organismos gubernamentales los han denominado valores.

Muchos estafadores han estado tratando de participar en esquemas clásicos de Ponzi y piramidales, con un giro criptográfico, en ofertas de monedas iniciales falsas que son solo estafas para robar dinero y desaparecer.

Pero si bien la SEC declara públicamente que ha actualizado sus «prioridades» generales seguramente la prueba real de cumplimiento y lo que potencialmente llevará a cumplir con acciones disuasorias, estará en la cantidad y el tamaño de las sanciones por ignorar estas reglas.

En los últimos años se ha visto sanciones más estrictas por las fallas de cumplimiento, tanto por parte de la SEC como de su socio de examen ALD/CFT, la Autoridad Reguladora de la Industria Financiera, una tendencia que las empresas deben prestar atención al decidir la profundidad de la capacitación, los recursos y experiencia dedicada a programas de cumplimiento.

MIEMBRO DESTACADO: ROSA BORJAS, CFCS – LA CLAVE ES ÉTICA, EMPATÍA, PERSEVERANCIA Y UNA RED DE CONTACTOS DE CALIDAD

Rosa Borjas, nuestra colega peruana en el campo de la prevención, detección y control de los delitos financieros, quien obtuvo al certificación de Especialista Certificada en Delitos Financieros de ACFCS, es una consultora especialista con más de 25 años de experiencia y desarrollo profesional en la implementación y asistencia técnica de modelos para la gestión de riesgos tecnológicos, cumplimiento normativo, riesgos de lavado de activos, financiamiento del terrorismo y programas FATCA y Anticorrupción.

Rosa estudió Contabilidad y Finanzas en la Universidad Ricardo Palma del Perú y cuenta con un máster en gestión de riesgos de la Universidad Rey Juan Carlos de España.

Entre algunos de los logros de Rosa en su nutrida carrera: implementó el Sistema de PLD/CFT para el Grupo Interbank con un enfoque de riesgos, formando la Oficialía de Cumplimiento Corporativo para Interbank (Banco) Interseguro (Seguros), Intertítulos (Titulizadora), Interfondos SAF (Sociedad Administradora de Fondos) y Financiera Uno (Financiera), entre 2001 y 2012.

El Grupo Interbank forma parte de las empresas del IFH Perú Ltd. (Intercorp), conglomerado de empresas multinacionales de origen peruano que figura entre las marcas peruanas más prestigiosas en el ranking de las más valiosas de la región. Posee presencia en Perú y también algunas de sus subsidiarias a nivel internacional.

Una de las particularidades y fortalezas de Rosa es haber trabajado y asesorado una gran variedad de empresas, tanto en el sector financiero como no financiero, lo que le ha dado una visión integral de los riesgos en los delitos financieros. “El hecho de asistir a empresas del sector financiero y no financiero me ha permitido identificar patrones de comportamientos cruzados” que Rosa las transmite como oportunidades de mejora para los sistemas de GRLAFT.

En sus años de experiencia, Rosa ha compartido su conocimiento a más de 80 empresas corporativas, grandes y medianas del segmento supervisado por la Superintendencia de Banca y Seguros (Bancos, Financieras, Seguros, Cajas, Cooperativas, Dinero Electrónico, Fondo FMV), la Superintendencia de Mercado de Valores (Sociedades Agentes de Bolsa, Fondos Colectivos, SAFI y afines), Corporaciones del sector real supervisadas por la Unidad de Inteligencia Financiera UIF (sector Inmobiliario, Construcción, Automotriz, Minero, etc.) y El Fondo Nacional de Financiamiento de la Actividad Empresarial del Estado – FONAFE del Sector Energético del Perú (Electro Perú, otras).

Como experta en gestión de riesgo Rosa entiende que para las organizaciones es muy importante un enfoque predictivo, que permita anticiparse a los peligros, riesgos y problemas, un enfoque que permita tomar las medidas detectivas apropiadas que permita anticipar a situaciones de riesgo.

Rosa Colaboró con la empresa APOYO CONSULTORIA SAC con motivo de las Evaluaciones Sectoriales de Riesgos de LA/FT del sector Financiero del Perú, que ejecutó la GIZ (Cooperación Alemana) y la Unidad de Inteligencia Financiera UIF-SBS en 2017.

Además de contar con la certificación CFCS Rosa también cuenta con la certificación del Global Institute for Risk Management Standards en la norma ISO31000 con conocimientos aplicados sobre los Principios, Marco y Proceso – G31000—y la certificación de profesionales Anti Money Laundering CP /AML y Gestión y Evaluación de Riesgos de la Florida International Bankers Association (FIBA) con la Florida International University (FIU) y es técnica en Sistemas Informativo OS390 / Mainframe y Ambientes Distribuidos – IBM ISM.

Rosa tuvo la amabilidad de compartir algunos de sus puntos de visto en nuestro rincón para el miembro destacado de ACFCS:

  1. ¿En qué te desempeñas actualmente?

 Cómo especialista, mi trabajo consiste en asesorar a empresas que se encuentran en un nivel de madurez en la gestión de riesgo de lavado de activos y financiamiento del terrorismo (GRLAFT) y requieren innovar y mejorar sus sistemas de prevención y detección bajo un enfoque basado en riesgo EBR.

  1. ¿Cómo es tu trayectoria profesional en el campo del control del crimen financiero?

 Cada experiencia es única, las tendencias del crimen tienen sus particularidades, en función a la vulnerabilidad de las empresas a partir de sus productos y servicios, las zonas geográficas donde operan y el segmento de clientes a donde se dirigen, lo que facilita al crimen organizado su expansión.

El hecho de asistir a empresas del sector financiero y no financiero me ha permitido identificar patrones de comportamientos cruzados los cuales documento y les transmito como oportunidades de mejora para sus sistemas de GRLAFT.

  1. ¿Cuál es el mejor consejo que has recibido?

 De mi abuela: “En la tardanza está el peligro”, lo que me llevó a reflexionar en el plano familiar y profesional. En la GRLAFT las medidas detectivas que permitan anticiparnos a situaciones de riesgo son las más efectivas.

  1. ¿Cuáles diría que son los atributos más importantes para que alguien en tu rol pueda tener éxito?

 Mantenerse en el ámbito profesional independiente se basa en ética, empatía, perseverancia y una red de contactos de calidad.

  1. ¿Cómo crees que ha afectado la pandemia a los equipos de cumplimiento?

 Si tenemos un sistema de gestión de riesgos de LA/FT debidamente incorporado a los negocios empresariales, el impacto debiera ser mínimo, al haber previsto con simuladores comportamientos transaccionales en escenarios diferentes a los normales, y, haber desarrollado herramientas tecnológicas que coadyuven a las labores de control.

  1. ¿Cómo ha cambiado y evolucionado (el cumplimiento, investigaciones, etc.) durante su carrera?

 La GRLAFT es dinámica y cambiante a partir de lineamientos normativos nacionales e internacionales hasta buenas prácticas a partir de experiencias en el sector. El objetivo siempre ha sido el mismo, la identificación de operaciones de riesgo y reporte de estas a las Unidades de Inteligencia Financiera con certeza en los argumentos, calidad y eficiencia en las investigaciones, apoyándonos en criterios metodológicos, que se enriquecen permanentemente.

  1. ¿Cuáles considera que son los desafíos clave relacionados con el delito financiero en su función o en el sector en general?

 Lograr una cultura de riesgos en las instituciones, documentar tipologías vinculantes de diferentes actores económicos, innovar en técnicas periciales y capacitarse en nuevas tendencias de negocios digitales.

  1. ¿Qué te motivó a convertirte en un profesional de delitos financieros?

 El impacto social que trasciende en el ejercicio de esta profesión fue mi motivación, lo demás es historia.

  1. ¿Por qué se unió a ACFCS y obtuvo la certificación CFCS?

 Buscaba una institución que convalidará mi experiencia en el sector de delitos de Lavado de Activos, Financiamiento del Terrorismo, Tecnológicos, Legales, Contables y Fraude en sus diversas modalidades. Tomé la decisión, rendí el examen y feliz de lograr la certificación, lo que me ha permitido acreditar mi experiencia en el sector.

  1. ¿Cuál es la parte más gratificante de tu trabajo?

 Como asesora especialista y capacitadora lo más gratificante es conocer a personas de calidad comprometidas con la GRLAFT, que aplican de manera practica lo que logro trasmitirles, mejorando su gestión, salvaguardando a sus empresas, aportando un granito de arena a la sociedad.

  1. ¿Qué consejo les daría a profesionales con 5-10 años de experiencia para ayudarlos a crecer profesionalmente, a llevar sus carreras al siguiente nivel?

 Confiar en su buen criterio; buscar certificarse, lo que permitirá acreditar su experiencia, crecer profesionalmente, adquirir conocimiento y pericia; y mantenerse siempre en el lado de la rectitud y la ética profesional.

CIBERSEGURIDAD: EE.UU. IMPULSA DEFENSAS MÁS SÓLIDAS PARA LAS EMPRESAS FINANCIERAS

  • Un entorno cibernético debe estar protegido de la misma forma que lo estarían otros activos en una ubicación física.
  • Sistemas de autenticación fuerte con información del usuario.
  • Se puede agregar autenticación multicanal a un sistema de autenticación múltiple.
  • No se deben utilizar conexiones a internet sin protección.
  • Los datos sensibles deben estar cifrados y las protecciones de virus deben actualizarse de manera regular.
  • Es importante educar y capacitar a los empleados, clientes y proveedores.

ALGUNOS MÉTODOS Y MEJORES PRÁCTICAS PARA PREVENIR ESQUEMAS DE CIBERSEGURIDAD Y MITIGAR LOS DAÑOS QUE ESTOS PUEDEN OCASIONAR

 

Proteger el entorno cibernético – Un entorno cibernético debe estar protegido de la misma forma que lo estarían otros activos en una ubicación física. No se deben utilizar conexiones a internet sin protección. Los datos sensibles deben estar cifrados y las protecciones de virus deben actualizarse de manera regular.

Las compañías deben asegurarse de que se utilicen contraseñas complejas y que se actualicen regularmente – Esto puede hacer las cosas más difíciles para los delincuentes financieros que usan técnicas para robar contraseñas, o que tratan de adivinarlas después de haber obtenido otros datos personales.

Autenticación fuerte o usando factores múltiples – Estos son sistemas que requieren múltiples elementos de evidencia para verificar a un usuario antes de darle acceso a una cuenta. Tradicionalmente, un sistema multifactorial requiere 2 de 3 “factores” para que se otorgue el acceso, los cuales pueden ser:
–Información que sabe el usuario (contraseña o información personal)
–Información que tiene el usuario (típicamente una tarjeta o identificador)
–Información propia del usuario (huellas digitales, identificación de voz u otra identificación biométrica)

Autenticación multicanal – Si bien la autenticación mediante factores múltiples es un sistema sólido para la verificación de los usuarios, no siempre es un método práctico. En su lugar, algunas organizaciones usan una autenticación multicanal para verificar la identidad de un usuario o para confirmar una transacción, especialmente si es sospechosa o está por encima de cierto umbral. Un ejemplo simple de autenticación multicanal lo apreciamos cuando una institución le solicita a su cliente que ingrese su nombre de usuario y contraseña y luego un empleado envía un mensaje de texto o llama al cliente para confirmar antes de ejecutar la transacción.

Entender las responsabilidades y obligaciones – Muchos acuerdos de cuentas con un banco o institución financiera recogen detalladamente las medidas de seguridad razonables que se requieren para proteger las cuentas. En algunos casos, estas medidas pueden incluir que los cuentahabientes implementen medidas. Es importante que los clientes entiendan e implementen las defensas de seguridad que aparecen en el acuerdo. Si no lo hacen, podrían ser responsables de las pérdidas que ocurran como resultado de una apropiación fraudulenta de cuenta.

Ciberseguridad: EE.UU. impulsa defensas más sólidas para las empresas financieras

La Comisión de Bolsa y Valores de EE.UU. informó este año a las compañías de servicios financieros qué tipo de prácticas de ciberseguridad ha encontrado durante las auditorías, brindándoles información detallada sobre cómo manejar datos confidenciales y protegerse contra ataques cibernéticos.

Las observaciones de la SEC son las más recientes en una serie de movimientos de reguladores y agencias gubernamentales a nivel internacional que se muestran cada vez más preocupados por las prácticas sobre seguridad cibernética corporativa.

Poco tiempo antes de estas observaciones, la Agencia de Seguridad Nacional publicó una guía sobre cómo las empresas deberían proteger sus servicios basados en la nube. Varios puntos planteados en esa guía son similares a los que recomienda la SEC, como

  1. el uso de la autenticación multifactor,
  2. el mantenimiento de programas de parches, y
  3. el cifrado del tráfico de datos.

Algunos expertos señalan que si bien ciertas áreas que la SEC analiza son valiosas, incluido el asesoramiento sobre la creación de copias de seguridad de datos fuera de línea, algunas de las más sofisticadas herramientas y procesos están fuera del alcance de las empresas más pequeñas.

En una sección que cubre la pérdida de datos, la SEC sugiere que las empresas usen sistemas que puedan detectar y bloquear las transmisiones de datos que contienen información confidencial, como los números de los documentos de identidad o los números de cuenta.

También sugiere controles rigurosos para el acceso a los sistemas, incluido el uso de códigos de acceso generados aleatoriamente para autenticar a las personas y la eliminación inmediata de accesos a un empleado cuando deja una empresa.

El regulador seguramente no espera que todas las compañías bajo su órbita de control implementen todos los enfoques que enumera, y entiende que las empresas más pequeñas enfrentan desafíos con los recursos para la seguridad cibernética.

El informe de la SEC se divide en áreas que incluyen acceso y gestión de proveedores, respuesta a incidentes, seguridad móvil, gobernanza y gestión de riesgos, capacitación de empleados y prevención de pérdida de datos. “Creemos que evaluar su nivel de preparación e implementar algunas o todas [estas] medidas hará que su organización sea más segura”, dice el informe.

Bajo la gestión de proveedores, por ejemplo, la SEC destaca que las empresas deben haber establecido procedimientos para terminar la relación contractual con proveedores de servicios en la nube y otros proveedores, con el fin de preservar los datos necesarios para el cumplimiento de las normativas al pasar de un proveedor a otro.

El informe también dice que las compañías deben comprender claramente los riesgos relacionados con el uso de los proveedores de servicios basados en la nube, y qué parte es responsable para salvaguardar la información confidencial. Los reguladores financieros, incluida la SEC, la Autoridad Reguladora de la Industria Financiera y la Asociación Nacional de Futuros, señalaron recientemente que se están centrando en la seguridad de la nube durante las auditorías de las compañías.

La prevención de pérdida de datos es un enfoque principal de los exámenes de la SEC. En 2019, la SEC envió una serie de encuestas detalladas a asesores de inversión registrados que se centraron en sus acuerdos de seguridad en la nube. Muchos asesores carecían de los tipos de herramientas descritas por la SEC, particularmente en términos de monitoreo cuando se transmitía información confidencial.

LA CIBERSEGURIDAD EN LA AGENDA GLOBAL. REFLEXIONES PARA LAS JUNTAS DIRECTIVAS

  • Con la aparición de tecnologías disruptiva se necesitaa un nuevo esquema de confianza digital.
  • Las juntas directivass deben desaprender los conocimientos previos con respecto a las amenazas de tecnologías para enfocarse en la realidad de una sociedad digital.
  • En el centro se ubica a la dinámica de los datos y sus flujos, y cómo estos afectan la realidad de cada uno de sus grupos de interés.
  • La ciberseguridad deja de jugar un papel operativo y secundario en las discusiones de los ejecutivos, para tener un lugar privilegiado.
  • No existe el riesgo 0, incidentes y eventos van a ocurrir, pero se pueden establecer respuestas parciales para configurar una forma de confianza basada en la inevatibilidad de la falla.

Por Jeimy Cano, Ph.D, CFE
Director Revista SISTEMAS at
Asociación Colombiana de Ingenieros de Sistemas – ACIS

 

El acelerado movimiento de la cuarta revolución industrial, la aparición de tecnologías disruptivas y los usos novedosos de las mismas, así como las nacientes ciudades inteligentes ponen de manifiesto sobre el escenario global, un nuevo tsunami de flujos de datos personales y empresariales, que demandarán el desarrollo y construcción de una nueva confianza digital para cada una de las partes interesadas.

Una confianza que no se debe construir sobre un imaginario ideal de cero riesgos, sino sobre la base de un entorno incierto y volátil, donde incidentes y eventos van a ocurrir, que en la medida que lo aceptemos y lo exploremos en profundidad, podemos advertir nuevas respuestas parciales, para ir configurando una forma de confiar basada en la inevitabilidad de la falla, que podemos denominar confianza digital imperfecta.

Directorios, Juntas Directivas o Consejos de Administración

Bajo este contexto, las juntas directivas de las empresas no sólo deben repensar su gestión de riesgos cibernéticos o ciber riesgos, sino desconectar los aprendizajes previos que han logrado a lo largo de los años sobre la amenazas y tensiones de la tecnología (generalmente asociados con temas operativos), para conectarlos con la realidad de una sociedad digital, donde la convergencia tecnológica, la conectividad y las experiencias hacen la diferencia en cada uno de sus clientes.

Lo que se había aprendido sobre el tratamiento del riesgo en los temas de tecnología de información, si bien no debe ignorarse, es hora de retarlo y transformarlo para entender el nuevo papel de los ciber riesgos, que ahora van más allá del apoyo a los procesos, para convertirse en un vínculo que conecta la realidad interior, con la dinámica exterior de la organización. Esto es, entender que ahora las empresas hacen parte de un ecosistema digital, donde sus acciones afectan a otros y lo que otros hacen o dejan de hacer, también afecta la dinámica de su negocio.

Las juntas directivas, bajo este entendido, ahora deben cambiar la vista disciplinar y mecánica de ver sus reflexiones y reuniones, para motivar una perspectiva interdisciplinar que habilite una visión más ciber sistémica, donde el reto es poder comprender, identificar y anticipar en el nuevo tejido digital empresarial, las posibles amenazas que pueden cambiar el rumbo de los objetivos corporativos o habilitar nuevas posibilidades antes inexploradas por las organizaciones.

El nuevo entorno hiperconectado, con mayor densidad digital, demanda un cambio en la forma como las juntas tradicionalmente han venido orientado a las corporaciones. La acelerada dinámica del cambio, la emergencia de posturas disruptivas y las tensiones geopolíticas internacionales hacen que los conglomerados empresariales repiensen su postura de mitigación de riesgos y continuidad de las operaciones, a una que anticipe eventos y tendencias inciertas y se apoye en la resiliencia del negocio.

Este cambio fundamental, en las perspectivas de los ejecutivos de gobierno corporativo, exige una comprensión distinta y una responsabilidad digital empresarial naciente, que pone en el centro a la dinámica de los datos y sus flujos, y cómo estos afectan la realidad de cada uno de sus grupos de interés. El negocio, si bien estará marcado por las ventajas digitales que se puedan desarrollar con tecnologías novedosa, estará más atento a las implicaciones adversas posibles que afecten a sus distintas partes interesadas, así como el respeto y reivindicación de sus nuevos derechos y deberes digitales.

Si como se afirma en el reciente estudio de Risk Advisory (2020):

“El sistema internacional se está fragmentando cada vez más en grupos que compiten entre sí y se desordenan. El multilateralismo está dando paso gradualmente a un sistema de pactos bilaterales que favorecen a las potencias más fuertes. Con los EE.UU. y China liderando este cambio, los países más pequeños tendrán que tomar medidas para proteger su seguridad, estabilidad e intereses económicos. Sobre todo, teniendo en cuenta que ambas potencias están dispuestas a actuar de forma coercitiva con medios diplomáticos y económicos. Anticipamos que los países más pequeños formarán nuevas alianzas, al tiempo que equilibrarán las relaciones con grandes potencias cada vez más exigentes y vecinos más poderosos”,

es claro que las tecnologías de información jugarán un papel relevante para encontrar puntos de apoyo y estrategias distintas, para consolidar ecosistemas digital clave que permitan desarrollar capacidades estratégicas, que lleven a las empresas, a tomar posiciones y protecciones para operar en un escenario competitivo, donde la disputa por los datos y el uso acelerado de los mismos será el protagonista principal de las nuevas tensiones comerciales, así como las nuevas propuestas de impuestos a las iniciativas digitales que hasta el momento empiezan a despuntar en medio de la fragmentación del sistema internacional y sus nuevos pactos bilaterales.

Si bien luego de consultar a los ejecutivos globales sobre las perspectivas de crecimiento para el inicio de esta nueva década no resultan alentadores (PwC, 2020), por el advenimiento de riesgos y amenazas que se advierten en el horizonte como la “sobre regulación”, las guerras comerciales entre las potencias, la incertidumbre del crecimiento económico, las ciber amenazas emergentes y la volatilidad política internacional, los negocios digitales tomarán mayor fuerza y la exigencia de los clientes por experiencias distintas y mayor facilidad en la solución de sus demandas, será la pauta que muchos directorios ejecutivos tendrán en sus agendas para dar cuenta con los retos que esta nueva realidad le presenta.

En este sentido,

“los riesgos asociados a la tecnología digital son cada vez mayores, ya que las exigencias regulatorias y legales cada vez más complejas hacen que el ejercer un ciber gobierno sea más retador” (UC Berkeley, 2019).

En consecuencia, ser un miembro de junta directiva en la actualidad y en el futuro, no estará determinado necesariamente por su experiencia y el saber particular sobre la vida de las empresas, sino adicionalmente por su capacidad para encontrar el equilibrio entre el beneficio y el propósito de cara al reto social, así como su capacidad para utilizar las tecnologías digitales de la cuarta revolución industrial para crear disrupciones tanto al interior de sus empresas y encontrar nuevos puntos de apalancamiento, colaboración, cooperación y coordinación con los diferentes actores de los ecosistemas digitales actuales y futuros (Deloitte, 2020).

Así las cosas,

“a medida que se intensifica la conexión entre el ciberespacio y la economía real –en medio de los esperados aumentos adicionales de interdependencia, interconectividad y complejidad— aumenta la probabilidad de que un choque externo afecte” (Kaffenberger & Kopp, 2019)

la dinámica empresarial y las perspectivas de negocio que se tienen prevista. De esta forma, la ciberseguridad deja de jugar un papel operativo y secundario en las discusiones de los ejecutivos, para tener un lugar privilegiado que antes no tenía.

Por tanto, comprender el ciber riesgo, como una malla interconectada de situaciones y eventos inciertos, producto de la interdependencia, interconectividad y complejidad de las relaciones de los diferentes participantes de un ecosistema digital, cambia la dinámica conocida de los riesgos, ahora incluyendo a los terceros de confianza, aliados estratégicos, competidores y contrapartes. Lo anterior, debe llevar a superar una vista estática de los riesgos empresariales, que ahora atravesados por la realidad del contexto ciber, habilitan posibilidades de riesgos sistémicos que pueden causar, no sólo afectaciones locales de las empresas, sino eventos de contagio generalizado que pueden socavar la confianza y reputación de un sector o una nación.

En resumen, si

“la proliferación de datos recopilados y almacenados durante largos períodos de tiempo en todo tipo de organizaciones y a través de las fronteras internacionales está aumentando exponencialmente los desafíos operativos relacionados con el seguimiento, el almacenamiento y la protección de datos, y los errores accidentales en la forma en que las organizaciones manejan estas operaciones pueden revelar inadvertidamente información considerada como privada o de propiedad” (Protiviti, 2020),

se confirma que la juntas directivas no pueden ser ajenas al nuevo reto del “ciber gobierno corporativo”, donde la responsabilidad y la disciplina frente a las tecnologías emergentes, los cambios geopolíticos y las tensiones económicas debe marcar la pauta en el ejercicio de gobierno que demanda una realidad ciber.

Ya no un gobierno de soluciones y prácticas preestablecidas, sino de resiliencia digital, que asuma como propio el reto de los derechos digitales individuales, desarrolle responsabilidad digital empresarial y sobre todo, construya un lenguaje desde la inevitabilidad de la falla que lleve a un plan de acción basado en:

  • Liderazgo resiliente
  • Escenarios y simulaciones
  • Cultura de aprendizaje/desaprendizaje

Referencias:

Deloitte (2020) The Fourth Industrial Revolution. At the intersection of readiness and responsibility. Deloitte Insights.
Kaffenberger, L. & Kopp, E. (2019) Cyber Risk Scenarios, the Financial System, and Systemic Risk Assessment. Working Paper. Carnegie endowment for international peace.
Protiviti (2020) Executive perspectives on top risks 2020. Key issues being discussed in the boardroom and C-suite. Research report.
PwC (2020) Navigating the rising tide of uncertainty. 23rd Annual Global CEO Survey. Survey Report.
RiskAdvisory (2020) Strategic Outlook 2020. Research report.
UC Berkeley (2019) Resilient governance for board of directors. Considerations for effective oversight of cyber risk. Berkeley’s Center for Long-Term Cybersecurity (CLTC) – Booz Allen Hamilton. Research report.

EL CRECIENTE PAPEL DE LA INTELIGENCIA ARTIFICIAL EN EL MUNDO DE COMPLIANCE VIRTUAL

  • La inteligencia artificial puede reducir la carga para los profesionales cibernéticos
  • Falta de talento y profesionales capacitados en inteligencia artificial y machine learning es un gran desafío
  • Los enfoques tradicionales necesitan modernizarse para hacer frente a las nuevas amenazas cibernéticas
  • La inteligencia artificial sirve para ver los datos de manera agregada y encontrar anomalías que podrían no levantar sospechas por sí mismas
  • Identificar las desviaciones de los patrones esperados
  • Es probable que los ciberdelincuentes también estén aprovechando la IA

Al agregar grandes cantidades de datos y descubrir patrones sutiles, la IA puede reducir la carga sobre los profesionales cibernéticos humanos y ayudar a crear organizaciones más resistentes.

Las amenazas cibernéticas han puesto a prueba la resistencia de las organizaciones de todo el mundo, pero el cambio creciente hacia formas virtuales de trabajo está alterando drásticamente el panorama de amenazas. Cada vez más, la IA puede proporcionar asistencia valiosa en la carrera para detectar nuevas amenazas.

El mundo cibernético es una realidad y las falencias con respecto al talento de los proresionales en la industria cibernética sigue siendo un desafío. Los delincuentes cibernéticos pueden intentar miles de veces atacar cualquier vulnerabilidad cibernética, y con que solo tengan éxito una vez habrán logrado su cometido, en este sentido las organizaciones deben ser exitosas en sus defensas todas las veces.

En materia de las amenazas en ciberseguridad que la evolución de la inteligencia artificial puede asistir, existe el enorme desafío que enfrentan las compañías de no saber por dónde comenzar. Los enfoques convencionales no pueden abordar las ciberamenazas.

La IA puede permitir técnicas como el análisis de comportamiento que identifiquen la actividad y los patrones que las empresas deberían buscar dentro de los datos estructurados y no estructurados.

Hay demasiadas amenazas y demasiados escenarios para evaluar utilizando enfoques estrictamente manuales, pero aún se necesitan humanos para ayudar a comprender el elemento de riesgo, para contextualizarlo y finalmente actuar sobre él.

La combinación del elemento humano con la IA es el gran beneficio

Los delincuentes no hacen un solo intento y luego se rinden y en este sentido la IA puede permitir ver los datos de tráfico de la red de manera agregada y encontrar anomalías que podrían no levantar sospechas por sí mismas pero, en conjunto, pueden indicar un problema. Una de las fortalezas de la IA es poder identificar esos patrones subyacentes en minutos y horas versus días, semanas o incluso meses.

La IA es especialmente útil en la detección de amenazas y malware porque puede ayudar a identificar las desviaciones de los patrones esperados y no solo detectar dicho comportamiento, sino también proporcionar cursos de acción.

Con el aprendizaje automático y el análisis de comportamiento, se pueden buscar tendencias, patrones y actividades en un entorno disparejo y con múltiples representaciones, no solo aprovechando información histórica o actual, sino también proporcionando predicciones basadas en las tendencias mismas para crear «inteligencia» en el paradigma de seguridad.

Comprender los hábitos de los ciberdelincuentes puede permitir a las organizaciones aprender continuamente lo que es necesario para dar sentido a los datos –a menudo no estructurados— y los patrones subyacentes. Para mantenerse en la vanguardia de los desafíos, las organizaciones deben tener en cuenta a estas nuevas tendencias como estrategias ofensivas.

Se necesita que los profesionales y la tecnología trabajen en tándem, de la mano para ser más asertivos en el control de las amenazas cibernéticas.

El valor de la IA está en clasificar entre montañas de datos y poner el aprendizaje automático a separar las parcelas para que los analistas o científicos de datos puedan ver subconjuntos mucho más pequeños para encontrar significado y actuar.

Desafortunadamente, los delincuentes también continúan refinando sus tácticas también. Combinado con la escasez de talentos cibernéticos y los enormes volúmenes de datos que existen hoy en día, existe una gran preocupación por la capacidad de monitorear y detectar tales situaciones. Algunos delincuentes también tienen a las estructuras de los países financiando sus iniciativas, aumentando aún más su capacidad.

Es probable que los ciberdelincuentes también estén aprovechando la IA, especialmente como un medio para construir algoritmos para perseguir ataques y hacer que estos sean más eficientes. Para mantenerse a la vanguardia del desafío, o al menos mantener el ritmo, las organizaciones deben emplear técnicas similares y continuar evolucionando sus modelos de pensamiento y de negocios. El uso de IA combinado con el poder del pensamiento humano puede ayudar a aumentar la resiliencia y obtener los resultados más efectivos.

EL GAFILAT Y LOS FENÓMENOS QUE PUDIERAN TRADUCIRSE EN RIESGOS DE LA/FT DERIVADOS DEL COVID-19

  • Aumento de fraudes financieros y estafas
  • Tráfico de medicamentos falsificados
  • Inversiones fraudulentas
  • Fraudes y estafas con planes de ayuda financiera de los gobiernos
  • Crecimiento de delitos relacionados con corrupción
  • Aumento de las operaciones financieras remotas o no presenciales y compra de productos y servicios por medios electrónicos o en línea
  • Reducción en el volumen de los reportes de operaciones sospechosas
  • Aumento de medios de financiamiento informales
  • Situaciones de usura o prácticas abusivas
  • Reclutamiento de personas por parte de las organizaciones criminales
  • Abuso de Organizaciones sin Fines de Lucro (OSFL)
  • Reducción de agentes fiscalizadores en materia ALA/CFT
  • Cese o disminución temporal de funciones de personal de cumplimiento en el sector privado
  • Nuevas estrategias de supervisión;

Son solo algunas de las mejores prácticas, preocupaciones y observaciones que deja el reciente documento elaborado por el GAFI sobre los posibles riesgos emergentes que resulten a causa de la situación sanitaria mundial y cómo cerrar las puertas que este fenómeno y las medidas para mitigarlo han abierto.

La contingencia que se vive a nivel mundial por el coronavirus (Covid-19) ha hecho que organismos internacionales alerten sobre los riesgos de lavado de dinero que se pueden dar a partir de esta problemática. Para el Grupo de Acción Financiera Internacional de Latinoamérica (Gafilat), la preocupación está en las estafas, robo de información y actos de corrupción.

En este sentido, este organismo regional insta a sus países miembros y a la comunidad internacional en general a cerrar las filas en estrecha colaboración con el sector privado y los distintos actores relevantes a fin de fortalecer los sistemas ALA/CFT utilizando un enfoque basado en riesgo, a fin de abordar las amenazas y vulnerabilidades que pudieran emerger a causa de la situación mundial actual.

Sube delito financiero por llegada del COVID -19
MSN.com

Como resultado del esfuerzo por identificar nuevos riesgos y, derivado del monitoreo que se ha realizado con los países miembros y con la comunidad internacional (en especial concordancia con las medidas informadas por el GAFI), se han identificado algunos fenómenos que pudieran traducirse en riesgos de LA/FT derivados de la pandemia del COVID-19:

  • Se anticipa el aumento de fraudes financieros y estafas, el tráfico de medicamentos falsificados y la oferta de inversiones fraudulentas en modalidad de esquemas ponzi aprovechando la incertidumbre económica y los miedos causados por la pandemia.
  • Asimismo, la mayoría de los gobiernos de la región, han aprobado unos planes de ayuda financiera, tanto para las empresas como para el ciudadano común, se prevén posibles fraudes y estafas asociados a estos, así como robo de datos para accesos ilícitos a las cuentas de bancos, por medio de llamadas telefónicas y sitios web falsos, etc.
  • Se prevé un posible repunte en delitos relacionados con corrupción, por ejemplo, ante la realidad actual, el estado debe destinar grandes sumas de dinero para la adquisición de los insumos que requiere el sector salud para afrontar la pandemia, por la necesidad y urgencia que supone un estado de emergencia nacional, los procedimientos de adquisición de bienes son flexibilizados, lo que supone un mayor riesgo de corrupción.
  • Aumento sustancial de las operaciones financieras remotas o no presenciales y compra de productos y servicios por medios electrónicos o en línea, lo cual podría ser aprovechado por los delincuentes para realizar fraudes y delitos cibernéticos.
  • Se anticipa reducción en el volumen de los reportes de operaciones sospechosas recibidos y posible el retraso en la obtención de información adicional requerida para el análisis o investigaciones en curso.
  • Con el fin de obtener fondos y recursos para cubrir sus necesidades básicas, la población puede aumentar el uso de servicios de casas de empeño, prestamistas, así como medios de financiamiento informales que, por lo tanto, pudieran ser más susceptibles para ser utilizadas en actividades ilegales en específico para LA/FT. También pueden emerger situaciones de usura o prácticas abusivas de diversa índole.
  • Derivado de las necesidades económicas de la población y la falta de empleo formal e informal, producto de la inactividad económica generada por la crisis sanitaria, las organizaciones criminales podrían estar aumentando el reclutamiento de personas para apoyarlas en la ejecución de sus actividades criminales que generan recursos susceptibles a ser lavados.
  • Posibles riesgos relacionados con mal uso y abuso de las Organizaciones sin Fines de Lucro (OSFL), por el aumento en la actividad de dichas organizaciones.
  • Reducción de staff que puede mermar temporalmente la capacidad de análisis o investigaciones en curso.
  • Reducción temporaria del plantel de agentes fiscalizadores en materia ALA/CFT, lo que puede impactar en el alcance, profundidad y frecuencia de las supervisiones de los sujetos obligados.
  • Desafíos en la operatividad del sector privado por el cese o disminución temporal de funciones que involucran la actividad presencial de sus recursos humanos, lo que pudiera dificultar el mantenimiento óptimo de sus sistemas ALA/CFT;
  • Debido al cierre temporal o intermitencia en alguno de los servicios y actividades económicas y sectores financieros se podría plantear nuevos retos para asegurar que los sujetos obligados estén cumpliendo con sus obligaciones de ALA/CFT, surgiendo la necesidad de establecer nuevas estrategias de supervisión;

Aumento sustancial de las operaciones financieras remotas o no presenciales y compra de productos y servicios por medios electrónicos o en línea

Mejores Prácticas y Mitigadores

Por otro lado, a fin de garantizar el legítimo funcionamiento de los diferentes sectores, sobre todo aquellos de vital importancia ante esta crisis sanitaria, se identificaron las siguientes buenas prácticas y medidas mitigantes en respuesta a los problemas comunes que enfrentan los países de la región y la comunidad internacional:

  • Mantener un constante contacto y acompañamiento de los reguladores, supervisores, unidades de inteligencia financiera, autoridades policiales y otras autoridades relevantes a fin de brindar orientación y asistencia al sector privado sobre cómo aplicar las regulaciones y regulaciones nacionales ALA/ CFT durante la crisis actual.
  • Asimismo, mantener comunicación de manera remota con los sujetos obligados con el objeto de identificar nuevas tendencias y riesgos, y acordar medidas para mitigarles de manera estratégica y en función al grado de riesgo. Emitir comunicados públicos en donde se alerte sobre potenciales amenazas y prácticas abusivas asociadas a la explotación de la crisis del COVID-19.
  • Fortalecer la aplicación del enfoque basado en el riesgo en materia de supervisión ALA/CFT.
  • Fomentar la aplicación de un enfoque basado en riesgo para simplificar medidas sonde se detecten menores riesgos y fortalecer las mismas en caso contrario.
  • Garantizar, en lo posible, la operación de autoridades relevantes utilizando tecnologías para realizar funciones a distancia, firmas digitales y estableciendo guardias para actividades esenciales que requieren de la presencia física de funcionarios.
  • Fomentar el uso responsable de servicios digitales financieros y no financieros guardando un balance entre el acceso a dichos servicios y las medidas de prevención al LA/FT;
  • Procurar mayor y mejor monitoreo y transparencia en las transacciones financieras, sobre todo las electrónicas y de orden internacional;
  • Fortalecer la cooperación internacional entre autoridades competentes, particularmente a través de mecanismos ágiles y expeditos, con el objeto de compartir buenas prácticas aplicadas en el marco de esta crisis, información sobre amenazas emergentes y vulnerabilidades, y medidas efectivas para contrarrestarlas.
  • Fomentar el uso de la identidad digital, según corresponda, para ayudar a las transacciones financieras y de activos virtuales, procurando implementar las medidas ALA/CFT con un enfoque basado en riesgo;
  • Fortalecer el monitoreo de las operaciones realizadas por las Organizaciones Sin Fines de Lucro (OSFL) a fin de garantizar a los donantes que sus aportes llegarán a los beneficiarios previstos; y
  • Velar por la integridad y buen funcionamiento de los bancos, transmisores de dinero y otros sectores financieros mediante medidas tecnológicas que aseguren una debida diligencia basada en el riesgo que representen sus clientes y usuarios, así como los diferentes productos y servicios que ofrecen;

Como parte del ejercicio de monitoreo continuo de la Secretaría Ejecutiva del GAFILAT hacia sus países miembros, se ha mantenido comunicación con los puntos de contacto de la Red de Recuperación de Activos del GAFILAT (RRAG), a fin de poder proporcionar apoyo ante cualquier eventualidad para dar respuesta oportuna y precisa a las solicitudes de información. GAFILAT insta a que se continúe haciendo uso de las herramientas disponibles para brindar cooperación internacional dentro de las posibilidades, dando prioridad a los pedidos urgentes.

COREA DEL NORTE Y LOS ATAQUES CIBERNÉTICOS A INSTITUCIONES FINANCIERAS

El FBI y los Departamentos de Estado, de Tesoro y de Seguridad Nacional de Estados Unidos emitieron en forma conjunta una advertencia de alerta sobre la actividad cibernética maliciosa de Corea del Norte que ofrece recomendaciones sobre cómo mitigar las amenazas.

Se cree que Corea del Norte ha intentado robar hasta US$ 2.000 millones en estos ataques cibernéticos, y utiliza el botín para financiar su programa de misiles.

El país asiático, anteriormente conocido como la República Popular Democrática de Core, ha utilizado previamente ciberataques—como el ataque de ransomware Wannacry 2.0— para atacar y robar a instituciones financieras de todo el mundo.

En particular, Estados Unidos mostró su preocupación por las actividades cibernéticas maliciosas de Corea del Norte, a las que el gobierno de EE. UU. se refiere como Hidden Cobra o Cobra Oculta.

Según EE.UU. Corea del Norte tiene la capacidad de realizar actividades cibernéticas disruptivas o destructivas que terminen afectando la infraestructura crítica de EE.UU.

Corea del Norte también utiliza capacidades cibernéticas para robar a las instituciones financieras, y ha demostrado un patrón de actividad cibernética disruptiva y dañina que es totalmente inconsistente con el creciente consenso internacional sobre lo que constituye el comportamiento responsable de los Estados en el ciberespacio.

En diciembre de 2017, Australia, Canadá, Nueva Zelanda, Estados Unidos y el Reino Unido atribuyeron públicamente el ataque de ransomware WannaCry 2.0 a Corea del Norte y denunciaron la actividad cibernética dañina e irresponsable de este país. Dinamarca y Japón emitieron declaraciones de apoyo para la denuncia conjunta del destructivo ataque de ransomware WannaCry 2.0, que afectó a cientos de miles de computadoras en todo el mundo en mayo de 2017.

Operaciones de ciberataque atribuidas públicamente a Corea del Norte por el gobierno de EE.UU.

Corea del Nore ha apuntado repetidamente a redes gubernamentales y militares de EE. UU., así como redes relacionadas con entidades privadas e infraestructura crítica, para robar datos y realizar actividades cibernéticas destructivas y disruptivas. Hasta la fecha, el gobierno de EE. UU. ha atribuido públicamente los siguientes incidentes cibernéticos a los ciberconspiradores y coconspiradores patrocinados por el país asiático:

  • Sony Pictures. En noviembre de 2014, actores cibernéticos patrocinados por Corea del Norte supuestamente lanzaron un ataque cibernético contra Sony Pictures Entertainment (SPE) en represalia por la película de 2014 «The Interview».
  • Bangladesh Bank. En febrero de 2016, actores cibernéticos patrocinados por Corea del Norte supuestamente intentaron robar al menos US$ 1.000 millones de instituciones financieras de todo el mundo y supuestamente robaron US$ 81 millones del Banco de Bangladesh a través de transacciones no autorizadas en la red de la Sociedad de Telecomunicaciones Financieras Interbancarias Mundiales (SWIFT).
  • WannaCry 2.0. actores cibernéticos patrocinados Corea del Norte desarrollaron el ransomware conocido como WannaCry 2.0, así como dos versiones anteriores del ransomware. En mayo de 2017, el ransomware WannaCry 2.0 infectó cientos de miles de computadoras en hospitales, escuelas, empresas y hogares en más de 150 países.
  • Campaña FASTCash. Desde finales de 2016, los actores cibernéticos patrocinados por Corea del Norte han empleado un esquema fraudulento de retiro de efectivo en cajeros automáticos conocido como «FASTCash» para robar decenas de millones de dólares de cajeros automáticos en Asia y África.
  • Hackeo de cambio de moneda digital. Como se detalla en las acusaciones expuestas en una demanda del Departamento de Justicia por confiscación real, en abril de 2018, actores cibernéticos patrocinados por Corea del Norte piratearon un cambio de moneda digital y robaron casi US$ 250 millones en moneda digital.

Medidas para combatir las ciberamenazas de Corea del Norte

Corea del Norte apunta a la infraestructura cibernética a nivel mundial para generar ingresos para obtener financiamiento. EE.UU. insta a los gobiernos, la industria, la sociedad civil y sociedad en general que tomen todas las acciones relevantes para protegerse y contrarrestar la amenaza cibernética, entre las que se incluyen:

  • Concientizar sobre la amenaza cibernética de Corea del Norte. Destacar la gravedad, el alcance y la variedad de actividades cibernéticas maliciosas llevadas a cabo por Corea del Norte aumentará la conciencia general de los sectores público y privado sobre la amenaza y promoverá la adopción e implementación de medidas preventivas y de mitigación de riesgos apropiadas.
  • Compartir información técnica sobre las amenazas cibernéticas. El intercambio de información tanto a nivel nacional como internacional para detectar y defenderse contra la amenaza cibernética permitirá una mayor seguridad cibernética de redes y sistemas. Las mejores prácticas deben compartirse con los gobiernos y el sector privado.
  • Implementar y promover las mejores prácticas de ciberseguridad. La adopción de medidas, tanto técnicas como de comportamiento para mejorar la ciberseguridad hará que la infraestructura cibernética global sea más segura y resistente. Las instituciones financieras, incluidas los negocios de servicios monetarios, deben tomar medidas independientes para protegerse contra las actividades cibernéticas de la RPDC maliciosa.
  • Notificar a las autoridades de ley. Si una organización sospecha que ha sido víctima de una actividad cibernética maliciosa, que se origina en Corea del Norte u otro lugar, es fundamental notificar inmediatamente a las autoridades.
  • Fortalecer el cumplimiento ALD/CFT/CPF. Los países deben implementar de manera rápida y efectiva las normas del Grupo de Acción Financiera (GAFI) sobre ALD / CFT / CPF. Esto incluye garantizar que las instituciones financieras y otras entidades cubiertas empleen medidas de mitigación de riesgos en línea con los estándares del GAFI y las declaraciones y orientaciones públicas del GAFI.

ACTUALIZACIÓN PARA EXAMINADORES ALD/CFT: ¿ESTÁ CAMBIANDO EE.UU. DE UN PROGRAMA DE CUMPLIMIENTO “EFECTIVO” A UNO “ADECUADO”?

  • En la última edición del manual de examen de cumplimiento de delitos financieros para las agencias de EE.UU., algunos profesionales ALD/CFT ven un cambio entre lo que significaba el impulso global para crear programas «efectivos» para algo más básico como conformarse con programas simplemente «adecuados».
  • Lo que dice el manual de examen ALD/CFT de FFIEC tiene una gran importancia, ya que es la biblia definitiva de la industria por la cual se juzgan los programas de cumplimiento, qué acciones formales se toman e incluso la posibilidad de grandes sanciones si se encuentran graves fallas.
  • La actualización 2020 no cubre todas las páginas de la versión de 2014, pero agrega 43 páginas detalladas que cubren algunas de las áreas de examen «básicas» y «clave», incluida la evaluación de riesgos, programa ALD/CFT en general, formando conclusiones y finalizando el examen.
  • Sin embargo, el manual actualizado, aunque es una gran mezcla, tiene una línea que podría hacer alegrar a más de un equipo de cumplimiento: «Las debilidades menores, deficiencias y violaciones técnicas por sí solas no son indicativas de un inadecuado programa de cumplimiento ALD/CFT».

Por Brian Monroe
bmonroe@acfcs.org
20 de abril de 2020

En la última edición del manual de examen de cumplimiento de delitos financieros para las agencias de EE.UU., algunos profesionales ALD/CFT ven un cambio entre lo que significaba el impulso global para crear programas «efectivos» para algo más básico como conformarse con programas simplemente «adecuados».

Esa es solo una de las conclusiones principales de la última actualización del Manual de Examen de la Ley de Secreto Bancario / BSA / AML del Consejo de Examen de Instituciones Financieras Federales (FFIEC), un documento ampliamente examinado y consultado por todo el arco de funcionarios y actores del sector financiero que se hizo público la semana pasada

Los cambios que se realicen al manual del examinador serán puntos clave para los reguladores y examinadores. Para leer el manual del examen AML 2014, haga clic aquí.

En general, el manual del examen es una mezcla para los profesionales, ya que agudiza y aclara algunas expectativas relacionadas con la clasificación de riesgos de los clientes, el monitoreo y las pruebas de transacciones y la medición de la efectividad general del programa, pero aún deja algunos puntos fundamentales ALD/CFT, incluidas algunas métricas muy necesarias en relación con la revisión independiente, también llamada auditoría, innecesariamente vagas.

El manual también hace un uso mucho más liberal de la palabra «adecuado» en términos de expectativas de examen para las cinco puntas del programa, en lugar de usar el término «efectivo» como en versiones en el pasado.

Eso plantea la pregunta: con el GAFI, el Grupo Wolfsberg y otros organismos de control, regulación y formulación de políticas líderes presionando hacia un estándar de «efectividad» para el cumplimiento de ALD/CFT, ¿está EE. UU. retrocediendo a un simple «adecuado» en su último manual de examen?

Algunos dicen que la respuesta es sí.

«Creo que, lamentablemente, están trabajando para reducir las expectativas», dijo Sarah Beth Felix, fundadora y presidenta de Palmera Consulting.

«Como se puede ver, FinCEN no participó en la actualización», señala. “Literalmente van en dirección opuesta hacia donde se dirige el resto del mundo. Wolfsberg, GAFI, etc., todos han comenzado a centrarse en la efectividad y ahora estamos bajando los estándares para los examinadores y para que los examinadores estén de acuerdo con los estándares bancarios más bajos».

 

 

«Creo que [los reguladores] están trabajando para reducir las expectativas, desafortunadamente», en el último manual de examen ALD/CFT.

Sarah Beth Felix, founder, Palmera Consulting

Con el cambio en los estándares, la industria debe replantear algunas cuestiones

El FFIEC no actualizó el manual completo de más de 440 páginas de procedimientos «básicos» y «ampliados», sino que cambió partes clave del «pilar» en 43 páginas, que cubren «Alcance y planificación»; «Evaluación de riesgos BSA / AML»; «Evaluación del programa de cumplimiento BSA / AML»; y «Desarrollo de conclusiones y finalización del examen».

Algunos de los cambios, según el análisis realizado por algunas importantes profesionales en la industria, incluidos Jim Richards, Sarah Beth Felix y Dev Odedra, incluyen:

Estándar de efectividad versus adecuación: mientras que el manual de 2014 exige que los oficiales de AML creen un programa «efectivo» y «sólido», en muchos casos donde se usó la palabra «efectivo», el manual de 2020 ha cambiado la palabra a «adecuado».

Leer entre líneas: el manual de 2020 cambia la terminología que algunos consideraron confusa, pidiendo a los oficiales ALD/CFT que busquen riesgos de «lavado de dinero y financiamiento del terrorismo (LD / FT), en lugar de buscar, en el antiguo manual,» riesgos de BSA / ALD».

Calidad versus Calidad: el manual 2020, en un claro guiño a la frustración de las partes interesadas, agregó la palabra «cuantificar» al proceso de evaluación de riesgos, abriendo la puerta a sectores más fino de riesgo, particularmente para las áreas consideradas de mayor riesgo para el dinero lavado de dinero, como transferencias extranjeras y cuentas corresponsales.

Oficial de Cumplimiento: la edición 2020 le da más espacio a la figura de oficial de cumplimiento ALD/CFT, brindando indicadores más precisos de lo que un examinador debe revisar al evaluar la autoridad, los recursos y el conocimiento, dejando en claro a la junta directiva o consejo de administración que simplemente el nombramiento de un oficial de cumplimiento, sin el apoyo adecuado, no es suficiente.

Fuerza de negociación: el manual 2020 también parece abordar una de las mayores críticas a los exámenes en las últimas décadas: la muerte por mil recortes. En resumen, esa dinámica es donde los examinadores buscan todos los tropiezos de un banco perdiendo de vista lo que realmente hizo para combatir el crimen. Un estándar «adecuado» también podría dar a los oficiales ALD/CFT más influencia en la mesa de negociación cuando los examinadores encuentran fallas.

Para regocijo de la gente: la línea que probablemente hará que los oficiales ALD/CFT salten de alegría y les abra la puerta para hacer cambios en la innovación: “Las debilidades menores, deficiencias y violaciones técnicas por sí solas no son indicativas de un cumplimiento inadecuado del programa BSA / ALD y no debe comunicarse como tal «, según el manual actualizado.

«En las secciones de cuatro ‘pilares’ actualizadas en la versión 2020 del manual, las palabras ‘efectivo’ o ‘efectividad’ aparecen cuatro veces en 43 páginas. Esas palabras aparecieron 17 veces en la versión anterior de 2014», del manual del examen ALD.

Jim Richards, ex jefe ALD/CFT de Wells Fargo

En contramano, los organismos de control mundial hacen hincapié en el estándar de efectividad

La más reciente versión del manual del examen, publicado por primera vez en 2005 y que ha sido revisado y reeditado cuatro veces desde entonces, con la última edición completa publicada en noviembre de 2014, se publica en un momento difícil para los profesionales de delitos financieros, que se encuentran haciendo malabarismos entre las obligaciones de cumplimiento ALD/CFT y la lucha contra la pandemia mundial del COVID 19.

Sin embargo, la actualización no ofrece ninguna guía nueva sobre lo que los examinadores esperarán, o lo que los bancos deberían hacer, para equilibrar mejor los equipos de cumplimiento que se han dispersado mientras trabajaban desde los hogares –o que incluso han sido reducidos a medida que algunas instituciones participan en despidos generales como resultado de una economía en caída.

El FFIEC solo toca la pandemia tangencialmente, con una visión que intenta mitigar las críticas pasadas de que el manual, y realmente cualquier orientación ALD, son simplemente nuevas leyes y requisitos que se dejan caer sobre la industria sin pasar por procesos de revisión y reglamentación del Congreso.

«Las agencias son conscientes de la incertidumbre que enfrentan las instituciones financieras durante este tiempo sin precedentes», señala el FFIEC en un comunicado. «La actualización del manual, que apoya un trabajo personalizado de fiscalización por parte de los examinadores, ha estado en proceso durante un período prolongado y no debe interpretarse como nuevas instrucciones o como un enfoque nuevo o aumentado».

Si bien es probable que sea más fácil para un banco en dificultades elaborar un programa ALD/CFT «adecuado» durante la crisis del coronavirus, ese estándar va en contramano con el impulso global para centrarse más en la «efectividad» que en el cumplimiento técnico.

GRUPO WOLFSBERG: NUEVO CUESTIONARIO DE DILIGENCIA DEBIDA PARA LA BANCA CORRESPONSAL

El Grupo Wolfsberg anunció el lanzamiento de una nueva versión del Cuestionario de Debida Diligencia de la Banca Corresponsal (CBDDQ, por sus siglas en inglés) junto con preguntas frecuentes de apoyo actualizadas y orientación para el desarrollo de capacidades.

En respuesta tanto a un aumento en las expectativas regulatorias como a un llamado a la acción del Grupo de Coordinación de Banca Corresponsal (CBCG) del Comité de Estabilidad Financiera (FSB), el Comité de Pagos e Infraestructura de Mercado (CPMI) y el Grupo de Acción Financiera (GAFI), el Grupo Wolfsberg revisó su cuestionario de Banca Corresponsal 2014 y emitió esta nueva guía CBDDQ.

El objetivo es generar consistencia a través de la interpretación correcta de las preguntas. En última instancia, el Grupo espera que las entidades de banca corresponsal garanticen que la calidad de los datos recopilados sea precisa y consistente.

Los cambios en el CBDDQ han sido incrementales y se centran en mejorar su facilidad de uso y su legibilidad.

El Grupo Wolfsberg pide a la industria bancaria y a los supervisores para que continúen acelerando la adopción del CBDDQ como el estándar para la actividad de corresponsalía bancaria de mayor riesgo.

Como primeros usuarios del CBDDQ, los bancos miembros del Grupo Wolfsberg han estado incorporando el cuestionario en sus programas de debida diligencia y los bancos corresponsales clientes deberían, si aún no lo han hecho, utilizar el CBDDQ y tomar en cuenta que el cuestionario Wofsberg AML no será considerados suficientes por sus corresponsales.

COBERTURA DE COVID-19: AUMENTAN LAS DENUNCIAS POR FRAUDE, LA FTC OFRECE CONSEJOS Y NUEVOS RECURSOS

  • La Comisión Federal de Comercio de Estados Unidos (FTC) ha visto que las denuncias por fraude vinculadas a la pandemia de coronavirus se disparan en las últimas semanas, saqueando a las víctimas de casi US$ 5 millones hasta ahora en 2020.
  • Los damnificados son blanco de llamadas fraudulentas y otros fraudes relacionados con phishing, vishing y COVID-19, según los datos de la FTC.
  • Los fraudes se han vuelto tan frecuentes que la FTC ha creado una «Tarjeta de Bingo Scam», con la esperanza de ayudar a armar al país contra los estafadores y brindar una oportunidad para que las víctimas y posibles víctimas compartan historias de guerra.
  • En la ofensiva, en los últimos meses, la FTC también ha enviado cartas de advertencia a docenas de proveedores de VoIP, diciéndoles que dejen de prestar servicios a los estafadores, o que se les bloquee el funcionamiento.

Para contrarrestar el aumento de llamadas y esquemas fraudulentos relacionados con la pandemia global de COVID-19, que saquea a los consumidores de EE.UU, de casi US$ 5 millones, la Comisión Federal de Comercio ha reaccionado a la defensiva, brindando consejos para contrarrestar a los estafadores, incluida una «Tarjeta de Bingo Scam» y ha pasado a la ofensiva al advertir a docenas de empresas que no sean un portal para la comisón de estafas.

Por Brian Monroe
bmonroe@acfcs.org
5 de abril de 2020

Los desafíos para los profesionales de cumplimiento de delitos financieros para proteger a sus instituciones y a sus clientes, solo están aumentando a medida que estafadores y piratas informáticos intentan aprovechar el miedo y la incertidumbre de una pandemia mundial aún en expansión, según una importante agencia gubernamental.

Desde principios de año, la Comisión Federal de Comercio de los Estados Unidos (FTC) ha recibido casi 8.000 quejas/denuncias de consumidores sobre estafas relacionadas con COVID-19, y los consumidores declararon que han perdido casi US$ 5 millones, una pérdida media de poco menos de US$ 600 por persona.

La FTC destaca que los fraudes relacionados con el coronavirus se han vuelto tan malos y frecuentes que los funcionarios han creado una «Tarjeta de Bingo Scam» o «Scam Bingo».

Para leer la historia completa de la FTC sobre la tarjeta de bingo, haga clic aquí.

Entre el 1 de enero y el 2 de abril, las principales categorías de quejas por fraude relacionadas con el coronavirus incluyen

  • informes relacionados con viajes y vacaciones sobre cancelaciones y reembolsos,
  • informes sobre problemas con las compras en línea,
  • estafas de mensajes de texto móviles, y
  • estafas de impostores gubernamentales y comerciales

En general, desde enero, la FTC ha recibido más de 7.800 informes relacionados con el coronavirus de los consumidores, el doble de lo que eran solo una semana antes, la agencia declaró el 31 de marzo. Para leer el informe completo de la FTC, haga clic aquí.

En las denuncias de fraude que mencionaron el coronavirus, los consumidores informaron que perdieron un total de US$ 4.77 millones, con una pérdida promedio reportada de US$ 598.

Las estafas de COVID-19 «están creciendo» dice la FTC

«Las estafas relacionadas con el Coronavirus están creciendo», según la FTC, y agregó que las estafas pueden venir en una variedad de formas, señaladas en la tarjeta de bingo, que incluyen:

  • Refinanciación refrita: algunos estafadores prometen la refinanciación de la hipoteca.
  • Reducción de deuda: obtenga la condonación de una deuda, previo pago de una comisión, por supuesto.
  • Phishing social: usted puede detectar estafas de phishing, donde los estafadores intentan obtener información de identidad u otra información financiera.
  • Aceite de serpiente et al.: los estafadores le garantizarán el acceso a una vacuna COVID-19 (recuerde: todavía no hay vacuna, por lo que definitivamente no hay acceso).
  • Medi(don’t)care (servicio de salud de EE.UU.): podrían decir que son de Medicare (no lo son) con un kit de salud y la vacuna.
  • Juego de números: Dirán que son de la Administración del Seguro Social (no), y le informarán que hay un problema con su SSN (no lo son).
  • Luces apagadas: algunos estafadores incluso podrían estar ejecutando algunos de sus trucos favoritos: soporte técnico, servicios públicos o estafas de tasas de interés más bajas.

La FTC insta a potenciales víctimas, ahora jugadores de bingo fraudulentos de COVID-19, a imprimir o guardar esta tarjeta de bingo y compartirla en las redes sociales (#FTCchetBingo).

El juego, aunque agrega un poco de ligereza, es una forma de abordar un tema muy serio.

La FTC afirmó que la tarjeta de bingo es una «forma en que las posibles víctimas pueden detectar algunas de esas llamadas fraudulentas que podrían estar recibiendo. Y es una forma de correr la voz para ayudar a proteger a otros en su comunidad. Marcar los estafadores que una víctima pudo identificar, junto con los pasos que tomó para detenerlos».

El novedoso coronavirus, identificado por primera vez en Wuhan China en diciembre, ha saltado en los últimos meses a través de las fronteras internacionales y se ha cementado en puntos de anclaje en Italia, España y ahora la jurisdicción con los casos más confirmados: Estados Unidos, donde se reportaron 338.995 casos positivos y 10.335 muertes por Covid-19

No sorprende que a medida que la pandemia se lleva vidas y también ahorros, organismos reguladores, de investigación y de vigilancia de todo el mundo han llamado a los bancos—algunos que han visto equipos contra el lavado de dinero (AML) dispersos y despedidos—para pedirles que sigan adelante dando prioridad a ciertos casos y preparándose para un aumento de fraudes y ataques cibernéticos.

Casos mundiales de Coronavirus

 

 

Banco de Pagos Internacionales: Covid-19, efectivo y el futuro de pagos

El BIS publicó esta semana un documento: Covid-19, Cash, and the Future of Payments

Principales Puntos:

  • La pandemia de Covid-19 ha avivado las preocupaciones públicas de que el coronavirus podría transmitirse con el uso de efectivo.
  • La evidencia científica sugiere que la probabilidad de transmisión a través de billetes es baja en comparación con otros objetos que se tocan con frecuencia, como terminales de tarjetas de crédito o almohadillas de PIN.
  • Para reforzar la confianza en el dinero en efectivo, los bancos centrales se comunican activamente, instando a la aceptación continua de efectivo y, en algunos casos, esterilizando o poniendo en cuarentena los billetes. Algunos fomentan los pagos sin contacto.
  • Mirando hacia el futuro, los desarrollos podrían acelerar el cambio hacia los pagos digitales. Esto podría abrir una brecha en el acceso a los instrumentos de pago, lo que podría afectar negativamente a los consumidores no bancarizados y mayores. La pandemia puede amplificar las llamadas para defender el papel del efectivo, pero también exige monedas digitales del banco central.

¿Cómo mantener a raya a un estafador? Combatir el fuego con hechos, dedos rápidos, pensar antes de vincular

Si bien puede parecer que los estafadores tienen una variedad interminable de herramientas y plataformas (correo electrónico, llamadas telefónicas, mensajes de texto), hay algunas tácticas comunes que las personas pueden emplear para evitar ser estafados, incluidos los bloqueos rápidos, un enfoque más escéptico para los vendedores en línea, no hacer clic en los enlaces que no esperaba (incluso si parecen ser de una agencia gubernamental que ofrece consejos, recursos o controles de estímulo de COVID-19).

Aquí hay algunos consejos para ayudarlo a mantener a raya a los estafadores:

  • Cuelgue las llamadas automáticas (robocall): no presione ningún número. Los estafadores están usando llamadas automáticas ilegales para lanzar todo, desde tratamientos médicos fraudulentos contra el Coronavirus hasta esquemas de trabajo en el hogar. La grabación podría decir que si usted presiona un número le permitirá hablar con un operador en vivo o eliminarlo de su lista de llamadas, pero podría generar más llamadas automáticas.
  • Ignore las ofertas en línea para vacunas, kits de prueba en el hogar: los estafadores intentan que compre productos que no se ha comprobado que tratan o previenen la enfermedad de Coronavirus 2019 (COVID-19), en línea o en tiendas. En este momento, tampoco hay kits de prueba en el hogar autorizados por la FDA para el Coronavirus. Visite la FDA para obtener más información.
  • Información de verificación de hechos: los estafadores, y a veces personas bien intencionadas, comparten información que no ha sido verificada. Antes de transmitir cualquier mensaje, comuníquese con fuentes confiables.
  • Sepa a quién le está comprando: los vendedores en línea pueden afirmar que tienen productos a pedido, como productos de limpieza, artículos para el hogar y de salud y médicos cuando, de hecho, no lo hacen.
  • No responda a mensajes de texto y correos electrónicos inesperados o desconocidos: especialmente si se trata de cheques del gobierno. Mucha información no está aún resuelta. Cualquiera que le diga que puede obtener el dinero ahora es un estafador.
  • Piense antes de hacer clic en un link que llegó a su correo electrónico: no haga clic en enlaces de fuentes que no conoce. Podrían descargar virus en su computadora o dispositivo.
  • Fuentes oficiales no oficiales: esté atento a los correos electrónicos que dicen ser de los Centros para el Control y la Prevención de Enfermedades (CDC) o expertos que dicen que tienen información sobre el virus. Para obtener la información más actualizada sobre el coronavirus, visite los Centros para el Control y la Prevención de Enfermedades (CDC) y la Organización Mundial de la Salud (OMS).
  • Artimañas de Beneficencia: haga su tarea cuando se trata de donaciones, ya sea a través de organizaciones benéficas o sitios de crowdfunding. No deje que nadie le apure a hacer una donación. Si alguien quiere donaciones en efectivo, con tarjeta de regalo o transfiriendo dinero, no lo haga.

A medida que las llamadas automáticas crecen, el gobierno contraataca

Las agencias del gobierno de Estados Unidos están trabajando para hacer más que ofrecer a los consumidores específicos más consejos para defenderse.

También apuntan a las fuentes de las llamadas fraudulentas.

En diciembre de 2019, la FTC presentó una demanda contra el proveedor de servicios VoIP Globex Telecom por ayudar a los estafadores a ejecutar una estafa conocida como «reduzca la tasa de interés de su tarjeta de crédito», según Lois Greisman, Directora Asociada, División de Prácticas de Mercadeo, en la FTC.

En enero, la FTC envió cartas a 19 proveedores de VoIP, «advirtiéndoles que las leyes de protección al consumidor también aplican a ellos, y señalando lo que podría pasar si seguían ayudando a los vendedores telefónicos estafadores a violar la ley».

La semana pasada, la agencia envió nueve cartas de advertencia a los proveedores de VoIP que estaban «ayudando a delincuentes relacionados con estafas de Coronavirus a lanzar llamadas automáticas durante la actual crisis de salud», dijo Greisman. «Los proveedores de VoIP que actuaron representaron miles de millones de llamadas que ahora no estamos recibiendo».

El viernes, la FTC anunció aún más cartas de advertencia, esta vez, llevando a los socios de la FCC a duplicar la aplicación.

Esta vez, tres proveedores de VoIP recibieron las cartas de advertencia, pero hay un giro, dijo la FTC.

Esta vez, las dos agencias también enviaron una carta a US Telecom, la asociación comercial de la industria, que identifica a las entidades que transmiten las llamadas automáticas ilegales, una medida que viene con una advertencia de sanción muy seria.

Ahora, si las entidades objetivo no cortan la actividad fraudulenta en 48 horas, la Comisión Federal de Comunicaciones (FCC) «autorizará a los proveedores a bloquear el tráfico de ellos. Entonces: de cualquier manera, dentro de dos días, debería haber aún menos llamadas automáticas ilegales tratando de estafar a las personas”, dijo Greisman.