Julián Ríos, científico en ciberseguridad, investigador forense y de ciberanalítica (Foto: Netmedia)
B:Secure

El triángulo del fraude, una metodología para detectar y prevenir ciberataques

Julián Ríos, científico en ciberseguridad, investigador forense y de ciberanalítica (Foto: Netmedia)

“Todos somos susceptibles de cometer fraude si en algún momento de la vida somos sometidos a una presión grande que nos haga cambiar nuestras convicciones”, aseguró Julián Ríos, científico en ciberseguridad, investigador forense y de ciberanalítica, quien inauguró la 14.º b:Secure Conference “Analítica y Ciberseguridad”.

Explicó, durante el encuentro, la metodología denominada Analítica del triángulo del fraude, creada en los años 50 por Donald Cressey, sociólogo de la universidad de California, coautor de Los principios de la criminología, estándar en materia de criminología. Esta teoría trata de explicar por qué un individuo comete fraude, teniendo en cuenta que hay muchos tipos de fraudes diferentes.

Son identificadas tres razones por las que alguien comete fraude:
– Presiones económicas

– Situaciones de oportunidad: abuso de su posición y capacidad para cometer un fraude. “Los que tienen la oportunidad serán los principales violadores de la seguridad”.

– Justificación: nadie saldrá herido, es por una buena causa, en la empresa también hacen cosas poco éticas.

En opinión de Ríos, la industria criminal es tan creativa, que hay que entender las conductas de las personas que están cometiendo estos delitos. ¿Cómo? A través de tres elementos: frases, personas y fraudes en sí mismos.

La analítica, explica el ponente, es el examen detallado de datos. El big data, en tanto, son datos en alto volumen y velocidad. La analítica se divide en horizontal, vertical y diagonal; mientras la metodología es un conjunto de procedimientos racionales para alcanzar objetivos.

Recuerda Ríos que, efectivamente, siempre las empresas están pendientes de los fraudes informáticos, pero se olvidan de que detrás de cada fraude hay una persona.

Según las estadísticas de esta metodología, del 100% de la población, el 10% vive para hacer fraudes, el 80% son personas influenciables. Y el último 10% son personas de buena educación y status de vida —los buenos—, que nunca van a cometer fraude.

Hay que tenerle cuidado al primer 90%: al 10% hay que vigilarlo y al 80%, protegerlo.

El punto en común entre el fraude informático y ocupacional es que hoy día todo el mundo usa computadoras, no solo como medio, sino como fin para cometer fraudes.

Cada año la Association of Certified Fraud Examiners (ACFE) saca un “Reporte a las naciones” con las tendencias en detección de crímenes y delitos en las organizaciones. Uno de los principales canales para detección de los delitos es a través de líneas éticas o medios anónimos de denuncia. También accidentalmente: errores de sistemas, descuadres, escuchas de conversación o hasta un comentario de pasillo.
Las denuncias y estos accidentes reúnen el 65% de la detección de los delitos.

Las auditoría y controles internos: red flags, auditorías externas e internas de sorpresa y alertas automáticas, solo detectan 35%.

Las conductas son recogidas a través de correos, chats, hojas de cálculo, notas contables y conversaciones. Se mapean para ver a qué responde cada una. Luego se comprueba si son de amenaza real. Finalmente, se analizan y se decide convertir los datos a información para tomar decisiones oportunas basadas en la estadística y la matemática.

Esta metodología sirve para resolver un fraude, prevenirlo, perfilar empleados, diagnosticar riesgos, identificar amenazas y tomas decisiones.

Para Santiago Acosta, ingeniero de Sistemas por la Universidad EAFIT, consultor en soluciones de seguridad de la información y combate al fraude, escoger las palabras dentro de miles que puede ser una señal de alerta, es complejo.

Hay que aplicar herramientas de expansión de términos o expresiones regulares, para no solo tomar una palabra, sino un rango que pueda acomodarse a una conducta maliciosa y responda a presión, oportunidad o justificación.

Las fuentes de datos son muy variadas: chats, multimedia, aplicaciones in-house, nube pública, correo, navegación, redes sociales y documentos.

Estos mecanismos llevan al analista a hacer un análisis vertical de las frase pronunciadas por las personas en diferentes medios y bajo determinadas circunstancias.

“Hemos visto que hay una madurez en la detección de fraudes. Si no aplicamos semántica para el análisis de fraude mediante analítica no sería funcional. El análisis de riegos nos va a facilitar mucho trabajo en la aplicación de la metodología. Los resultados son rápidamente arrojados”, concluyó Acosta.

Netmedia es mucha más que noticias. suscríbase y reciba lo mejor

Te recomendamos

El triángulo del fraude, una metodología para detectar y prevenir ciberataques