Mastercard y otras tecnológicas analizan dark web para combatir fraudes

Mastercard dio a conocer el despliegue inicial de EDS (Early Detection System), un servicio de escaneo y análisis de datos a nivel de deep y dark web, enfocado en detectar números de cuentas en posibilidad de vulneración, así como su seguimiento en caso de que éstas sean vendidas y mal usadas.

La deep y dark web, son sectores de internet en los que la información no se encuentra disponible con buscadores convencionales como Google o Bing , se requiere de sistemas más avanzados para poder navegar en ellos y generalmente gozan de anonimato.

Patricio Hernández, director de tecnología (CIO) de Mastercard, dijo que el servicio está ya disponible en Europa, Estados Unidos y esperan traerlo a América Latina en el cuarto trimestre del 2017.

“En Europa está comenzando la comercialización, al igual que en Estados Unidos y en América Latina, vamos a comenzar por Brasil. (...) Lo queremos llevar a México, esperamos que sea en el cuarto trimestre de este año”, dijo en entrevista con Expansión.

Hernández dijo que, para traer este servicio a México, tendrían que iniciar conversaciones con Banco de México y la Comisión Nacional Bancaria y de Valores (CNBV).

De acuerdo con Hernández, la creación de un servicio de análisis forense a nivel deep y dark web, es resultado de la preocupación que existe por el alza de fraudes en transacciones electrónicas, y que éstas se realizan en estos niveles menos visibles de la red, por lo que el CIO cuenta que fue necesario aliarse con otras tecnológicas (las cuales se pidió no mencionar) y expertos en ciberseguridad de dependencias de inteligencia como la Agencia de Seguridad Nacional de Estados Unidos (NSA).

El proyecto tardó dos años en desarrollarse para lograr tres verticales: la herramienta de escaneo o crawling en la deep y dark web.

“Este fue el primer reto. Resultó con tecnologías primordialmente externas. Es una combinación de tecnologías típicamente de fintech, que son fundadas por ex funcionarios de agencias gubernamentales de seguridad, es decir como gente de la NSA y ese tipo de perfil”, especificó Hernández.

Seguido del desarrollo de algoritmos de detección de las cuentas y en un tercer paso, el seguimiento de transacciones generadas con éstas cuentas.

“Hay que ser capaz de ver si se genera una transacción, quien la generó y hacia donde se llevan ese dinero”, dijo.

Hernández detalló que con la implementación de EDS detectaron que, de las cuentas que están vulnerable en la deep o dark web por más de 9 meses, entre 15 y 20% se comprometen.

Si bien estas herramientas desarrolladas por tecnológicas son altamente sofisticadas, el contenido que corre por la dark web, en donde se han detectado la mayoría de actividades electrónicas ilícitas, es un pequeño espacio en el que la mayor parte del contenido no es accesible y muta en poco tiempo.

Intelliagg, firma de seguridad inglesa y su homólogo estadounidense DarkSum, publicaron una investigación en el que detallan que mientras el universo de direcciones del Internet superficial rebasada los 1,300 millones de direcciones, en la dark web, este espacio es de 30,000 sitios. Sobre esta cifra, la firma de ciberseguridad Akamai, estimó que de esos 30,000 sitios 52% son de contenido legal, pero menos de la mitad son accesibles, mientras que 12% está relacionado a fraudes bancarios electrónicos.

Como parte del seguimiento a estas transacciones, EDS, genera evaluaciones de riesgo para sus cuentas. Otras plataformas de transacciones de pagos como VISA, cuentan con servicios similares. VISA DPS funciona con algoritmos de machine learning y redes neuronales para evaluar el riesgo de las transacciones.

Sin embargo, el directivo reconoció que estas herramientas son preventivas y que hace falta más coordinación y acción legal por parte de los reguladores, para que estos sistemas logren reducir los fraudes electrónicos, los cuales, se estima que se dupliquen hacia 2025, y generen 25,600 millones de dólares, según la firma de análisis Juniper.

En México, entre enero y septiembre de 2016, los fraudes en transacciones electrónicas crecieron 150%, de acuerdo con la Condusef.

“En términos regulatorios estamos impulsando que sea ellos (los reguladores) más prescriptivos en términos de seguridad digital. Lo que queremos es darles ejemplos de otros reguladores que así lo han hecho. En los Emiratos Árabes unidos, en Singapur, en varios países de Europa, cualquier compra digital se requiere una autenticación con dos factores. que es algo que posees, que sabes o que eres, como un biométrico”, dijo.