El viernes 10 de abril, en la Universidad de Connecticut en Stamford, Banking Exchange dio la bienvenida a un panel de expertos para discutir cómo abordar la evolución de los riesgos en los pagos. El panel incluyó al Jefe de Pagos Electrónicos del City National Bank, Attila Csutak, al Director de Cumplimiento del First Central Savings Bank, Tan Ansari, y a Andrew Showstead de Ironvest. El panel habló ante un pleno de 100 banqueros y ejecutivos de cooperativas de crédito. Se destacaron dos respuestas clave de Showstead.
Moderador: La mayoría de los bancos han habilitado la recepción de RTP pero no el envío, principalmente debido a preocupaciones de fraude y responsabilidad resaltadas por estafas en sistemas de pago push como Zelle. ¿Qué camino a seguir permitirá a los bancos ofrecer pagos P2P en tiempo real sin asumir una responsabilidad ilimitada?
lugar de exposición: Nuestra industria está intentando resolver el problema de los pagos en tiempo real con herramientas diseñadas para el mundo del procesamiento por lotes. Los rieles centrales que admiten pagos push (Zelle, RTP, etc.) no están rotos; el problema es que nuestros controles contra el fraude y el fraude no han seguido el ritmo de la irrevocabilidad del pago en sí.
A mi modo de ver, los controles de fraude tradicionales autentican al cliente al iniciar sesión, tal vez envían una OTP y luego tratan la sesión como confiable. Era una posición defensiva cuando los pagos tenían retrasos en la liquidación y plazos para la revisión humana. En un entorno irreversible y en tiempo real, esa postura crea una enorme exposición.
Lo que cambia la ecuación es la verificación de identidad simultáneamente con entrada de transacciones, no como un mensaje que aumenta la fricción, sino que se ejecuta de forma transparente en segundo plano mientras el cliente completa el pago. La pregunta que está respondiendo en tiempo real es: ¿Está presente el propietario legítimo de la cuenta en este momento, ingresando estos valores específicos, con pleno conocimiento de lo que está autorizando? Si puede responder eso de manera determinista, esencialmente habrá cerrado la puerta por completo a las apropiaciones de cuentas y al fraude no autorizado. Y cuando se tiene ese registro forense, también se resuelve el problema del fraude de primera parte: reclamaciones de «fraude amistoso» en las que un cliente legítimo completa una transacción y luego la disputa. Ese historial hace que esas afirmaciones sean insostenibles.
Los bancos no tienen que elegir entre ofrecer Zella y gestionar el riesgo de fraude. Necesitan controles que coincidan con la velocidad y la finalidad del ferrocarril.
Anfitrión: La industria gasta enormes energías en «Conozca a su cliente». ¿Es eso suficiente en un entorno de pago en tiempo real?
lugar de exposición: No, y creo que se trata de una laguna subestimada en la conversación actual. Hemos creado procesos extremadamente sofisticados para comprender a los remitentes. Conocemos su historia, su dispositivo, sus patrones de comportamiento. Y luego enviamos el dinero a un destinatario que no hemos hecho casi nada para revisar.
En un mundo con retrasos en la colonización, esa asimetría era tolerable. Tuviste tiempo para detectar anomalías después del hecho. En la liquidación en tiempo real, no es así. Una vez que se realiza el pago de Zelle, desaparece; eso es lo que hace que las estafas de aplicaciones sean tan atractivas para los estafadores.
El principio que yo defendería es lo que llamo «Conozca a su destinatario» — aplicar una verificación de identidad significativa a la parte receptora antes la transacción se liquida, no después. En realidad, aquí es donde vive una parte importante de las estafas de ingeniería social. Los clientes son reales, están presentes, autorizan el pago, pero son manipulados en cuanto a a quién envían dinero. Una mejor autenticación del remitente no te ayuda en eso. Necesita saber algo sobre el destinatario.
Cada vez más, veo que las instituciones con visión de futuro comienzan a plantearse seriamente esta pregunta y creo que se está convirtiendo en una expectativa regulatoria en los próximos años. Las instituciones que desarrollen esa capacidad ahora tendrán una ventaja significativa, tanto en pérdidas por fraude como en los marcos de responsabilidad que aún se están elaborando.
