JORNADAS CONJUNTAS BANCO DE ESPAÑA Y COLEGIO NOTARIAL DE MADRID
La protección del consumidor en la contratación bancaria

FABIÁN ZAMBRANO VIEDMA
Responsable del Servicio de Prevención del Fraude de ASNEF

El SERVICIO VERAZ SPF es, por tanto, una plataforma tecnológica que se utiliza por las entidades en el análisis de riesgos para evitar el fraude. Funciona perfectamente integrada entre los filtros que las empresas tienen establecidos para valorar las solicitudes de crédito o el inicio de operaciones bancarias o comerciales con nuevos clientes
La invitación, a juicio del ponente, para que se participe en este acto se debe principalmente a que los organizadores de las jornadas conocen perfectamente  que las entidades que nos dedicamos a la financiación de bienes y servicio y que se agrupan legalmente bajo la denominación de Establecimientos Financieros de Crédito son las que dentro del sector financiero tienen una problemática de fraude más grave porque no se dedican a captar dinero de sus clientes sino a prestarlo para bienes y servicios de consumo; por esta misma razón son las que están propiciando con más empeño la creación de instrumentos preventivos y reactivos que ayuden a solucionar o disminuir el problema. Y por las características de nuestra propia actividad gran parte de estas medidas pasan por proteger a los Consumidores en la contratación de nuestros servicios.
El Servicio de Prevención del Fraude de la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) comenzó su actividad en el año 2002. Se constituyó como Departamento de Seguridad conforme a la legislación sobre Seguridad Privada con la misión de coordinar el trabajo de prevención del fraude que estaban desarrollando las Entidades integradas en ASNEF, y para impulsar la colaboración operativa de las mismas con los Cuerpos policiales. Este Servicio es el decano de los  que, dentro del Sector Financiero, se dedican a la prevención del fraude.
Durante estos años hemos podido constatar que el Sector financiero padece unas  vulnerabilidades, que en cierta forma son las mismas con las que se enfrenta la actividad notarial en las sociedades desarrolladas en las que ya no existe una relación social cercana con los clientes.
Las vulnerabilidades sintetizadas en cinco apartados son:
1. La facilidad de suplantación de la identidad de los clientes y la inexistencia de instrumentos adecuados para solucionar este problema.
2. La dificultad creciente que tenemos para comprobar el domicilio de los mismos en una sociedad tan abierta como la actual, en la que muchos de los servicios se prestan a distancia o a través de Internet.
3. Los problemas que tenemos para verificar la solvencia real de los solicitantes de crédito para poder ajustar el mismo a las posibilidades reales de pago de cada uno de ellos.
4. La falsificación documental que siendo utilizada cada vez con más frecuencia por grupos organizados de delincuentes para tratar de engañar a las entidades financieras, para lo que se valen de todos los adelantos técnicos de facilitan los ordenadores y las fococopiadoras.
5. Los nuevos riesgos derivados de la utilización por los delincuentes de las nuevas tecnologías de la comunicación, como por ejemplo Internet.
Todas estas vulnerabilidades del sistema están propiciando el que los índices de fraude vayan aumentando de una forma exponencial dentro de la financiación del consumo, mientras los índices de morosidad crecen de forma lineal.
Si comparamos el fraude en la financiación al Consumo con el Riesgo vivo de los hogares en el año 2006 para el conjunto del Sector financiero, los datos  que hemos extrapolado son los siguientes:
Riesgo vivo de los hogares en el año 2006: 91.999 millones de euros.

"El Servicio de Prevención del Fraude de la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) comenzó su actividad en el año 2002"

El Fraude Soportado (consumado)  sobre el total de riesgo vivo de los hogares supuso el 0’19 % (88 % de este porcentaje correspondió al fraude en Automoción y el 12 % restante al resto del Consumo)
El Fraude Evitado sobre el total de riesgo vivo de los hogares supuso el 0’32 % (81% de este porcentaje correspondió al fraude en Automoción y el 19 % al resto del Consumo).
El fraude en la financiación del Consumo en su conjunto (Soportado y Evitado), supuso por tanto un 0’51 % sobre el Riesgo vivo de los hogares españoles en el año 2006. Pero como los resultados estadísticos se han extrapolado al conjunto del Sector financiero a partir de una muestra de entidades comprometidas en su prevención y que por lo tanto están poniendo los medios para su control desde hace años, resulta verosímil que el porcentaje del fraude para todo el sector financiero haya superado realmente ese 0’51 % con el decremento equivalente del porcentaje en morosidad, puesto que antes de medirse este concepto, prácticamente la totalidad del fraude incrementaba la morosidad.
Para el mismo período de 2006, el porcentaje de activos dudosos totales sobre el conjunto del crédito a otros sectores residentes, supuso el 0’72 % incluyendo la morosidad hipotecaria. Hemos de tener en cuenta que el fraude hipotecario en España no participa de modo relevante en los datos estadísticos de fraude al consumo  porque el sistema de garantías para el acceso a la propiedad inmobiliaria parece más eficiente en nuestro país, gracias a la intervención notarial, si lo comparamos con otros países extranjeros en donde el fraude hipotecario sí tiene mucha más importancia y por consiguiente actuará como agravante de la crisis hipotecaria de los mismos.
El fraude en la financiación al Consumo durante los últimos años muestra una tendencia alcista y, si lo comparáramos con la morosidad comprobaríamos que cada año los porcentajes respectivos tienden a acercarse. Esto se debe a dos causas:
1. La criminalidad organizada se ha dado cuenta que el fraude financiero es rentable porque implica poco riesgo en relación con los resultados que se obtienen con el mismo, lo que  está posibilitando el progresivo incremento de la actividad delictiva en la actividad financiera.
2. Las entidades están haciendo un gran esfuerzo para discriminar el fraude de la morosidad mediante la potenciación de sus instrumentos de análisis de riesgos con otros especializados en la prevención del fraude, lo que está permitiendo delimitar mucho mejor el fraude de la morosidad.
El trabajo de discriminación selectiva de riesgos resulta muy importante en los momentos actuales para el cumplimiento de las recomendaciones sobre riesgo de Basilea II.
Dentro de los “modus operandi” que más se están utilizando para defraudar en la financiación al consumo, está la falsedad en la identidad, (identidades falsas,  identidades usurpadas, acceso a contraseñas personales en la banca electrónica).
Esta forma de operar se conoce en los países anglosajones como Robo de identidad y provoca muchas molestias y perjuicios a los verdaderos Titulares de las identidades suplantadas.
El problema del robo de identidad en las operaciones financieras y comerciales,  que termina sirviendo para que los defraudadores hagan solicitudes fraudulentas de financiaciones al consumo, abran cuentas bancarias falsas, obtengan tarjetas de crédito con datos de identidad suplantados, accedan a servicios prefinanciados como la telefonía, gas, electricidad y agua, u operen en banca electrónica mediante contraseñas personales conseguidas de forma fraudulenta, o, en fin, defrauden en el comercio electrónico,  ha generado una concienciación creciente en las entidades financieras que está obligando a las mismas a buscar soluciones de forma cooperativa.

"Durante estos años hemos podido constatar que el Sector financiero padece unas  vulnerabilidades, que en cierta forma son las mismas con las que se enfrenta la actividad notarial en las sociedades desarrolladas en las que ya no existe una relación social cercana con los clientes"

Una de estas soluciones la hemos desarrollado en ASNEF y se denomina: SERVICIO VERAZ SPF. Para ello hemos creado una sociedad independiente junto con nuestro socio tecnológico EQUIFAX y que se denomina: SOLUCIONES VERAZ ASNEF-EQUIFAX, S.L. con CIF B84483130, que se encarga de la gestión y explotación del Servicio y del cumplimiento de los objetivos y finalidades de cada uno de los ficheros que conforman el mismo. Esta nueva empresa es la responsable de los  Ficheros en cumplimiento de la legislación sobre protección de datos.
ASNEF ostenta la representación de los intereses de Soluciones Veraz Asnef-Equifax ante cualesquiera organismos y autoridades públicas. Se incluyen en particular, los contactos, acuerdos o relaciones con los Ministerios de Interior, Economía, Justicia, o Consumo; con el Banco de España, y con los Cuerpos policiales centrales, autonómicos y locales.
El Servicio VERAZ-SPF es una plataforma tecnológica totalmente abierta a nuevas  aplicaciones que pudieran integrarse en el futuro, aunque en una primera fase tiene las siguientes:
A) Un fichero de empresas en situación de alerta por quiebra, extinción, inactividad y otros varios motivos perfectamente tasados (FICHERO VERAZ-SOCIEDADES)
B) Un fichero basado en la reciprocidad y por tanto con un funcionamiento  muy similar al de los ficheros de morosidad, que las entidades alimentan con los datos obtenidos de operaciones solicitadas o contratadas con documentación irregular (FICHERO VERAZ-FODI)
C) Un fichero novedoso en España que está siendo considerado ya por los Ciudadanos, las Autoridades y las Entidades, como un auténtico SERVICIO PÚBLICO, porque ha sido creado para que los Ciudadanos que lo deseen puedan preservar su identidad en la actividad financiera y comercial alegando diversos motivos, como la pérdida o sustracción de sus documentos identificativos, la simple prevención, o la defensa de los intereses del menor, del discapacitado, de las parejas en procesos de separación o para evitar la utilización fraudulenta de NIF especiales (FICHERO VERAZ-PERSUS).
El SERVICIO VERAZ SPF es, por tanto, una plataforma tecnológica que se utiliza por las entidades en el análisis de riesgos para evitar el fraude. Funciona perfectamente integrada entre los filtros que las empresas tienen establecidos para valorar las solicitudes de crédito o el inicio de operaciones bancarias o comerciales con nuevos clientes.
Los promotores del Servicio VERAZ-SPF han procurado que esta plataforma tecnológica estuviese revestida de las máximas garantías jurídicas para sus usuarios. Eran conscientes de que por primera vez el Sector financiero se disponía a crear bases de datos compartidas para la prevención y lucha contra el fraude y los ficheros tendrían un control muy riguroso por parte de la Autoridad Supervisora. La solución pasaba, por tanto, por establecer garantías que asegurasen  el riesgo económico derivado de una de las legislaciones europeas más estrictas sobre protección de datos.
Los dos ficheros que manejan datos de carácter personal, VERAZ-FODI y VERAZ-PERSUS, han sido estructurados bajo el control permanente de la propia AEPD que ha sido informada puntualmente en todas y cada una de sus fases de creación. Para ello se han mantenido numerosas reuniones que permitieron mejorar los procedimientos y controles que estábamos diseñando. Finalmente,  hemos solicitando de forma oficial la supervisión de los Reglamentos de Funcionamiento de cada uno de los dos ficheros. Concretamente el Reglamento del Fichero VERAZ-PERSUS ha sido aceptado por la Agencia Española de Protección de Datos como CÓDIGO TIPO y está publicado en su propia Web.
Es necesaria una especial mención del Fichero VERAZ-PERSUS, porque las entidades financieras que lo utilizan y nuestra Asociación lo ofrecemos a los Ciudadanos como un servicio público y para publicitarlo debidamente hemos creado un portal Web específico para el mismo.
Deseamos que el  Portal ayude a los Ciudadanos cuando busquen información a través de Internet sobre el ROBO DE IDENTIDAD, y le ofrecemos consejos para que eviten ser víctimas  de esta actividad delictiva y para actuar en los casos de pérdida o sustracción de sus documentos identificativos.
Pero el principal objetivo del Portal es poder facilitar a los Ciudadanos nacionales y extranjeros un SERVICIO GRATUITO de Autoinclusión en el FICHERO VERAZ-PERSUS como medio de preservar su identidad en la actividad financiera y comercial.
Con esta iniciativa pretendemos demostrar a la Sociedad que las Entidades estamos trabajando para dificultar el que los delincuentes suplanten las identidades a los verdaderos titulares de las mismas para utilizarlas dentro de sistema financiero, en perjuicio de su buen nombre y de sus intereses económicos.
Esta medida tiene igualmente efectos disuasorios frente a los delincuentes, que por su propio interés  evitarán usar los documentos de identidad sustraídos o perdidos por sus titulares, en las entidades que estén conectadas al FICHERO VERAZ-PERSUS.
No debemos olvidar que la delincuencia económica suele planificar sus operaciones criminales y  que, por tanto, se guardará cada vez más de atacar a aquellas entidades que tengan establecidos filtros de alerta en sus operaciones.
Añade que éste instrumento de prevención del fraude de identidad que hemos creado las entidades financieras está a disposición de todos los Notarios españoles si lo consideran de interés para su trabajo, por lo que la Asociación está abierta a los acuerdos institucionales que sean necesarios.

"Dentro de los “modus operandi” que más se están utilizando para defraudar en la financiación al consumo, está la falsedad en la identidad, (identidades falsas,  identidades usurpadas, acceso a contraseñas personales en la banca electrónica)"

El fraude electrónico
Tras informarles de este nuevo instrumento que las entidades financieras hemos puesto en funcionamiento para prevenir el fraude y para proteger a los Ciudadanos contra la usurpación de la identidad, quisiera centrarme, aunque sea brevemente en el tema concreto de esta mesa redonda: la Banca electrónica y en las medidas preventivas y reactivas que las entidades financieras queremos tomas contra el fraude que se comete a través de INTERNET.
Las entidades financieras han apostado decididamente por el desarrollo de su actividad en el ámbito de Internet, siendo conscientes que sus inversiones serán rentables si en España se va logrando un desarrollo de la Sociedad de la Información que genere confianza entre los ciudadanos.
La desconfianza en el ámbito de la actividad financiera a través de Internet se produce por el impacto social que generan los ataques informáticos con intencionalidad fraudulenta, en los que se suplantan las identidades de bancos, cajas y otras entidades y que tienen como objetivo explotar las vulnerabilidades tecnológicas y sociales de la Sociedad de la Información en España.
Las entidades financieras, a diferencia de lo que están haciendo una gran parte de las Pymes que dependen para su seguridad del apoyo de la Administración, han apostado por su propia seguridad potenciando sus departamentos  internos y aliándose de forma estratégica con destacados proveedores externos de seguridad informática, lo que está posibilitando la implementación de dispositivos y procesos para proteger los sistemas “on line”, y la creación de servicios antifraude muy efectivos y rápidos en la paralización de incidentes.
Pero aún así, las entidades financieras no pueden operar con eficacia y rentabilidad al margen de la seguridad y confianza de sus clientes y sobre todo, de la situación real de seguridad en que se encuentra la Sociedad de la Información en España. El negocio financiero a través de Internet se sostiene en los tres vértices de un gran triángulo: las entidades, los clientes usuarios y la Administración.
Ciertamente, los perjuicios económicos que en este momento la ciberdelincuencia está produciendo en el Sector financiero constituyen un riesgo limitado y perfectamente controlado con las actuales medidas de seguridad, pero las actividades fraudulentas de los delincuentes informáticos van siendo cada vez más sofisticadas y silenciosas y  están planificadas por grupos organizados que han visto en esta actividad un fructífero negocio criminal para un futuro inmediato.
Según los últimos informes de las empresas proveedoras de seguridad informática, el año 2006 supuso un cambio táctico en la actividad de la ciberdelincuencia. Los ataques necesitados de la ayuda del engaño (mediante ingeniería social) como el “phising” sólo están creciendo linealmente, mientras la utilización de sofware malicioso (malware) para robar claves e información de los ordenadores particulares a través de programas espía y troyanos, está creciendo de forma exponencial.
El Observatorio de la Seguridad de la Información de INTECO, en su primera oleada del Estudio sobre Seguridad y e-Confianza de los hogares españoles (Diciembre 2006-Enero 2007), nos informa que el 72% de los usuarios analizados tenían algún código malicioso en su ordenador, siendo de alto riesgo el “malware” existente en el 52% de los mismos.
Esta nueva estrategia de las mafias organizadas de ciberdelincuentes está propiciando ataques con un “malware” cada vez más complejo y sofisticado, lo que incrementa el coste en el que incurren las entidades financieras para identificarlos y anularlos, especialmente los troyanos que disponen de mecanismos de auto-actualización de sofware y autodefensa para dificultar su análisis. Estos nuevos programas maliciosos utilizan cifrado para ocultar sus acciones al usuario y hasta a los propios programas antivirus y protegen tanto sus comunicaciones como contenido de la información captada y hasta los datos sobre la procedencia de la información capturada.
La empresa S21sec, en su último informe sobre Fraude Online 2006 que se publica en la página Web de INTECO, nos avisa que los ciberdelincuentes están evolucionando en sus amenazas, convirtiéndolas en más silenciosas e inadvertidas mediante programas informáticos especializados en el robo de información. Igualmente nos recuerda que los últimos troyanos detectados permiten a terceras personas tomar el control total de un ordenador de forma remota, al igual que lo haría el propietario del mismo o redirigir a los usuarios a sitios Web fraudulentos o servidores proxy, a través de DNS infectadas o creadas ex profeso para el robo de claves, mediante la actividad fraudulenta conocida como “pharming” con las consiguientes repercusiones que este hecho va a tener en los procedimientos judiciales.
Así pues, los proveedores de seguridad nos están avisando que los delincuentes informáticos están pasando de utilizar troyanos sencillos basados en técnicas poco complejas a troyanos mucho más avanzados que se integran en programas perfectamente legales utilizando rootkits para ocultar todas sus acciones y pasos.
Estos programas maliciosos son diseñados por especialistas en tecnologías de la información capaces de desarrollar un “sofware” efectivo con fines delictivos.
Tanto INTECO como los proveedores de seguridad informática que colaboran con esta Institución y con las propias entidades financieras, a través de su página Web o en los informes externos que contiene ( ver www.inteco.es ) nos avisa que entre los troyanos que los usuarios españoles estamos padeciendo con más frecuencia, están los de tipo “Sinowall”, capaces de obtener información confidencial de los ordenadores creando dos ficheros diferentes: en uno almacenan datos del sistema operativo, dirección IP, contraseñas y certificados y en otro almacenan los datos obtenidos en la navegación como por ejemplo los números de tarjetas de crédito y datos de accesos. Algunos de estos troyanos de la familia “Sinowall” están diseñados para realizar capturas de pulsaciones sobre teclados virtuales, grabar vídeos o para la instalación de puertas traseras accesibles a los delincuentes. También nos informa que los propios programas troyanos residentes en los ordenadores de sus víctimas pueden remitir de forma periódica y automatizada estos ficheros de información que se van almacenando hasta servidores centrales que controla la ciberdelincuencia en cualquier país del mundo.
Se ha constatado que en estos momentos la criminalidad financiera se está diversificando entre delincuentes que son especialistas informáticos y delincuentes que se limitan a ser simplemente usuarios de esta tecnología para utilizarla en el fraude. Para ello compran kits tecnológicos que se instalan en servidores Web capaces de infectar ordenadores mediante “phising” y troyanos con los que se capta información sensible con la que después defraudar o vender para el fraude. Porque debo añadir que otra de las actividades en auge dentro de la criminalidad es la comercialización de datos a través de la Web procedentes de estas capturas de datos efectuadas a los ciudadanos, muchas veces mediante procedimientos informáticos que evitan comprometer la identidad de vendedores y compradores.
Ante este panorama realmente preocupante, los especialistas en seguridad informática están de acuerdo en proponer, junto a la intensificación de la formación que desde las Instituciones públicas y las entidades financieras tratamos de dar  a nuestros clientes, la potenciación del intercambio de información entre las empresas financieras, la Administración pública  y los proveedores de seguridad informática.
Las razones expuestas hasta el momento son las que nos han movido a algunos responsables de prevención del fraude a propiciar entre nuestras Entidades y la Administración la creación de algún instrumento que nos permita prevenir y reaccionar a todos, de una forma más eficaz, contra la actividad de la delincuencia informática que actúa a través de Internet.
Este instrumento podría lograrse a través del proyecto SEVEF ( SERVICIO PARA LAS EVIDENCIAS ELECTRÓNICAS FINANCIERAS), que supondría un paso adelante en la estrategia de las entidades financieras contra la ciberdelincuencia, porque sin obligarnos a abandonar el camino que ya se estamos recorriendo para identificar y paralizar los incidentes a través de los proveedores de seguridad informática, nos permitiría tener un conocimiento mucho más preciso de la realidad delincuencial con la que se enfrenta el sector financiero. Esta información sensible sería de gran utilidad para las propias entidades afectadas y para las Autoridades administrativas y judiciales encargadas de la prevención y reacción contra la criminalidad informática. Este proyecto ayudaría de una forma muy efectiva a optimizar el trabajo de las Unidades policiales de Investigación Tecnológica y de los Juzgados de Instrucción que tienen que conocer de los hechos delictivos denunciados y facilitaría la creación de “inteligencia” para luchar con una mayor eficacia contra la ciberdelincuencia nacional e internacional.
Nosotros proponemos que este objetivo se trabaje a través de la colaboración entre las entidades financieras y la Administración pública, creando dentro de INTECO (INSTITUTO NACIONAL DE TECNOLOGÍAS DE LA COMUNICACIÓN), que es una empresa estatal promovida por el Ministerio de Industria, Comercio y Turismo, de un repositorio común con información técnica de los rastros que dejan los ataques de la ciberdelincuencia contra las entidades financieras o sus clientes. Este repositorio o base de datos, estaría revestido de todas las medidas  de seguridad y confidencialidad que los técnicos y juristas estimasen convenientes, y se alimentaría, como se ha indicado más arriba de información obtenida de todos los ataques consumados o en tentativa de los que tengan conocimiento las entidades financieras afectadas, por sí  mismas o en colaboración con los proveedores de seguridad informática que trabajan para ellas.
Esta información sería cruzada por los ingenieros y analistas de INTECO contra sus propias bases de datos, lo que permitiría generar alertas, informes y medidas preventivas y reactivas contra la ciberdelincuencia, que llegarían de forma segura a las propias entidades que alimenten el Sistema.
Esta colaboración operativa entre las entidades financieras e INTECO ayudaría a que el Sector Financiero y las Autoridades conociesen de una forma mucho más precisa la realidad criminógena con la que se enfrenta nuestro negocio a través de Internet, y las vulnerabilidades de la Sociedad de la Información en España, puesto que las entidades financieras constituyen una punta de lanza en el desarrollo de las nuevas tecnologías. Con esta información se podrían estudiar estrategias globales de prevención y reacción contra la ciberdelincuencia y generar e-Confianza entre los Ciudadanos y Seguridad.
Como ven, estamos ante un proyecto novedoso que ayudaría a las entidades financieras y a la sociedad española en su conjunto contra el fraude electrónico. El proyecto ha captado el interés de muchas personas dentro de nuestras entidades financieras y de aquellas las instituciones públicas que han tenido conocimiento del mismo en una reunión celebrada el pasado día  9 de octubre en el Banco de España, en donde a los promotores del proyecto se  les permitió presentarlo ante representantes de las siguientes instituciones públicas y privadas: Banco de España, Agencia Española de Protección de Datos, Gabinete de Coordinación de la Secretaría de Estado de Seguridad, Instituto Nacional de Tecnologías de la Comunicación, Brigada de Investigación Tecnológica del Cuerpo Nacional de Policía, Grupo de Delitos Telemáticos de la Guardia Civil, Ertzaintza, Mossos d’Esquadra, Asociación Española de Banca, Confederación Española de Cajas de Ahorros, Centro de Cooperación Interbancaria y Asociación Nacional de Establecimientos Financieros de Crédito.
Los promotores del proyecto tienen intención de seguir trabajando en el mismo junto con las Instituciones públicas que lo deseen para tratar de convertirlo en realidad y así podamos contar todos con una eficaz medida preventiva y reactiva frente al fraude electrónico.