¿Quiénes son los culpables en el fraude de Apple Pay?

Por: Andrew Ross Sorkin

El año pasado, cuando Apple estaba planeando su sistema de pagos Apple Pay para el iPhone, los bancos de Estados Unidos compitieron para ser de los primeros emisores de la tarjeta de crédito asociada con la nueva tecnología.

El boletín de prensa que anunció Apple Pay tenía efusivas notas de Jamie Dimon de JPMorgan Chase, Brian Moynihan de Bank of America y de Kenneth Chenault de American Express, junto con una lista de otras empresas como socias en el lanzamiento, entre ellas Wells Fargo, Citigroup y Capital One.

  Marianne Lake, directora financiera de JPMorgan, declaró al momento de la presentación de Apple Pay: “Esto es el futuro, así que es sensacional.”

Seis meses después, algunos de los bancos se quejan en privado de que Apple Pay quizá no sea tan sensacional, después de todo.

Pero quizá los bancos mismos sean los culpables.

Una serie de titulares de prensa, acerca de índices de fraude insólitamente altos cometidos por ladrones que usan números de crédito robados de Apple Pay ha expuesto lo que muchos bancos admiten en privado que han estado tratando de arreglar desde hace meses.

Un consultor de la industria, Cherian Abraham, calcula el índice de fraude en 6 por ciento, muy por encima del índice tradicional de fraude con tarjetas de crédito, que es de apenas 10 centavos por cada 100 dólares gastados.

   Abraham, que fue uno de los primeros en llamar la atención sobre este asunto, señaló en su blog que el fraude de Apple Pay “está creciendo como hierba y los bancos no pueden distinguir entre sus amigos y sus enemigos. Nadie tiene la audacia de decir que el emperador está desnudo”.

Sin embargo, no está claro que Apple sea el emperador desnudo. Lo más probable es que los bancos tengan tanta culpa, si no es que más.

En teoría, Apple Pay debía reducir los fraudes pues hace casi imposible robar la información de la tarjeta de crédito. Cada vez que se lleva a cabo una transacción, Apple genera el equivalente de un nuevo número de tarjeta de crédito, por lo que el comerciante no ve realmente la información del cliente.

La vulnerabilidad de Apple Pay está en la forma en que la compañía -y los bancos emisores- “cargan” las nuevas tarjetas de crédito en el sistema. Como Apple quería que su sistema tuviera la sencillez que lo ha hecho famoso y quería que el proceso de inscripción no tuviera “fricciones”, la compañía le pide al usuario poco más que la información básica de su tarjeta de crédito. Tampoco le proporciona mucha información a los bancos, como el número telefónico y la dirección de los clientes, lo que puede ayudarlos a detectar los fraudes a tiempo.

Desesperados por ser la tarjeta predeterminada de sus clientes en Apple Pay -la mayoría solo cargan una tarjeta en su iPhone-, los bancos hicieron muy poco para reforzar sus defensas o para presionar a Apple para que les proporcionara información más detallada. Algunos ejecutivos de banco reconocen que le tenían tanto miedo a Apple que no se atrevieron a decir lo que pensaban. Los bancos no presionaron a la compañía por miedo a no ser de los emisores iniciales de Apple Pay. Pocas semanas después de la presentación de Apple Pay se apuntó la segunda tanda de bancos: Barclays, Navy Federal Credit Union, PNC Bank, USAA y U.S. Bank.

También parece que los bancos establecieron un proceso fallido para manejar con las tarjetas de crédito que sí se reportaran. A los usuarios afectados se les pedía que llamaran a un centro telefónico de atención al cliente y no a un centro de prevención de fraudes. La misión del centro de atención de clientes es ayudarlos a usar sus tarjetas, lo que hace que se aprueben más tarjetas fraudulentas en Apple Pay.

   “Los centros de atención son una pésima estrategia por dos razones”, advierte Abraham. “Una, los defraudadores son mejores para la ingeniería social que los representantes de servicio al cliente para detectar fraudes. En algunos casos, los mismos defraudadores llaman al centro de atención para 'avisarle al banco que van a salir de viaje’, para que no se activen las reglas de fraude que detectan anomalías en las transacciones (como un cliente que viva en California y haga una transacción en Florida)”.

Algunos simpatizantes de Apple han tratado de desacreditar a Abraham por su condición de asesor de una compañía que está basada en el principal competidor de Apple, Android. Si bien efectivamente podría haber ahí un conflicto de intereses, él ha presentado debidamente un importante problema de seguridad que todas las partes han reconocido como problema, aunque quizá no en la medida que él pretende.

Todo esto ha generado un próspero mercado negro en el que los ladrones registran números de tarjeta de crédito robadas en un iPhone, lo que en esencia convierte al dispositivo en una tarjeta de crédito tangible. Con él van a las tiendas a comprar mercancías. Los ladrones incluso han usado Apple Pay para comprar en las mismas tiendas Apple.

   En una declaración, Apple colocó el problema rotundamente en los hombros de los bancos. “Durante su instalación, Apple Pay requiere que los bancos verifiquen cada tarjeta y entonces el banco determina y aprueba si puede registrarse la tarjeta en Apple Pay. Los bancos siempre están revisando y mejorando su proceso de aprobación, que varía de un banco a otro”.

Ahora, Apple ha empezado a proporcionarles a los bancos información adicional, lo que habrá de ayudar a reducir los fraudes. Los bancos, que son responsables por el costo de los fraudes, han reforzado sus normas para revisar la inscripción de clientes en Apple Pay. Ningún ejecutivo bancario quiso hablar conmigo oficialmente por miedo a perturbar la relación de su establecimiento con Apple. Ahora bien, si alguien se pregunta: “¿Por qué los delincuentes se inclinan a usar en las tiendas más Apple Pay que simplemente las tarjetas de crédito robadas?”, estará haciendo una buena pregunta. Al parecer es mucho más fácil para los bancos atrapar a ladrones que usan tarjetas de crédito robadas en los comercios en línea debido a la demora en la entrega del producto -que suele tardar días- así como por la información adicional que requieren todos los comerciantes en línea, como la dirección a la que se enviará la mercancía.

La ventaja de ser el primero suele ser decisiva cuando se trata del mundo de la tecnología, tan cambiante y ferozmente competitivo. Pero eso puede convertirse en desventaja cuando las empresas se precipitan hacia los problemas.

*bb