Toda ley que exige que otra plataforma recopile información de identificación es también una ley que propicia otra violación de seguridad.
El caso de una mujer de Pensilvania que se enfrenta a hasta seis años de prisión por una estafa en Facebook Marketplace, llevada a cabo utilizando su número de Seguro Social y su fecha de nacimiento, demuestra cómo las normas de «Conozca a su Cliente» (KYC / Know Your Customer) acaban fallando para todos.
Amanda Smith, de 47 años, fue arrestada en abril en su domicilio con una orden de detención de Arkansas y pasó tres noches en la cárcel, acusada de fraude informático, uso ilegal de un dispositivo de comunicación y robo de propiedad. El caso gira en torno a una cuenta de Cash App, utilizada para sustraer US$ 1.000 a un comprador de Facebook Marketplace, que se abrió con su número de la Seguridad Social y su fecha de nacimiento.
El resto de la información de la cuenta no le pertenecía: la dirección era de Filadelfia, donde nunca había vivido; el número de teléfono era uno que probablemente usó por última vez a principios de la década de 2000; el iPhone tenía instalado iOS 16.1.1, de 2022, mientras que ella usa un iPhone con iOS 26.5.2; y la cuenta tenía un historial de conexiones con Verizon, mientras que Smith siempre ha tenido AT&T. El nombre de usuario de la cuenta, $Smithy5687, tampoco era suyo.
“Están tratando de convertirlo en mi problema […] que tengo que demostrar que soy inocente”, dijo Smith. “No es así como me enseñaron a creer que funcionaban las cosas”.
La verificación de identidad, que tenía como objetivo prevenir el fraude, fue lo que la incriminó. Las normas de Conozca a su Cliente (KYC) exigen que Cash App recopile una gran cantidad de datos personales, incluidos los números de Seguro Social, «para, irónicamente, protegerse contra el fraude», como lo expresó 404 Media.
Ese es el primer aspecto en el que fallan estas reglas: al convertir los números en algo que se puede robar.
Los términos de Cash App establecen que la compañía puede requerir «nombre legal, dirección de correo electrónico, número de teléfono móvil con capacidad para recibir mensajes de texto, dirección postal, código postal, fecha de nacimiento, número de seguro social y un documento de identificación emitido por el gobierno».
Los términos y condiciones establecen: “Verificamos su identidad por nuestra cuenta y para facilitar a algunos de nuestros socios, incluidos nuestros socios bancarios, el cumplimiento de sus propias obligaciones”.
Estas obligaciones son las normas federales de identificación de clientes para bancos, que exigen un número de identificación fiscal a los clientes estadounidenses. Por eso, todos los servicios que implementan estas normas, conocidas como KYC, solicitan el número de la Seguridad Social. Pero cada nuevo lugar que recopila estos números representa una nueva vía de filtración.
Smith cree que su número de Seguro Social se vio comprometido en una filtración de datos, como la de National Public Data, una empresa de verificación de antecedentes que en 2024 expuso no solo números de Seguro Social, sino también nombres, fechas de nacimiento, números de teléfono y direcciones.
El segundo aspecto en el que falla el KYC es que la verificación solo coteja datos y no identifica a la persona. La normativa federal exige procedimientos que permitan al banco “tener la certeza razonable de conocer la verdadera identidad de cada cliente”.
Permite realizar comprobaciones mediante la “comparación de la información proporcionada por el cliente con la información obtenida de una agencia de informes de crédito, una base de datos pública u otra fuente”.
La misma verificación que se realizó al abrir la cuenta se convirtió en la evidencia que incriminó a Smith. La policía ejecutó una orden judicial en Block, propietaria de Cash App, y los datos de la cuenta revelaron su número de Seguro Social y fecha de nacimiento.
El expediente del caso dice: “La información recibida de Cash App mostraba que la cuenta que recibió los US$ 1.000 pertenecía a D.”
El detective lo confirmó con su licencia de conducir y «también consultando su información en Accurint», una herramienta creada por LexisNexis que, según la compañía, ayuda a la policía a «identificar rápidamente a personas, sus bienes, direcciones, teléfonos, familiares y asociados» mediante la búsqueda en «miles de millones de registros y miles de fuentes de datos independientes».
Se trata del mismo tipo de verificación —cotejar los datos con bases de datos públicas y agencias de informes de crédito al consumidor— y fue lo que confirmó que el número de la Seguridad Social y la fecha de nacimiento pertenecían a Smith.
Cuando Smith solicitó a Cash App que le mostrara la cuenta, la compañía le dijo que no podía proporcionarle esa información porque no podía demostrar que era la titular de la cuenta.
Mientras tanto, la única forma de obtener los datos era a través del proceso de descubrimiento de pruebas en su caso penal. El investigador privado de Smith, Max Ponte, afirmó que “la cuestión central radica en la distinción entre identificar a una persona por su nombre y demostrar que dicha persona operó o controló realmente una cuenta”.
404 Media verificó los detalles de la cuenta utilizando datos comerciales de filtraciones de datos, incluidas herramientas como District 4 Labs, que vende «uno de los mayores repositorios del mundo de registros comprometidos» a la policía y a los investigadores, y OSINT Industries, que busca cuentas en aplicaciones «como Strava, CashApp y AirBnB».
Este caso demuestra que el sistema actual de recopilación y uso de los datos personales más sensibles para verificar la identidad de las personas es deficiente. No cumple su objetivo de prevenir el fraude, sino que trastorna la vida de las personas, al tiempo que sigue trasladando la carga de la prueba a la víctima.
Los bancos y otras instituciones financieras recopilan estas cifras, las comparten con terceros y, finalmente, se filtran a través de violaciones de datos.
Fuente: Know Your Customer, Feed Your Fraudster
Relacionados: