Señales de alerta y tipologías

Los escenarios de monitoreo solo son tan buenos como las tipologías que los sustentan. Un equipo de cumplimiento que no pueda describir cómo se vería el lavado de dinero a través de su plataforma no puede diseñar reglas para detectarlo, capacitar a los analistas para reconocerlo ni demostrar a un supervisor que su cobertura es completa. Esta lección parte de la lista del GAFI de señales de alerta para los activos virtuales y convierte siete patrones comunes en señales que un analista puede comprobar.

Los indicadores de señales de alerta del GAFI

En septiembre de 2020, el GAFI publicó Virtual Assets: Red Flag Indicators of Money Laundering and Terrorist Financing, elaborado a partir de más de 100 estudios de casos aportados por jurisdicciones entre 2017 y 2020. Agrupa los indicadores en seis categorías:

El informe plantea dos puntos importantes para la práctica. La lista no es exhaustiva y ningún indicador por sí solo demuestra una actividad delictiva: por ejemplo, las funciones de anonimato tienen usos legítimos. Los indicadores son motivos para examinar más de cerca y pedir explicaciones, y cobran más peso cuando se combinan y se comparan con el perfil del cliente.

De los indicadores a los escenarios

Una señal de alerta resulta útil cuando se vincula con los datos que tiene la empresa y con una respuesta que puede adoptar. Un mapa de tipologías sencillo para cada patrón registra: los indicadores involucrados, los datos necesarios (en cadena, fiduciarios, del dispositivo y del perfil), el escenario o modelo analítico que lo cubre y los pasos de la investigación. El mismo mapa sirve de base para la evaluación de cobertura descrita en la lección Ajuste, métricas y gobernanza de modelos. Otros trabajos del GAFI aportan detalles sobre tipologías; por ejemplo, Countering Ransomware Financing (marzo de 2023), que incluyó una lista de posibles indicadores de riesgo, e Illicit Financial Flows from Cyber-Enabled Fraud (noviembre de 2023), elaborado con el Grupo Egmont e INTERPOL.

Siete patrones explicados

Estructuración

La estructuración divide el valor para mantenerse por debajo de un umbral: el umbral mínimo de la Travel Rule, un límite interno para una revisión reforzada, un nivel de verificación de identidad o un umbral de reporte. Entre las señales se incluyen transferencias reiteradas dentro de una franja estrecha justo por debajo del límite, dividir un monto entre varias cuentas o direcciones de retiro y distribuir las transferencias a lo largo de varios días. Una regla puede contar las transferencias que representan entre el 80 % y el 100 % de un umbral por cliente y por semana. Una explicación inocente podría ser un límite del producto, como el de un cajero automático de criptomonedas o una tarjeta, que el analista puede comprobar. Cabe señalar que publicar los umbrales internos para los clientes los invita a estructurar las operaciones para eludirlos.

Entrada y salida rápidas

Los fondos llegan y se van rápidamente con poca actividad de trading o ninguna: se utiliza la plataforma como intermediaria para romper el rastro o convertir entre activos y canales. Algunos casos claros son la entrada de criptomonedas y la salida de moneda fiduciaria hacia una cuenta bancaria recién añadida en cuestión de horas, o la entrada de moneda fiduciaria y la salida de criptomonedas hacia una dirección que nunca se había utilizado. Los operadores de arbitraje y los creadores de mercado también mueven fondos con rapidez, por lo que el escenario necesita segmentación, y lo primero que debe comprobarse es la actividad declarada por el cliente. La lección Monitoreo de transacciones para empresas de criptomonedas muestra este escenario expresado como una regla SQL.

Cadenas de pelado hacia exchanges

En una cadena de pelado, un saldo grande se mueve a través de una larga secuencia de transacciones; cada una «pela» un monto pequeño hacia un destino, a menudo una dirección de depósito de un exchange, y envía el resto a una dirección nueva que repite el proceso (véase la lección IDFE-BA Métricas y patrones de grafos). Los informes públicos sobre robos de gran magnitud, incluidos los atribuidos a actores vinculados a la RPDC, han descrito cadenas de pelado que alimentan muchas cuentas de exchange. En un exchange, la señal son depósitos cuyo rastreo hacia atrás conduce a vínculos dentro de una misma cadena, posiblemente en varias cuentas de clientes a la vez. Un grupo de clientes sin relación entre sí que reciben fondos procedentes de la misma fuente apunta a una red coordinada para convertir los fondos, no a usuarios independientes.

Mulas de dinero

Las mulas de dinero reciben y transfieren ganancias delictivas, con conocimiento de ello o sin él. En el ámbito de las criptomonedas, suelen abrir cuentas a su propio nombre, recibir moneda fiduciaria de víctimas de fraude o de terceros, comprar criptomonedas y enviarlas a una dirección proporcionada por quien las controla. Entre las señales se incluyen muchos pagadores de moneda fiduciaria sin relación entre sí que envían fondos a una cuenta; varias cuentas que retiran fondos a la misma dirección externa; dispositivos, direcciones IP o números de teléfono compartidos entre cuentas; perfiles que no concuerdan con los volúmenes (estudiantes, recién llegados, jubilados); y cuentas vendidas o alquiladas, algo que puede observarse en un cambio repentino de dispositivo y ubicación después del registro. Las redes de mulas se detectan mejor mediante análisis de redes que vinculen cuentas por atributos y contrapartes compartidos, no con reglas aplicadas a una sola cuenta a la vez.

Estafas de inversión y románticas («matanza del cerdo»)

En estas estafas, se gana la confianza de una víctima durante semanas a través de redes sociales, aplicaciones de citas o mensajes de «número equivocado»; luego, se la convence de comprar criptomonedas en un exchange legítimo y enviarlas a una plataforma de inversión falsa que muestra ganancias inventadas. Los primeros retiros pequeños generan confianza; después siguen depósitos mayores y, finalmente, se exigen «comisiones» o «impuestos» para liberar los fondos. Informes de la ONU han vinculado grandes centros de estafas con la trata de personas.

Para un VASP cuyo cliente es la víctima, las señales incluyen un cliente nuevo sin experiencia en criptomonedas; grandes depósitos de moneda fiduciaria procedentes de ahorros, préstamos o fondos de jubilación; compra inmediata de una moneda estable y retiro a una nueva dirección externa; montos que aumentan a intervalos regulares; y grupos de destinos atribuidos a estafas. Es posible que hayan instruido al cliente para que diga que las transferencias son inversiones propias. Las respuestas también deben ser de protección, además de cumplir con las obligaciones de reporte: advertencias en la aplicación, una llamada de un equipo capacitado y la retención de un retiro mientras se explica el riesgo; todo debe quedar registrado. En este caso, el cliente es la víctima, no el sospechoso, pero la empresa debe evitar revelar cualquier reporte que presente.

Pagos de ransomware

Se observan dos partes. Una organización víctima, a menudo a través de un intermediario de respuesta a incidentes, realiza una compra inicial urgente de una cantidad grande de criptomonedas y la envía a una dirección. La parte delictiva recibe los fondos, los divide y los mueve a través de mezcladores, monedas de privacidad, saltos entre cadenas o exchanges de alto riesgo; los indicadores del GAFI de 2020 señalan que en los casos de ransomware es común un patrón escalonado seguido de un largo período de inactividad. Para los depósitos, el control clave consiste en detectar la exposición a grupos de ransomware mediante herramientas analíticas. Algunos actores de ransomware están designados, por lo que también se aplican los controles de sanciones descritos en la lección Riesgos de sanciones específicos de las criptomonedas.

Exchanges anidados

Un exchange anidado es un servicio que opera a través de una cuenta en otro VASP para utilizar su liquidez o acceso a moneda fiduciaria, mientras sus propios clientes permanecen invisibles para la entidad anfitriona. Entre las señales se incluyen una cuenta registrada a nombre de una persona o una pequeña empresa cuyos depósitos proceden de miles de remitentes sin relación entre sí; barridos frecuentes hacia unas pocas direcciones; un perfil de exposición de los fondos entrantes que se asemeja al de un exchange; y contrapartes en jurisdicciones de alto riesgo. En la práctica, la entidad anfitriona está prestando servicios similares a los de corresponsalía a un VASP desconocido, sin realizar la debida diligencia. Los resultados típicos son la restricción, una solicitud de licencias y pruebas de AML, la salida de la relación y la consideración de presentar un reporte.

Evaluación de un patrón

Para cada patrón, el analista plantea las mismas preguntas: ¿La actividad concuerda con el propósito y el perfil declarados por el cliente? ¿Hay una explicación inocente creíble y puede demostrarse? ¿Cuántos indicadores independientes están presentes? ¿Qué hicieron los fondos antes de llegar y después de salir? Las respuestas determinan si la alerta se cierra, se investiga más a fondo o se escala, tal como se describe en la lección Clasificación e investigación de alertas.

Enfoque del examen: los indicadores de señales de alerta del GAFI de septiembre de 2020 y sus seis grupos, con ejemplos de cada uno; que la lista no es exhaustiva y ningún indicador por sí solo demuestra un delito; la relación entre indicadores, datos, escenarios y pasos de investigación; las señales y explicaciones inocentes para la estructuración, la entrada y salida rápidas, las cadenas de pelado, las mulas de dinero, las estafas de matanza del cerdo, el ransomware y los exchanges anidados; el análisis de redes para detectar mulas; las respuestas de protección cuando el cliente es víctima de una estafa.