Indicatori di anomalia e tipologie

L'efficacia degli scenari di monitoraggio dipende dalle tipologie su cui si basano. Un team di conformità che non è in grado di descrivere come si manifesterebbe il riciclaggio attraverso la propria piattaforma non può progettare regole per rilevarlo, formare gli analisti a riconoscerlo o dimostrare a un'autorità di vigilanza che la copertura è completa. Questa lezione parte dall'elenco FATF degli indicatori di anomalia per le attività virtuali e traduce sette schemi comuni in segnali che un analista può verificare.

Gli indicatori di anomalia FATF

Nel settembre 2020 il FATF ha pubblicato Attività virtuali: indicatori di anomalia del riciclaggio di denaro e del finanziamento del terrorismo, elaborato sulla base di oltre 100 casi di studio forniti da diverse giurisdizioni tra il 2017 e il 2020. Il documento raggruppa gli indicatori in sei categorie:

Il rapporto sottolinea due aspetti rilevanti sul piano pratico. L'elenco non è esaustivo e nessun singolo indicatore dimostra un'attività criminale: le funzionalità di anonimato, ad esempio, hanno impieghi legittimi. Gli indicatori costituiscono motivi per approfondire e chiedere spiegazioni, e acquistano maggiore peso quando sono combinati e valutati rispetto al profilo del cliente.

Dagli indicatori agli scenari

Un indicatore di anomalia diventa utile quando viene associato ai dati detenuti dall'impresa e a un intervento che essa può attuare. Una semplice mappa delle tipologie registra, per ogni schema: gli indicatori coinvolti, i dati necessari (on-chain, relativi alla valuta fiat, al dispositivo e al profilo), lo scenario o il modello analitico che lo copre e le fasi dell'indagine. La stessa mappa costituisce la base della valutazione della copertura descritta nella lezione Calibrazione, metriche e governance dei modelli. Altri lavori del FATF aggiungono dettagli sulle tipologie, ad esempio Contrastare il finanziamento del ransomware (marzo 2023), corredato da un elenco di potenziali indicatori di rischio, e Flussi finanziari illeciti derivanti da frodi facilitate dalle tecnologie informatiche (novembre 2023), realizzato con l'Egmont Group e INTERPOL.

Sette schemi analizzati

Frazionamento

Il frazionamento suddivide il valore per rimanere al di sotto di una soglia: la soglia de minimis della Travel Rule, un limite interno per la verifica rafforzata, un livello di verifica dell'identità o una soglia di segnalazione. I segnali includono trasferimenti ripetuti in una fascia ristretta appena al di sotto del limite, la suddivisione di un importo tra più conti o indirizzi di prelievo e la distribuzione dei trasferimenti su più giorni. Una regola può conteggiare i trasferimenti compresi tra l'80% e il 100% di una soglia per cliente alla settimana. La spiegazione lecita è un limite del prodotto, come un massimale di un ATM per criptovalute o di una carta, che l'analista può verificare. Si noti che rendere note ai clienti le soglie interne favorisce il frazionamento volto ad aggirarle.

Rapido ingresso e uscita dei fondi

I fondi arrivano ed escono rapidamente con un'attività di negoziazione minima o nulla: la piattaforma viene utilizzata come punto di transito per interrompere la tracciabilità o per convertire tra attività e circuiti di pagamento. Forme particolarmente indicative sono l'ingresso di criptovalute e l'uscita di valuta fiat verso un conto bancario appena aggiunto nell'arco di poche ore, oppure l'ingresso di valuta fiat e l'uscita di criptovalute verso un indirizzo mai utilizzato prima. Anche gli operatori di arbitraggio e i market maker movimentano rapidamente i fondi, quindi lo scenario richiede una segmentazione e l'attività dichiarata dal cliente è il primo elemento da verificare. La lezione Monitoraggio delle transazioni per le imprese del settore delle criptovalute mostra questo scenario formulato come regola SQL.

Peel chain verso gli exchange

In una peel chain, un saldo elevato si sposta attraverso una lunga sequenza di transazioni; ciascuna «stacca» un piccolo importo destinandolo a un indirizzo, spesso un indirizzo di deposito di un exchange, e invia il resto a un nuovo indirizzo che ripete il processo (si veda la lezione IDFE-CF Grafi delle transazioni e metriche dei grafi). Resoconti pubblici su furti di grandi dimensioni, compresi quelli attribuiti ad attori collegati alla DPRK, hanno descritto peel chain che alimentano numerosi conti presso exchange. Su un exchange, il segnale è costituito da depositi la cui ricostruzione a ritroso conduce a passaggi di una stessa catena, eventualmente su più conti cliente contemporaneamente. Un gruppo di clienti non collegati tra loro che riceve importi staccati dalla stessa fonte indica una rete coordinata di monetizzazione anziché utenti indipendenti.

Prestanome finanziari

I prestanome finanziari ricevono e trasferiscono proventi di attività criminali, consapevolmente o meno. Nel settore delle criptovalute spesso aprono conti a proprio nome, ricevono valuta fiat da vittime di frodi o da terzi, acquistano criptovalute e le inviano a un indirizzo fornito da chi li dirige. I segnali sono: numerosi pagatori in valuta fiat non collegati tra loro che versano su un unico conto; più conti che prelevano verso lo stesso indirizzo esterno; dispositivi, indirizzi IP o numeri di telefono condivisi tra conti; profili non coerenti con i volumi (studenti, persone arrivate di recente, pensionati); conti venduti o affittati, riconoscibili da un improvviso cambiamento di dispositivo e posizione dopo l'acquisizione del cliente. Le reti di prestanome finanziari vengono individuate più efficacemente mediante un'analisi di rete che colleghi i conti attraverso attributi e controparti condivisi, non mediante regole applicate a un conto alla volta.

Truffe sugli investimenti e truffe sentimentali («pig butchering»)

In queste truffe, una vittima viene manipolata per settimane attraverso social media, app di incontri o messaggi inviati a un «numero sbagliato», per poi essere persuasa ad acquistare criptovalute su un exchange legittimo e a inviarle a una falsa piattaforma di investimento che mostra profitti inventati. Piccoli prelievi iniziali creano fiducia; seguono depositi più consistenti e, infine, vengono richieste «commissioni» o «imposte» per sbloccare i fondi. Rapporti delle Nazioni Unite hanno collegato grandi centri dediti alle truffe alla tratta di esseri umani.

Per un VASP il cui cliente è la vittima, i segnali includono un nuovo cliente senza esperienza con le criptovalute; ingenti depositi in valuta fiat provenienti da risparmi, prestiti o fondi pensionistici; acquisto immediato di una stablecoin e prelievo verso un nuovo indirizzo esterno; importi crescenti a intervalli regolari; cluster di destinazione attribuiti a truffe. Il cliente potrebbe essere istruito a dichiarare che i trasferimenti sono un proprio investimento. Le risposte hanno finalità di protezione oltre che di segnalazione: avvisi nell'app, una chiamata da parte di un team formato e la sospensione di un prelievo mentre viene spiegato il rischio, con registrazione di ogni intervento. In questo caso il cliente è la vittima, non il sospettato, ma l'impresa deve comunque evitare di rivelare qualsiasi segnalazione presentata.

Pagamenti di ransomware

Sono osservabili due lati. Un'organizzazione vittima, spesso tramite un intermediario specializzato nella risposta agli incidenti, effettua con urgenza un primo acquisto di un'ingente quantità di criptovalute e la invia a un unico indirizzo. Sul lato criminale, i fondi vengono ricevuti, suddivisi e movimentati attraverso mixer, privacy coin, passaggi tra blockchain o exchange ad alto rischio; gli indicatori FATF del 2020 rilevano che uno schema scaglionato seguito da una lunga inattività è comune nei casi di ransomware. Per i depositi, il controllo fondamentale è l'esposizione a cluster di ransomware rilevata mediante strumenti analitici. Alcuni attori del ransomware sono soggetti a sanzioni, pertanto si applicano anche i controlli sulle sanzioni descritti nella lezione Rischi sanzionatori specifici delle criptovalute.

Exchange annidati

Un exchange annidato è un servizio che svolge la propria attività attraverso un conto presso un altro VASP per utilizzarne la liquidità o l'accesso alla valuta fiat, mentre i propri clienti rimangono invisibili al VASP ospitante. I segnali sono: un conto registrato a nome di una persona fisica o di una piccola impresa i cui depositi provengono da migliaia di mittenti non collegati tra loro; frequenti trasferimenti di accentramento in uscita verso pochi indirizzi; un profilo di esposizione dei flussi in entrata simile a quello di un exchange; controparti in giurisdizioni ad alto rischio. Il VASP ospitante sta di fatto fornendo servizi analoghi a quelli di corrispondenza a un VASP sconosciuto senza adeguata verifica. Gli esiti tipici sono l'imposizione di restrizioni, la richiesta di documentazione relativa alle autorizzazioni e ai presidi AML, la cessazione del rapporto e la valutazione di una segnalazione.

Valutare uno schema

Per ogni schema, l'analista si pone le stesse domande: l'attività è coerente con lo scopo dichiarato e il profilo del cliente? Esiste una spiegazione lecita credibile ed è possibile comprovarla? Quanti indicatori indipendenti sono presenti? Quali movimenti hanno compiuto i fondi prima dell'arrivo e dopo l'uscita? Le risposte determinano se l'allerta viene chiusa, ulteriormente approfondita o inoltrata al livello superiore, come descritto nella lezione Valutazione preliminare delle allerte e indagine.

Focus sull'esame: gli indicatori di anomalia FATF del settembre 2020 e i loro sei gruppi, con esempi per ciascuno; il fatto che l'elenco non è esaustivo e che nessun singolo indicatore dimostra un reato; l'associazione degli indicatori a dati, scenari e fasi dell'indagine; i segnali e le spiegazioni lecite per il frazionamento, il rapido ingresso e uscita dei fondi, le peel chain, i prestanome finanziari, le truffe di tipo pig butchering, il ransomware e gli exchange annidati; l'analisi di rete per individuare i prestanome finanziari; le risposte di protezione quando il cliente è vittima di una truffa.