En el primer trimestre de 2025, el Banco de España registró un incremento sostenido en las notificaciones de incidentes operativos vinculados a comunicaciones fraudulentas en canales digitales, dentro del marco de reporte obligatorio que establece el artículo 19 del Reglamento DORA. La tipología más representativa: mensajes que superan filtros de contenido genéricos porque no contienen palabras clave de alerta, pero cuya estructura técnica, reputación de remitente y contexto sectorial los sitúan inequívocamente fuera del perímetro legítimo.
Un motor anti-fraude robusto no puede apoyarse en un único modelo de inteligencia artificial porque ningún modelo generalista cubre con la misma profundidad las cinco dimensiones simultáneas del fraude en mensajería: lingüística, reputacional, tipográfica, técnica y sectorial. La orquestación de modelos especializados —cada uno entrenado sobre una señal concreta— es la única arquitectura que permite alcanzar tasas de detección operativas sin generar un volumen de falsos positivos que paralice los canales legítimos.
¿Por qué fallan los modelos únicos frente al fraude en mensajería regulada?
Un modelo generalista, por capaz que sea en tareas de lenguaje natural, opera bajo una premisa de amplitud: conoce mucho de todo. El fraude en mensajería financiera o aseguradora exige lo contrario: conocimiento profundo de un dominio estrecho. Un mensaje de phishing bancario bien construido puede tener una redacción impecable, un dominio técnicamente válido y un tono institucional correcto. Lo que falla es la combinación de señales: la antigüedad del dominio remitente es de cuatro días, el identificador de sender no está registrado en el directorio sectorial, y el patrón tipográfico del CTA imita —con diferencias imperceptibles al ojo humano— la guía de estilo de la entidad suplantada.
Ninguna de esas tres señales activa, por sí sola, un umbral de alerta. Su intersección, sí. Un modelo único tiende a pesar la señal más potente en aislamiento. Una arquitectura de arbitraje pondera la convergencia entre especialistas.
"Las entidades financieras deberán disponer de capacidades de detección de anomalías que cubran la totalidad de los vectores de riesgo identificados en su mapeo de amenazas, sin que la cobertura de un vector pueda sustituir la evaluación del resto." — EBA Guidelines on ICT and Security Risk Management (EBA/GL/2019/04), principio de cobertura integral, sección 3.3.
¿Qué son las once fases del arbitraje y qué analiza cada una?
La denominación "arbitraje de once fases" describe una arquitectura en la que cada fase corresponde a un modelo o módulo especializado que emite un veredicto parcial. Una capa de orquestación recoge esos veredictos y arbitra el resultado final. Las fases no son secuenciales en el sentido estricto: la mayoría opera en paralelo para no añadir latencia perceptible al canal. El arbitraje final es el único paso secuencial, y su coste computacional es marginal frente al análisis sustantivo.
Las fases cubren, al menos, los siguientes planos de análisis:
- Lingüístico-semántico: coherencia interna del mensaje, registro idiomático, presencia de estructuras de urgencia o coacción encubiertas.
- Reputacional del remitente: historial del identificador de sender o número origen cruzado contra bases de incidentes previos.
- Técnico-infrastructural: antigüedad y reputación del dominio vinculado, certificados, patrones de resolución DNS.
- Tipográfico y visual: detección de sustituciones de caracteres homoglíficos, espaciado anómalo, imitación de identidad corporativa.
- Contextual sectorial: congruencia entre el contenido y las pautas comunicativas habituales del sector declarado (banca, seguro, telco).
- Conductual-temporal: volumen de envío, velocidad de distribución, correlación con campañas conocidas.
- Geopolítico y de jurisdicción: origen de infraestructura frente a jurisdicción declarada del remitente.
- Normativo-formal: presencia o ausencia de menciones legales obligatorias según RGPD Art. 13/14 o sectorial aplicable.
- Semántico de destino: análisis de la URL o acción solicitada frente a patrones de recolección de credenciales.
- Histórico de entidad suplantada: coincidencia con patrones de fraude documentados contra esa marca o sector específico.
- Agregado de arbitraje: ponderación final que produce el score consolidado y el veredicto auditable.
La trazabilidad por fase es un requisito operativo, no un diferencial de producto: bajo DORA Art. 17, las entidades deben poder reconstruir la cadena de decisión de sus herramientas de gestión de riesgos TIC. Un score sin señales trazables no es auditable.
¿Cómo encaja esta arquitectura con el SOC que ya tiene su entidad?
Este es el punto de fricción más frecuente en conversaciones con comités de riesgos: la entidad ya dispone de un SOC —propio o externalizado— con capacidades de detección. La pregunta pertinente no es si el SOC es competente; es si el SOC fue diseñado para el análisis masivo en tiempo real de mensajería entrante dirigida al cliente final.
Los SOC están optimizados para la superficie de ataque interna: endpoints, accesos privilegiados, tráfico de red perimetral. La mensajería fraudulenta que llega al cliente final —SMS, notificaciones push, correo transaccional— ocurre fuera del perímetro técnico del SOC. Cuando ese fraude tiene consecuencias operativas para la entidad (reclamaciones PSD2, incidentes DORA, litigios por daño reputacional), el SOC lo detecta tarde, ya en fase de gestión de incidente, no de prevención.
La capa operativa de análisis de mensajería cubre el gap entre la infraestructura de comunicación del partner o proveedor de envíos y el cliente final. No sustituye al SOC: le alimenta con señales clasificadas, reduce el ruido de alertas no accionables y acorta el tiempo de respuesta en incidentes que combinan fraude externo con vectores de ingeniería social.
Para una aseguradora mediana con distribución multicanal, esto se traduce en capacidad de bloquear campañas de smishing sectoriales antes de que el volumen de llamadas al contact center revele el ataque. Para un operador de banca regional, implica disponer de evidencia trazable por mensaje antes de que el cliente interponga reclamación ante el Banco de España al amparo del Real Decreto-ley 19/2018 de servicios de pago.
¿Qué aporta VeriMsg en esta arquitectura?
VeriMsg opera como la capa de orquestación y arbitraje descrita: recibe la comunicación —o su metadata según el modelo de integración acordado— y devuelve un veredicto estructurado con score numérico y señales identificadas por fase. El resultado es consumible directamente por sistemas de gestión de riesgos, plataformas SIEM o flujos de aprobación de campañas salientes.
El diseño responde a dos restricciones operativas reales del sector regulado. Primera: la velocidad de respuesta debe ser compatible con los flujos transaccionales; el análisis no puede convertirse en un cuello de botella para comunicaciones legítimas de alto volumen. Segunda: la trazabilidad del veredicto debe ser suficiente para soportar un requerimiento de auditoría o una reclamación formal, sin exponer la lógica interna del modelo a actores adversariales.
Alineado con los requisitos de gestión de riesgos de terceros que establece DORA Art. 28, VeriMsg documenta sus controles de resiliencia operativa y pone a disposición del cliente la información necesaria para completar el registro de dependencias TIC críticas exigido a las entidades supervisadas.
Preguntas frecuentes
¿Un LLM de propósito general no puede hacer este análisis?
Puede aproximarlo, pero no con la precisión operativa que exige un entorno regulado. Un LLM generalista carece de señales reputacionales en tiempo real, no tiene contexto sectorial especializado y no produce un veredicto trazable por dimensión de análisis. Genera texto; no arbitra riesgo.
¿Qué diferencia hay entre arbitraje multi-modelo y un ensemble estadístico clásico?
Un ensemble promedia modelos entrenados sobre la misma señal para reducir varianza. El arbitraje multi-modelo combina especialistas entrenados sobre señales heterogéneas —lingüística, reputacional, técnica— y pondera su convergencia. La diferencia es cualitativa: cubre dimensiones que un ensemble homogéneo no puede capturar.
¿Cómo se integra con nuestra plataforma de envíos actual?
La integración ocurre a nivel de API sobre los flujos de mensajería saliente o entrante, según el caso de uso. El modelo de integración específico se define durante el proceso de piloto. VeriMsg no requiere acceso a datos de cliente final para el análisis de mensajería saliente.
¿Qué documentación facilita VeriMsg para el registro de terceros críticos bajo DORA?
Se facilita documentación de controles operativos, política de continuidad y descripción funcional del servicio, alineada con los campos requeridos por el Registro de Información de Acuerdos Contractuales de DORA Art. 28.3. El alcance exacto se concreta en la fase de incorporación.
Checklist ejecutivo para su comité de riesgos
- Audite su cobertura actual por dimensión: verifique si su solución de análisis de mensajería produce veredictos trazables por señal lingüística, reputacional, técnica y sectorial de forma separada, o si devuelve únicamente un score agregado sin desglose auditable.
- Identifique el gap entre SOC y cliente final: documente qué porcentaje de los incidentes de fraude externo de los últimos doce meses fue detectado antes de que el cliente final reportara el daño; ese intervalo es su superficie de exposición real.
- Revise su mapa de dependencias TIC bajo DORA Art. 28: confirme que la capa de análisis de mensajería está registrada como dependencia, con documentación de controles de resiliencia disponible para auditoría supervisora.
- Evalúe la trazabilidad de sus veredictos: ante una reclamación formal o un requerimiento del Banco de España, ¿puede reconstruir la cadena de decisión del sistema que marcó —o no marcó— un mensaje como fraudulento? Si la respuesta es incompleta, el riesgo operativo y reputacional está infravalorado en su modelo.
- Solicite un piloto acotado: la forma más eficiente de valorar una arquitectura de arbitraje es someterla a un conjunto de casos reales anonimizados de su entorno. El Pilot Readiness Pack de VeriMsg incluye el protocolo de evaluación, los criterios de éxito acordados y el formato de reporte para su comité.