Cómo investigar cuentas mula, suplantación y reversiones de pago con agentes de IA

Con Bre-B, una cuenta mula puede recibir y sacar plata en minutos, a cualquier hora. Los estafadores lo saben: suplantan al banco por WhatsApp, se toman la cuenta de un cliente o abren cuentas con datos prestados en billeteras digitales. Su monitoreo marca la alerta, pero la investigación sigue dependiendo de un analista que revisa el historial, el dispositivo, la red de pagos y el chat de soporte antes de decidir. Ese trabajo lo puede hacer hoy un agente de IA, y cada caso adicional prácticamente no cuesta nada. La decisión de bloquear o liberar sigue siendo de su equipo.

Esta es una guía práctica para líderes de fraude en fintech, billeteras y emisores en Colombia: qué alertas entregarle primero a un agente, cómo investigar sin bloquear clientes buenos y cómo saber si está funcionando.

Qué hace. El agente toma cada alerta, reconstruye lo que pasó con los datos de sus sistemas y le deja al analista un caso armado con una recomendación.

Qué no es. Un modelo de scoring nuevo ni un sistema que bloquea cuentas solo. Sus reglas siguen marcando; el agente investiga. Las mejoras que importan van a salir de sus analistas, cuando alguien pregunte por qué una regla genera tantos falsos positivos. Deje espacio para eso.

Las alertas que llenan la bandeja

Arranque con el tipo de alerta de más volumen y más falsos positivos. En muchas fintech son las alertas de cuentas nuevas que reciben pagos de muchas personas.

Cómo trabaja un agente de fraude

1. Recibe la alerta. Desde su motor de reglas, su proveedor de monitoreo o una hoja compartida.
2. Investiga. Revisa la cuenta, los pagos Bre-B, PSE o con tarjeta, las señales de dispositivo y de sesión, los tickets de soporte y los casos anteriores.
3. Conecta los puntos. Busca otras cuentas con el mismo dispositivo, la misma llave reciente o los mismos pagadores.
4. Recomienda. Deja un resumen de una página con la evidencia y lo que haría.
5. Espera la decisión. El analista aprueba en Slack o en el dashboard; cada corrección se vuelve una regla para el agente.

Las señales que usa

Las herramientas

Con agentes de código como Claude Code, conectar una fuente nueva es cuestión de pedirlo: el agente escribe la integración, la prueba y la guarda.

Runtime es el sistema operativo para agentes de IA. Cada agente corre en su propio computador aislado, con sus propias credenciales, y espera aprobación antes de mover plata o tocar una cuenta. Su equipo pide el trabajo en español; Runtime se encarga de los controles.

Paso 1: documente cómo investiga su mejor analista

Escoja un tipo de alerta y escriba qué revisa su mejor analista, en qué orden y qué lo lleva a bloquear o a liberar. Incluya los casos que se equivocaron y por qué.

• Explíquele el porqué. "Revise si cambió el celular en las últimas 48 horas porque así empiezan casi todas las tomas de cuenta" funciona mejor que "revise cambios de datos".
• Dígale qué error no puede cometer. "Nunca recomiende cerrar una cuenta solo porque recibió muchos pagos; un comerciante pequeño también lo hace" evita bloquear clientes buenos.

Paso 2: conecte sus sistemas en modo lectura

El agente necesita leer pagos, sesiones y tickets, no cambiar nada. Las credenciales se cargan desde el dashboard de Runtime, nunca se pegan en un chat.

Revise las alertas de cuentas nuevas con muchos pagos entrantes de ayer. Para cada una, dígame cuántos pagadores distintos tuvo, cuánto tiempo pasó entre la entrada y la salida de la plata, si comparte dispositivo con otras cuentas y si la llave se registró hace poco. Déjeme un resumen por caso con su recomendación, sin bloquear nada.

Paso 3: trabaje una semana en paralelo

El agente investiga las mismas alertas que su equipo, sin tocar cuentas. Al final compare conclusiones: dónde coincidieron, dónde el agente fue más estricto o más permisivo, y por qué.

Paso 4: entréguele la investigación con aprobaciones

El agente investiga cada alerta nueva y su equipo pasa a revisar y decidir. Prográmelo para que corra cada pocos minutos en las alertas urgentes, como una posible toma de cuenta, y una vez al día en las demás.

Paso 5: sume reversiones y contracargos

Las reversiones de pago y los contracargos usan los mismos datos, pero tienen plazos y formatos propios. El agente arma el expediente con la transacción, la evidencia del comercio y la comunicación con el cliente, y revisa si la solicitud encaja en las causales del artículo 51 de la Ley 1480 de 2011. Para el detalle de disputas, vea la guía de investigaciones de fraude y riesgo.

Lo que se queda con su equipo

Lo que hemos aprendido

• Empiece con una sola alerta. La de más volumen y más falsos positivos le muestra el valor más rápido.
• Pida la evidencia, no solo la conclusión. Un buen resumen dice qué revisó el agente y qué encontró, para que el analista decida en un minuto.
• El fraude cambia; las instrucciones también. Cuando aparezca una modalidad nueva, escríbala y el agente la empieza a buscar ese mismo día.
• Mida contra su equipo, no contra la perfección. La pregunta es si el agente investiga más rápido y con la misma calidad que el proceso actual.

Lo que le va a pedir cumplimiento

• Quién decidió cada bloqueo o reversión. Cada acción queda con el nombre de quien la aprobó.
• Que los datos están protegidos. Cédulas, cuentas, tarjetas y datos de dispositivo se enmascaran antes de llegar al modelo, y Runtime nunca entrena con sus datos.
• Que los casos sospechosos llegan a cumplimiento. El agente le pasa al oficial de cumplimiento los casos que podrían terminar en un reporte a la UIAF. Para ese proceso, vea la guía de cumplimiento.
• Qué hizo el agente. Un registro de cada investigación que se puede exportar para una auditoría o una queja.

Cómo medir resultados

Mida una semana antes de arrancar para tener con qué comparar.

Un cronograma realista

Rain, emisor de tarjetas con presencia en más de 150 países, usa Runtime para soporte técnico, monitoreo de fraude y riesgo, cumplimiento, ciberseguridad, investigaciones de ingeniería, revisión de PRs, QA y reportes, y se ha ahorrado $750k en proveedores y nómina.

En resumen

En pagos inmediatos, el fraude se mueve rápido y su equipo tiene que investigar igual de rápido. Deje que el agente reúna la evidencia y conecte los puntos, y que sus analistas se queden con las decisiones. Empiece con una alerta, mida y de ahí escale.

Manos a la obra.

Preguntas frecuentes

¿Cómo se usa la IA para prevenir fraude en una fintech en Colombia?

Los modelos de reglas y scoring siguen marcando las alertas; el agente de IA hace la investigación que hoy hace un analista. Revisa el historial de la cuenta, las señales del dispositivo, los pagos relacionados y los reportes previos, y deja un resumen con su recomendación. Una persona decide si bloquea, libera o escala.

¿Un agente de IA puede detectar cuentas mula en Bre-B o Nequi?

Puede investigar las que su monitoreo marca: cuentas nuevas que reciben muchos pagos de personas distintas y los sacan rápido, llaves registradas hace poco o dispositivos compartidos entre varias cuentas. El agente reconstruye la red de pagos y le deja el caso armado al analista, que decide qué hacer con la cuenta.

¿Qué es la reversión de pagos en Colombia?

Es el derecho que da el artículo 51 de la Ley 1480 de 2011, el Estatuto del Consumidor, para pedir que se reverse un pago de comercio electrónico por fraude, operación no solicitada, producto no recibido o producto defectuoso. El Decreto 1074 de 2015 fija el procedimiento y los plazos. Un agente puede armar el expediente de cada solicitud; la decisión es de su equipo.

¿El agente puede bloquear una cuenta por su cuenta?

No debería. Lo recomendable es que el agente trabaje con accesos de lectura y que cualquier bloqueo, liberación o devolución espere el visto bueno de un analista en Slack o en el dashboard. Así queda claro quién tomó cada decisión.

¿En cuánto tiempo se ve el resultado de un agente de fraude?

En unas tres semanas para un tipo de alerta: una para documentar el proceso y conectar sistemas en modo lectura, otra en paralelo con sus analistas para comparar, y desde la tercera el agente investiga con aprobaciones.

¿Qué es Runtime?

Runtime es el sistema operativo para agentes de IA en equipos de pagos y fintech. Cada agente corre en un computador aislado, con accesos limitados, aprobaciones antes de mover plata o responderle a un cliente, enmascaramiento de datos sensibles y un registro de todo lo que hace.