API de prevención del fraude

Un número verificado establece un hecho estrecho: en un momento dado, quien usaba tu producto controlaba ese número. No dice nada de su nombre, su edad, sus intenciones o su historial. Los sistemas antifraude que lo olvidan acaban confiando en exceso en una señal que nunca se diseñó para cargar con tanto.

Lo que hace valioso ese hecho estrecho es su precio. Las direcciones de correo son gratuitas e infinitas. Los números no lo son: cada uno cuesta una SIM o una cuenta de mensajería, y una cuenta de WhatsApp es a su vez producto de una verificación. La verificación no hace imposible el abuso; le pone un coste por intento, lo que suele bastar para cambiar quién se molesta en intentarlo.

El registro por script es el caso más claro. Una granja de bots que crea cuentas contra un formulario de solo correo escala a coste marginal prácticamente nulo. Pon un número verificado en el camino y cada cuenta necesita un número distinto y operativo — el ataque sigue existiendo, pero su economía se desploma.

La misma lógica vale para todo lo que se mide por cuenta: abuso de pruebas gratuitas, evasión de límites de frecuencia mediante nuevos registros, y cuentas de scraping creadas más rápido de lo que se bloquean.

Los programas de referidos, los créditos de bienvenida y los descuentos de primera compra dependen de poder distinguir a una persona de cincuenta. Sin un identificador escaso no existe un usuario nuevo, solo una dirección de correo nueva.

Asociar las ofertas a números verificados en lugar de a cuentas cierra el círculo. También te da una regla limpia que aplicar, lo que importa tanto como la comprobación: una política que diga que un número da derecho a un bono es auditable; una política sobre «la misma persona» no lo es.

Conviene decir con honestidad que la defensa habitual tiene su propio problema de fraude. Los códigos SMS se facturan por mensaje, lo que los convierte en una fuente de ingresos para el tráfico inflado artificialmente: un atacante dispara volúmenes enormes de envíos hacia rutas de las que obtiene beneficio, y tú pagas todos. Las cuentas nunca se crean; la factura es el ataque.

Un flujo Reverse OTP es estructuralmente inmune, porque no se envía nada. Es el usuario quien envía el mensaje. No hay coste de entrega por intento que inflar, y un bot que martillea tu endpoint start-verification genera sesiones que nadie completa en lugar de una factura.

Los códigos SMS también son un punto débil en el otro extremo. En un SIM swap, un atacante convence a un operador de trasladar el número de la víctima a una SIM que él controla, y cada código enviado acaba en las manos equivocadas. El usuario no hace nada mal y no se entera hasta que pierde la cuenta.

El Reverse OTP no envía ningún código, así que no hay nada que redirigir; la prueba procede de una cuenta de WhatsApp ligada al dispositivo y protegida por separado. La exposición es claramente distinta, aunque no una respuesta total — combínalo con tus propias señales para todo lo de alto valor.

Usa la verificación como puerta sobre las acciones que te cuestan algo — reclamar un bono, retirar fondos, contactar con otros usuarios, publicar — y no como un muro en la entrada. Mantén los límites de frecuencia: la verificación pone precio al abuso, no lo frena.

Y conserva la prueba una vez obtenida. Un número verificado en el registro puede respaldar comprobaciones reforzadas y la recuperación de cuenta sin un segundo registro, de modo que cada uso adicional de la señal ya no cuesta nada.