El fraude online ya no se combate solo a posteriori: la startup australiana Apate ha desplegado agentes de IA antifraude que se dejan estafar a propósito para mapear las tácticas del timador antes de que este alcance a una víctima real.
El anzuelo: miles de agentes que fingen ser víctimas indefensas
Apate activa miles de programas que se hacen pasar por presas fáciles. Simulan perfiles de todas las edades, géneros y acentos, responden a llamadas y correos fraudulentos y mantienen al estafador entretenido el mayor tiempo posible. Cada minuto que un delincuente dedica a un agente es un minuto que no dedica a una persona real.
Vamos a los números. La compañía ha logrado malgastar más de 17 años de tiempo de los estafadores repartidos en 2,5 millones de conversaciones, según los datos que maneja la propia empresa y que recogió TechCrunch. No es una métrica de vanidad. Es el inventario de materia prima de su negocio.
Además de distraer, los agentes sonsacan información operativa: números de cuenta bancaria, carteras de criptomonedas, teléfonos de contacto y páginas web fraudulentas. Es decir, la infraestructura del delito capturada en caliente, mientras el timador cree que tiene a alguien al otro lado.
El negocio no es la llamada, es el dato: inteligencia en tiempo real para bancos y telecos
Los datos recopilados se envían de inmediato a entidades bancarias, operadores de telefonía y organismos públicos, el mismo circuito que en España canaliza el INCIBE. Ahí está la propuesta de valor: una alerta accionable minutos después de que el fraude empiece a gestarse, no un informe forense tres semanas más tarde.
La mayoría de la industria llega cuando el dinero ya ha cambiado de manos; el negocio de verdad está en llegar cuando el estafador todavía está hablando.
El cofundador y director comercial Brad Joffe lo resume con una crítica frontal al sector: ‘La mayor parte de la industria trabaja a posteriori’. Las operadoras bloquean números, pero los estafadores consiguen otros nuevos. Los bancos vigilan transacciones, pero para entonces el delincuente ya ha llegado al cliente. ‘Nosotros vamos directamente al estafador y obtenemos la información antes de que nadie resulte perjudicado’, añade.
Robarle tiempo al estafador es la única defensa que se puede medir en minutos ganados y en víctimas que nunca llegan a existir.
Se trata de un modelo B2B de pago por inteligencia: Apate no vende software al usuario final, vende lo que sale de esas conversaciones y lo que sus clientes pueden hacer con ello. Sus agentes hablan con decenas de miles de estafadores cada día por llamada, mensaje, correo electrónico, y web, así que el coste marginal de una interacción más tiende a cero mientras el volumen de datos crece.
Los resultados conocidos apuntan a que el comprador paga sin dudar. En el Commonwealth Bank de Australia las pérdidas por estafa han caído un 76%, y TPG Telecom ha desviado unas 590.000 llamadas fraudulentas hacia los agentes de IA. La regla que se repite en todo modelo de negocio de IA B2B: si el cliente ya pierde dinero cada mes, el retorno se calcula en una hoja de cálculo, no en una presentación.
📦 Caso de estudio: Apate
- El reto: La industria antifraude reacciona tarde: bloquea números y vigila cuentas cuando el delincuente ya ha contactado con la víctima.
- La jugada: Desplegar miles de agentes de IA que se hacen pasar por víctimas y sostener la conversación para extraer los datos del timador.
- El resultado: 17 años de tiempo robado a los estafadores, 2,5 millones de conversaciones y una caída del 76% en las pérdidas del Commonwealth Bank.
- La lección: El subproducto de tu proceso, el dato que generas mientras trabajas, puede valer más que el servicio que creías vender.
Cómo nació Apate: 44 minutos de llamada y una idea automatizable
La empresa no salió de un laboratorio. Dali Kaafar, fundador y CEO, atendió una llamada fraudulenta fingiendo ignorancia para divertir a sus hijos. La conversación duró 44 minutos. Al colgar entendió dos cosas: que el timador había malgastado ese rato sin tocar a nadie más y que el comportamiento se podía automatizar con algoritmos.
Ahí está el patrón replicable, y no hace falta ser australiano para copiarlo. Primero se valida el proceso a mano, se mide cuánto valor genera y se comprueba quién pagaría por él. Solo después se levanta la infraestructura. Es Lean Startup aplicado a la ciberseguridad, sin más épica que una llamada larga y una libreta.
Lo que este caso enseña a las startups de seguridad preventiva
El fraude que persigue Apate —phishing telefónico, mensajes con enlaces falsos, falsos soportes técnicos— tiene un precedente técnico claro: los honeypots llevan décadas en la ciberseguridad corporativa, servidores trampa que atraen al atacante para estudiar su comportamiento. Lo novedoso no es el concepto, es la conversión del subproducto en producto. El dato que se genera mientras se distrae al delincuente se vende como inteligencia.
Mi lectura es que el foso competitivo no está en los modelos de lenguaje, que cualquiera puede entrenar, sino en la red de clientes que alimenta y consume ese dato. La mayoría de los competidores reacciona cuando el daño ya está hecho. Veo dos riesgos evidentes. El primero es la detección: si los estafadores aprenden a identificar el patrón de estas conversaciones, el anzuelo deja de funcionar.
El segundo es la concentración de cartera: dos clientes ancla como un banco y una teleco sostienen buena parte de la tracción conocida, una dependencia que cualquier inversor mirará con lupa antes de firmar un cheque.
A efectos prácticos, la lección para un fundador español o latinoamericano es que la seguridad preventiva B2B se vende mejor cuando el comprador tiene una pérdida cuantificada. Un banco que pierde millones por estafa, una aseguradora que indemniza fraudes o un retailer que asume devoluciones fraudulentas pagan antes por prevenir que por lamentar. Las empresas de ciberseguridad israelíes llevan años demostrando que ese mercado no se mide por lo que ahorras, sino por lo que evitas. El resto es ejecución.
🚀 Hoja de Ruta para Emprender
- Valida a mano antes de automatizar: Haz tú el trabajo una semana y anota qué información obtienes y cuánto vale para un cliente. Kaafar convirtió 44 minutos de llamada en una empresa.
- Vende el dato, no la herramienta: Si tu proceso genera información en tiempo real, ese es el producto. Empaquétalo en alertas accionables y no en informes retrospectivos.
- Elige clientes con pérdida cuantificada: Un banco, una teleco o una aseguradora asumen un coste medible cada mes por fraude; con ellos el retorno se calcula solo.
- Mide lo que evitas, no lo que produces: Usa métricas de impacto, como estafas bloqueadas u horas robadas al delincuente, para justificar la renovación del contrato.
