Altas que se parecen demasiado entre sí
Un conjunto de solicitudes aprobadas de forma individual, cada una con documentación razonable, empieza a mostrar coincidencias finas: mismo rango horario de registro, dispositivos que reaparecen con identificadores distintos y direcciones que comparten un patrón de escritura. El trabajo consistió en modelar identidades como nodos y coincidencias técnicas como aristas, y en ponderar cada tipo de coincidencia según su poder discriminante. El resultado práctico fue una lista corta de comunidades densas para revisión manual, en lugar de cientos de alertas sueltas sin contexto.
Un perfil biométrico que no cierra con su historial
La verificación facial de una cuenta pasaba los controles habituales, pero el grafo la ubicaba en un vecindario incómodo: compartía infraestructura de red con perfiles dados de baja meses antes y su secuencia de actividad replicaba la de un grupo ya observado. Se superpuso el historial transaccional sobre esa estructura y apareció una ruta de fondos que entraba y salía en pocas horas. El caso se priorizó para investigación y se documentó la señal que lo activó, sin afirmar por sí sola que hubiera fraude.
Rutas que solo se ven cuando el grafo ya está armado
Un flujo de transferencias entre cuentas aparentemente no relacionadas no activaba ninguna regla por monto ni por frecuencia. Al proyectar los movimientos sobre el grafo de identidades, el recorrido dibujó una estructura reconocible: una cuenta concentradora, saltos en cadena y un retorno que cerraba el circuito. La forma del trayecto resultó más informativa que el volumen absoluto. El equipo de riesgo usó ese patrón para reordenar su cola de revisión y para discutir qué umbrales temporales conviene vigilar.
Antes del modelo, la pregunta por el dato
Un intento de análisis de grafos se detuvo antes de llegar a cualquier algoritmo: los identificadores de dispositivo no eran consistentes entre sistemas, los eventos llegaban duplicados y la ventana temporal no estaba definida. El trabajo se reorientó a resolver tres preguntas básicas: qué significa que dos cuentas estén conectadas, cuánto pesa cada tipo de coincidencia y durante cuánto tiempo se conserva esa relación. Sin esas definiciones, cualquier métrica de centralidad habría sido ruido operativo con apariencia de rigor.
Cuando la señal fuerte era la fecha de creación
Un grupo de cuentas con actividad normalizada compartía algo que no aparecía en ningún campo de riesgo: se habían creado en ráfagas cortas, con minutos de diferencia, y luego habían permanecido inactivas el mismo tiempo. La fecha de creación, tratada como variable de red y no como atributo aislado, se volvió la señal más informativa del conjunto. El equipo la incorporó como criterio de agrupamiento y redujo el número de casos que llegaban a revisión manual sin contexto suficiente.
