Señales de coordinación, no casos aislados
Cuando varias identidades comparten dispositivo, rango de red o secuencia de apertura, el caso individual se ve razonable y el conjunto no. El trabajo útil aquí es conservar esos atributos, ponderar coincidencias débiles y entregar al equipo de fraude una lista corta de comunidades con contexto, no una cola más larga de alertas sueltas.
Cómo se construye y se interpreta un grafo
Un analista de datos necesita entender qué significa que dos cuentas estén conectadas, cuánto pesa cada tipo de coincidencia y durante cuánto tiempo se conserva esa relación. Sin esas definiciones, cualquier métrica de centralidad se vuelve decorativa. La lectura del grafo empieza por las decisiones de modelado, no por la herramienta.
Criterios para decidir cuándo revisar
Riesgo no necesita el grafo completo: necesita un umbral razonable para abrir una investigación. Densidad de la comunidad, forma del recorrido del dinero y persistencia temporal de las conexiones pesan más que el volumen absoluto de una transferencia. El criterio se acuerda antes de mirar el primer caso.
Rutas financieras sobre el grafo ya armado
Con el grafo de identidades construido, superponer los movimientos revela cuentas concentradoras, saltos en cadena y retornos que cierran el circuito. Ninguno de esos patrones concluye por sí solo, pero combinados con la topología permiten priorizar. La forma del recorrido suele decir más que el monto.
Calidad del dato antes que sofisticación
Identificadores inconsistentes, eventos duplicados o ventanas temporales mal definidas arruinan cualquier modelo, por elaborado que sea. Antes de discutir arquitecturas conviene resolver qué cuenta como conexión y con qué evidencia. Es la parte menos vistosa y la que más condiciona el resultado en producción.