Cuando una identidad robada se vuelve prueba: CashApp debe asumirlo

¿Cómo se llama un sistema en el que a la persona a quien le han robado la identidad se le exige demostrar que no lo hizo ella, mientras la empresa que guarda las pruebas le dice que no puede verlas porque no demuestra que la cuenta es suya? Eficiente, si eres la empresa. Kafkiano, si eres ella.

Esa es la situación que describe 404 Media. Una tarde de abril, Amanda Smith abrió la puerta y se encontró con el departamento del sheriff del norte del estado de Pensilvania. Tenían una orden por fraude informático, por algo supuestamente cometido en Arkansas, un lugar en el que asegura no haber estado nunca. Pasó tres noches en la cárcel.

Según el reportaje, un estafador consiguió que alguien en Facebook Marketplace enviara 1000 dólares a una cuenta de CashApp que él controlaba. La cuenta se abrió con el número de la Seguridad Social y la fecha de nacimiento de Smith. Ella dice que nunca ha usado CashApp. Seis meses después, el caso sigue abierto y, según se cuenta, CashApp se niega a darle información alguna sobre la cuenta porque no pudo demostrar que era la titular. Todo esto es su versión de los hechos tal como se ha publicado; no hemos visto los documentos de la acusación.

Una identidad es una afirmación, no una prueba

El error de fondo es tratar dos datos, un número de la Seguridad Social y una fecha de nacimiento, como si fueran la persona. No lo son. Son cosas que se pueden conocer, comprar o robar. Si una aplicación los da por suficientes para abrir una cuenta que mueve dinero, está tomando una decisión de negocio: poca fricción, más registros. Eso está bien hasta que la fricción eliminada recae sobre otra persona.

Y aquí recayó sobre Smith. La comprobación de registro de la plataforma, al parecer, bastó para abrir la cuenta, pero no para que se crea a Smith cuando dice que no es suya. En nuestra opinión, esa asimetría es toda la historia. La empresa confió en la identidad cuando le convenía y desconfía de la persona real cuando hace preguntas.

El pez que se muerde la cola es una decisión de diseño

Fíjate en el bucle. Para ver los datos de la cuenta, tiene que demostrar que es suya. No es suya, y esa es precisamente su defensa. Así que el único registro que podría ayudarla a limpiar su nombre, como la forma en que se abrió o desde dónde se accedió, queda fuera de su alcance. Las normas de privacidad existen por buenas razones, pero una política que deja fuera a la persona cuyo nombre figura en la cuenta en un caso penal no protege su privacidad. Protege el procedimiento de la empresa.

La fiscalía también merece su parte de escrutinio. Una orden de detención emitida de un estado a otro contra una mujer que, según su relato, nunca estuvo cerca del lugar sugiere que se trató un nombre en una cuenta como un vínculo sólido. Creemos que lo sensato en un caso de aplicación de pagos es empezar preguntándose: «¿Podría ser una suplantación de identidad?». No es nada exótico en un mundo en el que, como dice la propia página de seguridad de Cash App, las estafas por suplantación son el tipo de fraude más denunciado ante la FTC.

Quién debería cargar con el peso

Las recomendaciones de Cash App explican a los usuarios que las estafas funcionan porque están diseñadas para saltarse el instinto de las personas, y que caer en una no te hace ingenuo. Estamos de acuerdo. Pero la misma lógica debería aplicarse hacia arriba. Smith no cayó en nada. Ni siquiera usó el producto. Si un discurso de prevención del fraude pone tanto peso en la vigilancia del usuario, no puede decirle también a alguien que nunca se registró que debería haberlo evitado.

¿Cómo sería una norma justa? Nuestra propuesta, como opinión y no como ley: cuando se avise a una plataforma de que una cuenta puede haberse abierto con credenciales robadas, debería estar obligada a conservar los registros y compartirlos con rapidez con la persona señalada y con los investigadores, y a advertir a las fuerzas del orden de que el robo de identidad es plausible. Las empresas que se benefician de un alta fácil deberían costear la verificación de quién está realmente detrás de una cuenta, y asumir el coste cuando no lo hacen.

Veredicto

El caso de Smith es una sola cuenta y no sabemos cómo acabará. Pero es tendencia por algo: casi cualquiera que lo lea puede imaginar su propio número de la Seguridad Social en el formulario de registro de otra persona. Mientras no se haga responsables a las aplicaciones de pago de a quién dejan entrar, el sospechoso más barato seguirá siendo el nombre que figura en la cuenta. Eso es ponerlo todo al revés. Quien diseñó la puerta debe responder de quién la cruza.