Mule-as-a-Service (MaaS) Underground Economy Campaign (Telegram Channels / AI-Enabled Money Laundering)

Mule-as-a-Service (MaaS) Underground Economy Campaign se refiere a una operación de ciberdelincuencia financiera a gran escala en la que los actores de amenazas venden abiertamente cuentas bancarias verificadas, monederos fintech, cuentas de intercambio de criptomonedas y servicios completos de lavado de dinero a través de canales de Telegram, foros de la dark web y grupos de mensajería cifrada, convirtiendo el blanqueo de capitales en un servicio delictivo estructurado, escalable y profesionalizado. Según el Centro de Inteligencia Cibernética KELA, este mercado clandestino ha crecido mucho más allá del reclutamiento informal de "mulas" y ahora funciona como una industria profesional con precios escalonados, atención al cliente, garantías de reemplazo de cuentas y paneles de gestión centralizados ("Mule Management Panels"). Los fondos que circulan por estas redes provienen de campañas de phishing, ataques de ransomware, estafas de suplantación de identidad por correo electrónico (BEC), fraudes de inversión y malware bancario. En Estados Unidos, se estima que el 0.3% de todas las cuentas en instituciones financieras están controladas por intermediarios financieros (mulas). El informe de KELA identificó casi 250,000 mensajes de Telegram relacionados con las "Cuentas Naranjas" brasileñas (Contas Laranja), que son cuentas bancarias alquiladas o creadas fraudulentamente para transferir fondos a través del sistema de pago instantáneo PIX de Brasil. En Argentina, más de 100,000 mensajes de Telegram hacían referencia a la venta o alquiler de cuentas vinculadas a los identificadores CBU y CVU utilizados por bancos locales y monederos digitales. En Colombia, plataformas fintech como Nequi y Daviplata son frecuentemente referenciadas debido a la aparente facilidad de incorporación de usuarios y menores requisitos KYC. La inteligencia artificial (IA) está transformando radicalmente estas operaciones: los ciberdelincuentes utilizan modelos lingüísticos complejos (LLMs), herramientas de vídeo deepfake (RunwayML), sistemas de clonación de voz (RVC) y agentes de IA autónomos para crear identidades sintéticas ("Frankenstein identities"), eludir los sistemas de verificación KYC, automatizar el "precalentamiento" de cuentas (account warming), y optimizar el lavado de dinero a través de algoritmos de "smurfing predictivo". Los vendedores ofrecen plantillas PSD de documentos de identidad falsificados (una publicación recibió más de 400 respuestas de compradores interesados), y un manual compartido en el foro CrackedTo indicaba a los usuarios que usaran frases como "generar movimientos faciales naturales para la verificación" en ChatGPT para engañar a las comprobaciones de actividad de las aplicaciones bancarias. KELA recomienda que las organizaciones monitoreen activamente los foros de la dark web y los canales de Telegram, actualicen sus sistemas de verificación de identidad para detectar ataques de inyección de deepfakes, implementen análisis de comportamiento capaces de reconocer el precalentamiento de cuentas asistido por IA, y fortalezcan la detección de fraudes en tiempo real.

Nombres Alternativos / Aliases

Mule-as-a-Service (MaaS) Campaign (Por el modelo de negocio)
Contas Laranja Underground Economy (Por las cuentas brasileñas)
Telegram Mule Network Operation (Por la plataforma principal)
AI-Enabled Money Laundering Ecosystem (Por el uso de IA)
Fraud-as-a-Service Monetization Engine (Por el ecosistema más amplio)

Fecha de Detección / Actividad

Fecha de Publicación del Informe KELA: 22 de mayo de 2026
Período de Actividad Observado: Activo al menos desde 2022 (publicación de plantillas PSD con más de 400 respuestas hasta 2026)
Volumen de Mensajes en Telegram (Brasil): ~250,000 mensajes relacionados con "Contas Laranja"
Volumen de Mensajes en Telegram (Argentina): ~100,000 mensajes relacionados con cuentas CBU/CVU
Estado: Activo. El mercado MaaS continúa creciendo y profesionalizándose, con integración creciente de herramientas de IA.

Actor de Amenaza (Atribución)

Nombre del Actor: No atribuido a un grupo específico; opera a través de múltiples vendedores independientes y organizaciones criminales en canales de Telegram, foros de la dark web (ej., Exillio404, Dread, CarderUK, CrackedTo) y grupos de mensajería cifrada.
Tipo de Actor: Proveedores de Mule-as-a-Service (MaaS) , un segmento especializado del ecosistema más amplio de Fraud-as-a-Service (FaaS). Incluye vendedores de cuentas, proveedores de KYC, operadores de paneles de gestión de mulas, y servicios completos de lavado de dinero.
Sofisticación: Alta. Los actores demuestran capacidades avanzadas: (a) creación de cuentas bancarias y fintech verificadas a escala utilizando identidades robadas, sintéticas o generadas por IA, (b) bypass de KYC mediante documentos falsificados, deepfakes, inyección de vídeo sintético y clonación de voz, (c) operación de paneles de gestión centralizados ("Mule Management Panels") que coordinan miles de cuentas simultáneamente, (d) uso de IA para precalentamiento de cuentas (account warming), smurfing predictivo y optimización de transacciones, (e) estructura de negocio profesional con precios escalonados, atención al cliente, garantías de reemplazo y sistemas de reputación, (f) integración con APIs bancarias para lavado de dinero en tiempo real, y (g) operación transfronteriza en múltiples países (Brasil, Argentina, Colombia, EE.UU., Europa, etc.).

Resumen Ejecutivo

Mule-as-a-Service (MaaS) Underground Economy Campaign es una operación de lavado de dinero a escala industrial que ha transformado el reclutamiento tradicional de "mulas" en un ecosistema criminal profesionalizado, automatizado y potenciado por IA. Según el informe del Centro de Inteligencia Cibernética KELA publicado el 22 de mayo de 2026, los ciberdelincuentes venden abiertamente cuentas bancarias verificadas, monederos fintech, cuentas de intercambio de criptomonedas y servicios completos de lavado de dinero a través de canales de Telegram, foros de la dark web y grupos de mensajería cifrada. Estas operaciones se basan en identidades robadas, perfiles generados por IA y credenciales comprometidas para crear cuentas que superan los controles de identidad de los bancos y las plataformas fintech. Los delincuentes utilizan documentos falsificados, vídeos deepfake, kits de identidad sintética y ataques de inyección de deepfakes para abrir nuevas cuentas sin activar las alertas de fraude. Una vez activas, estas cuentas reciben fondos ilícitos (provenientes de phishing, ransomware, BEC, fraudes de inversión y malware bancario), los distribuyen rápidamente entre varias instituciones (layering) y retiran el dinero antes de que cualquier entidad financiera pueda reaccionar.

El informe de KELA identificó casi 250,000 mensajes de Telegram relacionados con las "Contas Laranja" brasileñas (Cuentas Naranja), que son cuentas bancarias alquiladas o creadas fraudulentamente para transferir fondos a través del sistema de pago instantáneo PIX de Brasil. En Argentina, más de 100,000 mensajes de Telegram hacían referencia a la venta o alquiler de cuentas vinculadas a los identificadores CBU y CVU utilizados por bancos locales y monederos digitales. En Colombia, plataformas fintech como Nequi y Daviplata son frecuentemente referenciadas debido a la aparente facilidad de incorporación de usuarios y menores requisitos KYC. En un foro de la dark web, un usuario describió el ecosistema bancario colombiano como relativamente accesible para la creación de cuentas.

La inteligencia artificial (IA) está transformando radicalmente estas operaciones. Los ciberdelincuentes utilizan:

Modelos lingüísticos grandes (LLMs) como ChatGPT para generar prompts que crean vídeos de verificación realistas ("generar movimientos faciales naturales para la verificación").
Herramientas de vídeo deepfake como RunwayML para fabricar vídeos con movimientos faciales realistas que engañan a los sistemas de verificación remota.
Ataques de inyección de deepfakes: en lugar de presentar imágenes manipuladas a una cámara física, los atacantes inyectan flujos de vídeo sintético directamente en el pipeline de vídeo del sistema operativo móvil, eludiendo las comprobaciones de actividad tradicionales.
Clonación de voz mediante sistemas Retrieval-based Voice Conversion (RVC) para eludir la verificación por devolución de llamada en instituciones financieras.
Identidades sintéticas ("Frankenstein identities"): combinación de PII robada (números de identificación nacional, fechas de nacimiento) con datos generados por IA (nombres falsos, direcciones, fotos de perfil, historiales de empleo).
Precalentamiento de cuentas (account warming): agentes de IA autónomos realizan transacciones de bajo riesgo (pago de facturas de servicios públicos) para que una cuenta parezca legítima antes de que lleguen fondos ilícitos.
Smurfing predictivo: algoritmos predictivos ajustan dinámicamente el tamaño y el momento de las transferencias para mantenerse por debajo de los umbrales de detección de las autoridades contra el blanqueo de capitales (AML).
Paneles de gestión de mulas (Mule Management Panels): interfaces web centralizadas que funcionan como comando y control (C2) para coordinar miles de cuentas simultáneamente, a menudo integradas con APIs bancarias para lavado de dinero en tiempo real.

Los vendedores ofrecen plantillas PSD de documentos de identidad falsificados (una publicación recibió más de 400 respuestas de compradores interesados). Un manual compartido en el foro CrackedTo indicaba a los usuarios que usaran frases como "generar movimientos faciales naturales para la verificación" en ChatGPT para engañar a las comprobaciones de actividad de las aplicaciones bancarias. Los proveedores de MaaS ofrecen garantías de reemplazo de cuentas si una cuenta adquirida es bloqueada o restringida, y utilizan sistemas de reputación similares a los de las empresas legítimas.

KELA recomienda que las organizaciones: (1) monitoreen activamente los foros de la dark web y los canales de Telegram en busca de actividad emergente de MaaS, (2) actualicen sus sistemas de verificación de identidad para detectar ataques de inyección de deepfakes, (3) implementen análisis de comportamiento capaces de reconocer el precalentamiento de cuentas asistido por IA y las conductas de manipulación adaptativa que los sistemas AML estándar no están diseñados para detectar, y (4) fortalezcan la detección de fraudes en tiempo real.

Vectores de Ataque / Métodos de Distribución

Canales de Telegram y Foros de la Dark Web: Los actores publican abiertamente ofertas de cuentas bancarias verificadas, monederos fintech, cuentas de intercambio de criptomonedas y servicios de lavado de dinero. Los compradores pueden contactar a los vendedores a través de los mismos canales.
Identidades Robadas y Sintéticas: Los actores utilizan información personal robada (PII) de violaciones de datos, campañas de phishing, malware infostealer, SIM-swapping, o mercados de identidad clandestinos. También crean identidades sintéticas ("Frankenstein identities") combinando PII real con datos generados por IA.
Bypass de KYC con IA: Los actores utilizan documentos falsificados, deepfakes, inyección de vídeo sintético, y clonación de voz para eludir los sistemas de verificación de identidad de bancos y plataformas fintech.
Precalentamiento de Cuentas (Account Warming): Agentes de IA autónomos realizan transacciones de bajo riesgo (pago de facturas de servicios públicos) en cuentas recién creadas para establecer un historial legítimo antes de que lleguen fondos ilícitos.
Lavado de Dinero como Servicio (Laundering-as-a-Service): El cliente transfiere fondos ilícitos a la infraestructura MaaS; el proveedor maneja todo el proceso de capas (layering) y devuelve los fondos "limpios" al cliente.
Smurfing Predictivo: Algoritmos predictivos ajustan dinámicamente el tamaño y el momento de las transferencias para mantenerse por debajo de los umbrales de detección AML.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK (Contexto de Lavado de Dinero)

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Valid Accounts (T1078) - Cloud Accounts (T1078.004)	Los actores obtienen acceso a cuentas bancarias y fintech verificadas (ya sea mediante creación fraudulenta o toma de control de cuentas existentes).
Resource Development (TA0042)	Acquire Infrastructure (T1583) - Virtual Private Server (T1583.003), Domains (T1583.001)	Los actores adquieren infraestructura para paneles de gestión de mulas, servidores C2, y canales de Telegram.
Resource Development (TA0042)	Develop Capabilities (T1587) - Malware (T1587.001)	Desarrollo de herramientas de inyección de deepfakes, bots de automatización de transferencias, y agentes de IA para precalentamiento de cuentas.
Defense Evasion (TA0005)	Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)	Las cuentas mula se hacen pasar por cuentas legítimas de clientes; las transacciones se disfrazan como actividad normal.
Defense Evasion (TA0005)	Subvert Trust Controls: Code Signing (T1553.002)	Los deepfakes y documentos falsificados eluden los controles de confianza de los sistemas de verificación KYC.
Credential Access (TA0006)	Unsecured Credentials: Credentials In Files (T1552.001)	Robo de credenciales de clientes bancarios a través de phishing, malware, o violaciones de datos.
Collection (TA0009)	Data from Local System (T1005)	Recopilación de PII para crear identidades sintéticas.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	Los paneles de gestión de mulas se comunican con los servidores C2 a través de HTTPS.
Command and Control (TA0011)	Web Service (T1102) - Bidirectional Communication (T1102.002)	Uso de Telegram como canal de comunicación bidireccional entre vendedores y compradores.
Impact (TA0040)	Financial Theft (sin código ATT&CK específico)	Lavado de fondos ilícitos a través del sistema financiero, causando pérdidas a víctimas e instituciones financieras.

Flujo de Ataque (Money Laundering Kill Chain)

Placement (Colocación): Los fondos ilícitos (de phishing, ransomware, BEC, fraudes de inversión) se introducen en el sistema financiero a través de cuentas controladas por mulas.
Layering (Capas): Las mulas dispersan los fondos rápidamente a través de múltiples plataformas financieras y cuentas intermediarias (smurfing, transferencias fraccionadas) para complicar el rastreo forense. Los algoritmos de smurfing predictivo ajustan dinámicamente el tamaño y momento de las transferencias para mantenerse por debajo de los umbrales de detección AML.
Integration (Integración): Los fondos lavados se reintroducen en la economía legítima o se consolidan en activos controlados por el actor de amenaza (retiro en efectivo, compras de alto valor, conversión a criptomonedas, incluyendo monedas centradas en la privacidad).
Monetización: Los actores obtienen ganancias ilícitas; los proveedores de MaaS cobran comisiones por sus servicios.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Plataforma Principal	Telegram (canales públicos y privados)	Anuncio de cuentas, atención al cliente, coordinación de operaciones.
Foros de la Dark Web	Exillio404 (Brasil), Dread, CarderUK, CrackedTo, Russian forums	Intercambio de consejos operativos, venta de plantillas, guías de evasión.
URL .onion (Brasil)	`exiliow4ctlzrvaglkgwqnpxdlvrxmdgvuy2hkbzqoziebfim6q5hwid.onion`	Foro brasileño "Exillio404" para discusiones sobre cuentas naranja y lavado de dinero.
Sistemas de Pago Instantáneo	PIX (Brasil), CBU/CVU (Argentina), Nequi/Daviplata (Colombia)	Canales de transferencia de fondos ilícitos (alta velocidad, baja fricción).
Cuentas Bancarias y Fintech	Cuentas verificadas en bancos de EE.UU., Latinoamérica y Europa, monederos digitales	Vectores de placement y layering.
Cuentas de Intercambio de Criptomonedas	Intercambios de criptomonedas (no especificados)	Conversión de fondos lavados a criptomonedas.
Herramientas de IA	ChatGPT (prompts), RunwayML (deepfakes), RVC (clonación de voz), agentes de IA autónomos	Bypass de KYC, precalentamiento de cuentas, smurfing predictivo.
Plantillas de Documentos	Plantillas PSD de documentos de identidad falsificados	Creación de identidades sintéticas.
Paneles de Gestión de Mulas	Mule Management Panels (web-based C2 interfaces)	Coordinación de miles de cuentas simultáneamente, integración con APIs bancarias.

Objetivos y Sectores Afectados

Objetivo Principal: El sistema financiero global, incluyendo bancos, plataformas fintech, intercambios de criptomonedas, y sus clientes.
Sectores Prioritarios: Financiero, Bancario, Fintech, Criptomonedas, Comercio Electrónico.
Regiones Geográficas Afectadas:
- Brasil: ~250,000 mensajes de Telegram relacionados con "Contas Laranja" (Cuentas Naranja) y el sistema PIX.
- Argentina: ~100,000 mensajes de Telegram relacionados con cuentas CBU/CVU.
- Colombia: Plataformas fintech Nequi y Daviplata (facilidad de incorporación, menores requisitos KYC).
- Estados Unidos, Latinoamérica, Europa: Venta de cuentas bancarias de múltiples países.
Víctimas Indirectas: Individuos cuyas identidades fueron robadas (stolen identity mules), individuos engañados para participar sin saberlo (deceived money mules), y organizaciones que sufren fraudes financieros.

Impacto y Riesgo

Nivel de Riesgo: Crítico para el sistema financiero global. La profesionalización del lavado de dinero a través de MaaS, combinada con capacidades de IA, está permitiendo a los ciberdelincuentes lavar fondos ilícitos a una escala y velocidad sin precedentes.
Impacto Potencial:
- Pérdidas Financieras Masivas: En EE.UU., se estima que el 0.3% de todas las cuentas en instituciones financieras están controladas por mulas, con pérdidas que superan los 3 mil millones de dólares anuales solo en base a datos históricos, escalando exponencialmente con el uso de IA.
- Lavado de Dinero Acelerado: Los sistemas de pago instantáneo (PIX, CBU/CVU) permiten a los atacantes mover fondos ilícitos en segundos, antes de que las instituciones financieras puedan reaccionar.
- Elusión de Controles AML: El smurfing predictivo y el precalentamiento de cuentas asistido por IA permiten a los atacantes operar por debajo de los umbrales de detección de los sistemas tradicionales de monitoreo AML.
- Fraude de Identidad: El uso de deepfakes, clonación de voz e identidades sintéticas socava la confianza en los sistemas de verificación KYC.
- Daño Reputacional a Instituciones Financieras: Los bancos y plataformas fintech que no logran detectar y prevenir el uso de sus servicios para lavado de dinero enfrentan multas regulatorias, pérdida de confianza de los clientes, y daño reputacional.
- Carga sobre las Víctimas de Robo de Identidad: Los individuos cuyas identidades son robadas (stolen identity mules) pueden enfrentar congelamiento de cuentas, restricciones bancarias, pérdidas financieras y posibles investigaciones legales.
Contexto Latinoamericano:
- Brasil: La rápida adopción de PIX ha creado condiciones favorables para la actividad de lavado de dinero. El gobierno brasileño introdujo una nueva legislación que penaliza el "alquiler" de cuentas bancarias (Contas Laranja).
- Argentina: El uso generalizado de servicios fintech, combinado con la inestabilidad económica y una gran economía informal, ha creado condiciones favorables para el reclutamiento de mulas.
- Colombia: Plataformas como Nequi y Daviplata son explotadas debido a la facilidad de onboarding y menores requisitos KYC percibidos.

Recomendaciones de Mitigación

Monitoreo de Foros y Canales de Telegram (M1019, M1047):
- Monitorear activamente foros de la dark web (Exillio404, Dread, CarderUK, CrackedTo) y canales de Telegram en busca de actividad emergente de MaaS, incluyendo anuncios de cuentas bancarias verificadas, monederos fintech, y servicios de bypass de KYC.
- Utilizar inteligencia de amenazas para identificar tendencias y adaptar las defensas.
Fortalecimiento de la Verificación de Identidad y Detección de Deepfakes (M1032, M1040):
- Actualizar los sistemas de verificación de identidad para detectar ataques de inyección de deepfakes (synthetic video injection attacks) en los que se introduce vídeo sintético directamente en el pipeline de entrada de la aplicación bancaria.
- Implementar controles capaces de detectar clonación de voz mediante sistemas Retrieval-based Voice Conversion (RVC).
- Utilizar soluciones de detección de deepfakes y análisis de consistencia de metadatos.
Detección de Precalentamiento de Cuentas y Smurfing Predictivo (M1040):
- Implementar análisis de comportamiento capaces de reconocer el precalentamiento de cuentas asistido por IA (transacciones de bajo riesgo que no coinciden con el perfil del cliente).
- Desplegar sistemas de monitoreo AML adaptativos que puedan identificar patrones de smurfing predictivo y otros comportamientos de manipulación adaptativa.
Colaboración y Compartición de Inteligencia (M1019):
- Las instituciones financieras deben colaborar entre sí y con las autoridades reguladoras para compartir inteligencia sobre cuentas mula identificadas, patrones de transacción sospechosos, y técnicas emergentes de bypass de KYC.
Educación del Cliente y Concientización (M1017):
- Educar a los clientes sobre los riesgos de compartir información personal y credenciales bancarias.
- Alertar a los clientes sobre las estafas de reclutamiento de mulas (falsas ofertas de trabajo, esquemas de "dinero fácil").

Herramientas de Detección

Inteligencia de Amenazas (Threat Intelligence): Servicios como KELA, Recorded Future, o Flashpoint que monitorean la dark web, Telegram, y foros clandestinos para detectar menciones a la organización o cuentas específicas.
Detección de Deepfakes: Herramientas especializadas que analizan vídeos de verificación en busca de inconsistencias (parpadeo anormal, reflejos inconsistentes, artefactos de compresión).
Análisis de Comportamiento (UEBA): Soluciones que establecen líneas de base de comportamiento del usuario y detectan anomalías (ej., una cuenta que de repente realiza transacciones fraccionadas justo por debajo de los umbrales AML).
Monitoreo de Transacciones AML: Sistemas de monitoreo de transacciones que pueden detectar patrones de smurfing y actividades de capas (layering).
Análisis de Red de Cuentas (Network Analysis): Herramientas que identifican conexiones entre cuentas que reciben fondos de las mismas fuentes ilícitas y los dispersan a múltiples destinos.

Referencias y Fuentes

Dutta, T. S. (2026, 25 de mayo). Los ciberdelincuentes utilizan canales de Telegram para vender cuentas bancarias y de empresas fintech verificadas que sirven como intermediarias en transacciones fraudulentas. Cyber Security News. (Artículo proporcionado por el usuario).
KELA Cyber Intelligence Center. (2026, 22 de mayo). Exposing the Underground Mule-as-a-Service Economy: How AI and Telegram Are Reshaping Money Laundering. (Informe de investigación proporcionado por el usuario).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-05-26	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada basada en el análisis de KELA sobre la economía subterránea Mule-as-a-Service.

Indicadores de Compromiso (IOCs)

Tipo	Valor
URL .onion (Foro Brasileño)	`exiliow4ctlzrvaglkgwqnpxdlvrxmdgvuy2hkbzqoziebfim6q5hwid.onion` (Exillio404)
Canales de Telegram	Múltiples canales no especificados (se requiere monitoreo activo)
Foros de la Dark Web	Exillio404 (Brasil), Dread, CarderUK, CrackedTo, foros rusos
Términos Clave (Brasil)	"Contas Laranja" (Cuentas Naranja), "PIX"
Términos Clave (Argentina)	"CBU" (Clave Bancaria Uniforme), "CVU" (Clave Virtual Uniforme)
Plataformas Fintech Colombianas	Nequi, Daviplata
Sistemas de Pago Instantáneo	PIX (Brasil), CBU/CVU (Argentina)
Herramientas de IA Abusadas	ChatGPT (LLM), RunwayML (deepfakes), RVC (clonación de voz)
Plantillas de Documentos	Plantillas PSD de documentos de identidad falsificados (más de 400 respuestas)
Tipos de Cuentas Vendidas	Cuentas bancarias verificadas (EE.UU., Latinoamérica, Europa), monederos fintech, cuentas de intercambio de criptomonedas
Modelos de Negocio	Account Provisioning (venta de cuentas preverificadas), Laundering-as-a-Service (servicio completo de lavado), KYC Bypass (evasión de KYC)
Garantías de Vendedores	Reemplazo de cuentas si son bloqueadas o restringidas
Volumen de Mensajes (Brasil)	~250,000 mensajes de Telegram relacionados con "Contas Laranja"
Volumen de Mensajes (Argentina)	~100,000 mensajes de Telegram relacionados con cuentas CBU/CVU
Fuentes de Fondos Ilícitos	Phishing, ransomware, BEC, fraudes de inversión, malware bancario, toma de cuentas (ATO)
Comportamiento Anómalo (Cuentas)	Cuentas recién creadas que realizan transacciones de bajo riesgo (precalentamiento), luego reciben grandes sumas y las dispersan rápidamente
Comportamiento Anómalo (Transacciones)	Transferencias fraccionadas justo por debajo de los umbrales de reporte (smurfing predictivo)
Comportamiento Anómalo (Verificación)	Uso de deepfakes o inyección de vídeo sintético durante la verificación KYC

Etiquetas / Categorías

mule-as-a-service maas fraud-as-a-service money-laundering telegram dark-web kela contas-laranja pix brazil argentina cbu cvu colombia nequi daviplata ai-fraud deepfake runwayml rvc chatgpt synthetic-identity account-warming predictive-smurfing aml-evasion kyc-bypass financial-fraud phishing ransomware business-email-compromise bec account-takeover sim-swapping infostealer exillio404 dread carderuk crackedto ciberwiki tushar-subhra-dutta cyber-security-news kela-cyber-intelligence