La seguridad de las comunicaciones es un problema de experiencia de usuario y de reputación para las marcas

La “ignotofobia” o miedo a contestar llamadas desde números desconocidos es un trastorno que genera ansiedad psicológica en una parte importante de la población, lo que nos sugiere que hay algo innato en nuestro rechazo a las llamadas de desconocidos. Más allá de este fenómeno patológico, otros datos nos dicen que el 92% de los consumidores piensan que las llamadas no identificadas son fraudulentas ¿Qué posibilidades de éxito puede tener una comunicación con una persona que parte del punto de vista de que está siendo engañada?

La reputación del caller ID entra en juego:

La solución a esta falta de credibilidad del número llamante, pasa por las “branded calls”, para las cuales hay varias iniciativas: como los protocolos y procedimientos que forman parte de STIR /Shaken, las comunicaciones in app, o aplicaciones específicas para detección de spam en telefonía móvil que sustituyen a las herramientas de llamada nativas ofreciendo un filtro adicional.

Parece inevitable que la reputación del número llamante, forme parte de la ecuación del éxito de las comunicaciones en un futuro próximo.

Identificación del número llamante

En los países que han implementado STIR/SHAKEN, las empresas ya han podido contrastar los efectos negativos de un “caller ID” mal identificado como spam. A fin de cuentas, es la primera impresión que el usuario tiene del llamante, y la tasa de respuesta estará totalmente condicionada por ese factor.

La identificación de las llamadas basadas en Caller ID o CNAM (sólo en USA), no es ajena a intentos de suplantación (spoofing) o simplemente a imprecisiones que terminan por generar desconfianza sobre la llamada.  En el caso de un sistema basado en registros como el CNAM, el problema es que no existe una “fuente única de verdad”, ya que depende de diferentes bases de datos a lo largo del país, que pueden utilizar un etiquetado diferente (no es universal). Además la identificación de la llamada se sitúa en el operador responsable de la terminación de la llamada, implicando un pérdida total del control por parte de la empresa llamante, sobre la información asociada a esa llamada.

El nuevo rol del operador originante en el proceso de verificación de la llamada

Para combatir este riesgo de imprecisiones, se está experimentando con una alternativa emergente, que sitúa la responsabilidad de la identificación de la llamada en el proveedor de los servicios de origen, y no de destino. Esta información estará integrada en los procesos de STIR/SHAKEN, a través de tokens de encabezado SIP durante el proceso de autenticación de llamada STIR/SHAKEN. Este enriquecimiento de los datos de la llamada mediante “Rich Call Data (RCD)” permite completar la llamada con información adicional de la marca como:

• Nombre de la empresa : eliminación de la temida designación “desconocida”.
• Número de teléfono verificado : prueba de que la llamada proviene de la empresa real y no de un falsificador o estafador.
• Motivo de la llamada : una breve explicación del propósito de la llamada.
• Logotipo de la empresa : mayor seguridad para el consumidor de que la llamada es legítima.

El contact center ante el desafío de la identificación de llamadas

El contact center, debe prepararse para este escenario, adaptando su tecnología para beneficiarse de las ventajas de poder identificar claramente el origen de una llamada, tanto para ellos como para el usuario final.

Mientras la industria no adopta soluciones equivalentes a STIR /SHAKEN, alternativas como las llamadas in-app, pueden cubrir este gap de confianza, y dar lugar a experiencias de comunicación seguras para ambas partes. Sectores regulados como Banca, Telecomunicaciones o Salud, tienen mucho que ganar con una estrategia de comunicación basada en llamadas in-app.

Por su parte, la vigilancia sobre la “salud” de la reputación de las numeraciones empleadas, es ya una parte crítica, especialmente de aquellos contact centers dedicados a campañas outbound. El empleo de aplicaciones antispam, muchas de ellas gratuítas,  por parte de los usuarios condiciona cada vez más las tasas de éxito de estas campañas.

La experiencia condiciona la seguridad y la seguridad condiciona la experiencia

Es innegable que la seguridad puede afectar a la experiencia del usuario, incluyendo nuevas capas de verificación, autenticación, controles de acceso, limitaciones de acción mediante políticas, etc. Este tipo de procesos orientados a garantizar la seguridad, pueden dar lugar a fricciones que frustren la comunicación.

Si bien la seguridad condiciona la experiencia, también sucede lo opuesto, es decir, la experiencia condiciona la seguridad. Si el canal de comunicación es más conveniente, el usuario puede estar dispuesto a renunciar a la seguridad.

Las estrategias omnicanal son un buen ejemplo de cómo la accesibilidad puede dejar en segundo plano la seguridad. Los contact centers, han aceptado la integración de aplicaciones generalistas, como pueden ser populares soluciones de mensajería instantánea, como parte del mix omnicanal. No han querido perder la oportunidad de usar las herramientas de comunicación masivamente extendidas que facilitan la entrega del mensaje (reachability).  Pero en determinados contextos, esto complica enormemente la gestión de información sensible y el cumplimiento legal. La solución, en este caso, pasa por integrar de forma fluída, accesos a canales seguros cuando la conversación lo requiera; o bien crear canales seguros en los que se desarrolle toda la comunicación, y que ofrezcan una experiencia de uso al nivel de las soluciones mainstream con las que están familiarizados los usuarios.

La experiencia del agente y su relación con la seguridad

Del lado del agente de contact center, la seguridad también es parte de su experiencia de trabajo, y afecta directamente a la eficiencia de la operativa. Si un agente recibe llamadas de usuarios no verificados, su trabajo puede ser totalmente improductivo, alejándose de sus KPIs.

En la actualidad, la IA generativa, permite reemplazar la voz o incluso la imagen (durante una videollamada) de cualquier persona, con relativa facilidad y bajo coste. Contra esto, los sistemas de scoring de número llamante y verificación de identidad del usuario, son estrategias que mitigan los efectos nocivos de estas actividades fraudulentas.

Oportunidad de colaboración entre Telcos y Contact Centers

Los operadores de telecomunicaciones disponen de mucha información para poder cualificar una llamada, y diferenciar entre llamadas legítimas e ilegítimas, siendo esta información un importante activo con el que podrían aportar valor a sus clientes empresariales y también particulares.

Pero las distintas regulaciones a nivel internacional, plantean escenarios sustancialmente diferentes para los operadores. Por ejemplo, en España, la Ley General de Telecomunicaciones obliga a entregar todo el tráfico “permitido por ley”, mientras el Real Decreto 381/2015 establece las instancias en que deben bloquearse las llamadas. Cursar tráfico no permitido es una infracción grave, pero son las autoridades las que deben indicar qué tráfico bloquear.

Tráfico no permitido

El tráfico no permitido puede bloquearse en real time. Se considera tráfico no permitido, al que usa numeración no autorizada, el que tenga origen o destino en recursos públicos de numeración que no hayan sido atribuidos, habilitados o asignados conforme a los correspondientes planes nacionales e internacionales de numeración. Este tipo de tráfico, que se puede identificar por sus características técnicas, deberá ser bloqueado por los operadores tan pronto tenga constancia del mismo.

Tráfico fraudulento

El tráfico irregular con fines fraudulentos, que es el generado, inducido o prolongado artificialmente, así como provocado a través de comunicaciones comerciales no solicitadas o mediante el control no consentido de los sistemas o terminales de usuario, al objeto de hacer un uso abusivo o fraudulento de las redes y los servicios,  sólo puede determinarse tras un análisis caso por caso de las características específicas del tráfico. Generalmente esto implica una notificación a la SESIAD y esperar la correspondiente autorización de la CMC, para que los operadores puedan llegar a discriminar estas fuentes de tráfico irregular detectadas por ellos mismos.

Como conclusión, las empresas de telefonía disponen de una autonomía limitada a la hora discriminar fuentes de tráfico. Consecuentemente, una parte de ese tráfico permitido por ley puede ser tráfico irregular con fines fraudulentos, pero por ley los operadores deben entregar ese tráfico aunque posteriormente informen de ello a la autoridades pertinentes.

Mitigación del uso de robocalls

En USA la FCC, optó en 2020 por una estrategia de mitigación del abuso del uso de robocalls que delega en los proveedores de servicio la responsabilidad de bloquear el tráfico sospechoso, a lo que la industria respondió con numerosas críticas solicitando que se optase por una estrategia de información al receptor, delegando en este último la responsabilidad de atender o no las llamadas sospechosas. En 2022 el gobierno federal obliga a los operadores a notificar sobre el bloqueo de las llamadas a quien realiza la llamada. Toda esta polémica, llevó a incorporar los códigos SIP  603 (603+), 607 y 608 como notificaciones de bloqueo, para informar a la persona que llama sobre las causas del bloqueo.

• 603: Código de uso general que podría significar que la llamada fue bloqueada por una red de voz o por el destinatario de la llamada
• 607: El destinatario de la llamada no quiso la llamada y la rechazó
• 608: La llamada fue bloqueada por la red de voz de destino o una red ascendente

Mislabeling, o el riesgo de etiquetar llamadas legítimas como fraudulentas

En este contexto, las empresas están expuestas a que sus llamadas legítimas generen advertencias de spam. Esta realidad está dando lugar al auge de servicios enfocados a la gestión de reputación de  las llamadas, reconociendo el rol de “activo valioso” de las numeraciones o identificadores equivalentes.

Al margen de los condicionantes legales, el vector común del que disponen los operadores es la posibilidad de  establecer mecanismos de etiquetado de las llamadas (por ejemplo manipulando las cabeceras SIP o a través de APIs), con información sobre la legitimidad o riesgos de una determinada llamada, que desemboque en un procesamiento adecuado de la llamada en la red empresarial de sus clientes, evitando el bloqueo de recursos valiosos y limitados como el tiempo de los agentes de un contact center.

Publicado originalmente en Innovan.do