Los 4,5 millones de cuentas falsas de PayPal: la lección pre-launch

En su earnings call del cuarto trimestre de 2021, PayPal contó algo incómodo: había identificado 4,5 millones de cuentas ilegítimas. El contexto lo dio su propio CFO, John Rainey: la empresa se había apoyado en tácticas de adquisición incentivada más que nunca en su historia, ofreciendo bonos de USD 10 por abrir una cuenta. Bot farms lo aprovecharon a escala. El mercado castigó la noticia con una caída de la acción cercana al 25%.

Por qué es el caso perfecto para estudiar

Porque descarta las excusas fáciles. No fue falta de presupuesto, ni de talento de ingeniería, ni de herramientas antifraude. Fue una promo de adquisición cuyo incentivo se podía cobrar por cuenta, en un contexto donde crear cuentas a escala es barato. Es exactamente el patrón del multi-accounting, ejecutado industrialmente.

La lección para tu promo

La primera es de humildad: el tamaño no te protege. Si le pasó a PayPal, la pregunta no es si tu promo tiene un agujero parecido, sino cuánto costaría. La segunda es de diseño: el incentivo estaba atado a la cuenta, no a la persona. Un tope por identidad verificada y controles de unicidad de dispositivo habrían cambiado la economía del ataque.

Y la tercera, la más importante: este resultado era previsible. El patrón "bono por cuenta nueva + creación de cuentas barata" es conocido y se puede simular antes de lanzar. Ejecutar ese ataque contra tus propias reglas —ver cuántas cuentas cobraría un abusador y cuánto leakage genera— es justo lo que hace el testing adversarial. MateGuard corre ese escenario en el pre-launch y te devuelve el leakage estimado, el parche de T&C y el SQL de monitoreo, para que tu titular no sea el próximo.