La identidad necesita supervisión continua tras iniciar sesión

Las comprobaciones de identidad, como presentar un documento, hacerse un selfi o completar una prueba de actividad, pueden confirmar quién inicia sesión. Pero superar esa comprobación no demuestra que la misma persona siga controlando la sesión después, sostiene Udi Abram, presentado en la fuente como vicepresidente de Asuntos Corporativos de AU10TIX.

Abram llama «mentalidad del torno» a confiar en una única comprobación al iniciar sesión. Afirma que los atacantes pueden tomar el control después de un acceso legítimo mediante malware que secuestra sesiones o herramientas de acceso remoto. Las operaciones de fraude también pueden recurrir a personas reales para completar el registro y luego entregar la sesión autenticada a otra persona o a sistemas automatizados. En esos casos, la comprobación inicial de identidad puede haber funcionado correctamente.

Según Abram, los servicios deberían evaluar la identidad durante toda la sesión mediante señales como el ritmo de escritura, los patrones de navegación, el comportamiento del dispositivo y la telemetría de red. Un cambio repentino —por ejemplo, que la actividad de escritura parezca automatizada o que un dispositivo portátil quede inmóvil de forma poco natural— podría elevar la puntuación de riesgo de la sesión, solicitar una verificación adicional o, con un alto nivel de confianza, finalizarla.

Las empresas fintech, las plataformas de intercambio de criptomonedas y los neobancos tienen fuertes incentivos para adoptar una supervisión continua basada en el riesgo, ya que el fraude puede causar pérdidas económicas rápidamente, escribe Abram. También sostiene que añadir más obstáculos al inicio de sesión puede perjudicar a los clientes legítimos sin frenar a los atacantes automatizados. El artículo propone aplicar medidas proporcionales: reducir las molestias para los clientes de bajo riesgo y responder a los comportamientos anómalos. Estas opiniones son de Abram; la fuente indica que no representan necesariamente las de TechRadar Pro ni Future plc.