Los días de depender de métodos de autenticación débiles y puntuales, como los OTP (contraseñas de un solo uso), están llegando a su fin.
Una reciente demanda presentada por la Fiscalía General de Nueva York señala un cambio en la manera en que los reguladores evalúan la prevención del fraude: las instituciones financieras ya no son juzgadas únicamente por tener controles implementados, sino por si dichos controles son suficientes para enfrentar los métodos modernos de ataque.
Citibank, demandado el año pasado por no proteger a sus clientes contra el fraude en línea, ahora enfrenta acusaciones de que debió implementar enfoques de seguridad por capas, como el monitoreo de comportamientos anómalos, la detección de dispositivos no reconocidos y la identificación de patrones inusuales de transacciones, en lugar de depender únicamente de autenticación básica con usuario y contraseña.
Esto marca un cambio más amplio: la prevención del fraude ya no se trata solo de controlar el acceso; ahora se trata de validar continuamente la confianza.
Un panorama de amenazas cambiante requiere validación continua
La superficie de ataque para bancos y fintechs está expandiéndose rápidamente. Campañas de phishing, experiencias bancarias falsificadas y malware como los Troyanos de Acceso Remoto (RATs) permiten a los atacantes operar dentro de sesiones confiables, a menudo después de haber superado los controles tradicionales de inicio de sesión. En muchos casos, el atacante parece indistinguible del usuario legítimo en el momento de la autenticación.
Datos recientes del Internet Crime Complaint Center (IC3) del FBI ilustran la magnitud del problema. En 2024, las pérdidas reportadas por delitos en internet alcanzaron aproximadamente 16.600 millones de dólares, un aumento del 33 % respecto al año anterior, siendo el fraude cibernético responsable de cerca de 13.700 millones de dólares, o casi el 83 % de esas pérdidas. En 2025, el FBI destacó además el fraude por toma de control de cuentas (ATO) como una preocupación creciente, señalando pérdidas superiores a 262 millones de dólares en apenas unos pocos miles de incidentes reportados, con pérdidas promedio superiores a 50.000 dólares por caso.
En este entorno, la autenticación en un único punto del tiempo ya no es suficiente.
Cómo luce hoy una prevención de fraude efectiva
Para abordar estos riesgos, las instituciones financieras necesitan ir más allá de la autenticación estática y adoptar un enfoque continuo y multicapa para la verificación de identidad.
Esto incluye:
- Monitorear el comportamiento del usuario durante toda la sesión, no solo al iniciar sesión, de modo que cambios sutiles en cómo un usuario navega, escribe o interactúa con la interfaz puedan evaluarse en contexto a lo largo del tiempo.
- Identificar desviaciones de patrones conocidos en tiempo real, permitiendo que comportamientos de alto riesgo activen verificaciones adicionales, retenciones de transacciones o revisiones complementarias, en lugar de depender únicamente de reglas fijas.
- Correlacionar señales conductuales con inteligencia de dispositivos y riesgo transaccional, para que las decisiones reflejen el panorama completo: quién parece estar detrás de la sesión, qué dispositivo utiliza y qué tan riesgosa parece la transacción.
El objetivo ya no es simplemente conceder acceso, sino evaluar continuamente si la entidad detrás de la sesión sigue siendo legítima. Aquí es donde la biometría conductual se ha vuelto cada vez más crítica.
La biometría conductual como capa fundamental
La biometría conductual, antes considerada experimental, se está convirtiendo rápidamente en un componente estándar de las estrategias modernas de prevención de fraude.
Soluciones como 360 Risk Control Behavioral Intelligence analizan señales altamente complejas de interacción humano-computadora, incluyendo:
- Patrones de deslizamiento, como velocidad, trayectoria y cambios de presión mientras el usuario navega o se desplaza dentro de una aplicación.
- Velocidad y ritmo de escritura, incluyendo el tiempo de permanencia en las teclas, patrones de corrección de errores y la forma en que los usuarios se mueven entre campos.
- Variaciones sutiles en el manejo del dispositivo, como microajustes en cómo se sostiene un teléfono, cambios de orientación o pequeñas señales del acelerómetro y giroscopio capturadas durante el uso normal.
Estas señales son extremadamente difíciles de replicar para los atacantes, incluso cuando poseen credenciales válidas o control remoto del dispositivo, porque reflejan comportamientos motores profundamente arraigados y no simples elementos visibles de autenticación. Como referencia teórica, puede vincularse la biometría conductual con fuentes sobre control motor computacional, como “A Computational Neuroanatomy for Motor Control”. Cuando se combina con inteligencia de dispositivos y análisis de riesgo transaccional, la biometría conductual añade una capa de verificación continua que opera durante toda la sesión, no solo en el inicio de sesión.
Reducir fricción mientras se fortalece la seguridad
Una de las principales ventajas de la biometría conductual es que funciona de manera pasiva en segundo plano.
En lugar de interrumpir a los usuarios con desafíos repetitivos de autenticación, el monitoreo conductual continuo permite a las instituciones:
- Reducir la dependencia de OTPs y autenticaciones escalonadas frecuentes, reservando esas intervenciones para escenarios reales de alto riesgo.
- Minimizar la fricción y el abandono de usuarios manteniendo la mayoría de las sesiones legítimas sin interrupciones, incluso mientras las evaluaciones de riesgo continúan en segundo plano.
- Mantener una seguridad sólida sin degradar la experiencia del cliente, favoreciendo una mayor adopción digital y mayor confianza en los canales de banca móvil y en línea.
Este equilibrio entre seguridad y usabilidad es cada vez más importante a medida que la banca digital continúa creciendo y los clientes comparan experiencias entre diferentes proveedores.
De buena práctica a expectativa regulatoria
La acción legal de la Fiscalía General de Nueva York refuerza una dirección clara: se espera que las instituciones financieras adopten defensas más avanzadas y multicapa contra el fraude, especialmente a medida que los atacantes operan más profundamente dentro de sesiones confiables.
Lo que antes se consideraba una buena práctica se está convirtiendo rápidamente en una expectativa básica. Dentro de 360 Fraud Protection, la biometría conductual desempeña un papel central para habilitar este cambio, apoyando la autenticación continua, fortaleciendo la detección de fraude en escenarios de toma de control de cuentas (ATO) y toma de control de dispositivos (DTO), y ayudando a las instituciones a alinearse con estándares regulatorios en evolución.
A medida que los atacantes continúan operando dentro de sesiones confiables, la capacidad de validar continuamente el comportamiento del usuario ya no es opcional. Se está convirtiendo en un elemento esencial para reducir el riesgo de fraude, proteger a los clientes y cumplir con las expectativas regulatorias en un panorama cambiante de amenazas y cumplimiento.
Para ver cómo 360 Fraud Protection aplica biometría conductual a la defensa contra el fraude en tiempo real, explora la solución de 360 Risk Control Behavioral Intelligence como una capa fundamental dentro de su estrategia de autenticación.