Apropiación de cuentas en 2026: por qué la autenticación por sí sola ya no basta

Durante años, el sector trató la apropiación de cuentas (ATO) como un problema de inicio de sesión. Añade una política de contraseñas más estricta, incorpora la autenticación multifactor, agrega un código de un solo uso y la puerta de entrada queda segura. En 2026, esa suposición está costando en silencio una fortuna a los bancos y a sus clientes.

La verdad incómoda es que la mayoría de las apropiaciones de cuentas exitosas ya no vulneran la autenticación: la sortean sin más. Cada vez con más frecuencia, los defraudadores inician sesión con credenciales válidas, en un dispositivo que el banco considera de confianza, dentro de una sesión que el banco considera legítima. Para cuando el dinero se mueve, ya se han superado todos los puntos de control de autenticación.

La autenticación responde a la pregunta equivocada

La autenticación pregunta: “¿Puede esta persona demostrar que es el titular de la cuenta en este momento?”. Es una pregunta útil, pero no es la pregunta que detiene el fraude. La pregunta que importa es: “¿Es esta persona el titular de la cuenta y lo que está haciendo es coherente con quién es?”.

No son lo mismo. Considere cómo se desarrolla realmente la ATO moderna:

• Abuso de dispositivos de confianza. El teléfono de un cliente se ve comprometido a través de malware o una aplicación maliciosa. El defraudador opera desde el dispositivo genuino, por lo que las comprobaciones de vinculación de dispositivo y de “recordar este dispositivo” no detectan nada inusual.
• Secuestro de sesión. Los atacantes roban tokens de sesión activos en lugar de credenciales, heredando una sesión ya autenticada. Sin inicio de sesión, sin solicitud de MFA: solo una sesión válida haciendo cosas no válidas.
• Ingeniería social. Se guía a la víctima, en tiempo real, para que se autentique en nombre del defraudador: aprobando la notificación push, leyendo en voz alta el OTP o instalando software de “soporte”.
• Cambio de SIM. El control del número de teléfono derrota por completo la verificación basada en SMS, convirtiendo el eslabón más fuerte de muchas cadenas de MFA en el más débil.
• Herramientas de acceso remoto. El defraudador ve y controla la pantalla de la víctima, por lo que la transacción se origina desde el dispositivo, la red y la sesión correctos.

En cada uno de estos escenarios, la autenticación tiene éxito. El fraude ocurre igualmente.

Las señales que realmente revelan una apropiación

Si las credenciales y los dispositivos se pueden tomar prestados, la defensa tiene que fijarse en algo que no se pueda tomar prestado con tanta facilidad: el comportamiento, el contexto y la forma que adopta la sesión a lo largo del tiempo.

Un titular de cuenta legítimo se comporta de maneras notablemente coherentes. Sostiene el teléfono en un ángulo familiar, escribe y desliza con un ritmo reconocible, navega por la aplicación siguiendo rutas trilladas y realiza transacciones dentro de patrones predecibles de hora, importe y beneficiario. Un defraudador —incluso uno que opera desde el dispositivo genuino con credenciales válidas— no.

Las señales más ricas se sitúan entre el inicio de sesión y la transacción, en la parte del recorrido que la mayoría de los sistemas ignora:

• Cambios repentinos en la biometría del comportamiento: cadencia de escritura, presión táctil, flujo de navegación.
• Anomalías del dispositivo y el entorno: un nuevo proceso de acceso remoto en ejecución, artefactos de emulador, permisos de accesibilidad inusuales.
• Reconocimiento de la sesión: consultar saldos y límites antes de actuar, navegar directamente a la configuración de beneficiarios, tiempos de permanencia inusuales.
• Cambios en la cuenta que preceden al robo: un nuevo correo electrónico, número de teléfono o ajuste de notificaciones, desactivando en silencio la capacidad del cliente de darse cuenta.
• Contexto de beneficiario y transacción: beneficiarios por primera vez, importes de cifras redondas, picos de velocidad o destinos vinculados a redes de mulas conocidas.

De forma aislada, cualquiera de estas señales puede ser inocente. En conjunto, cuentan una historia que una contraseña nunca podría.

De las comprobaciones puntuales a una imagen de riesgo continua

El cambio estratégico consiste en pasar de tratar la seguridad como una puerta a la entrada a tratarla como una conciencia continua durante toda la visita. La autenticación sigue siendo necesaria, pero debe ser una entrada más en una puntuación de riesgo viva y en evolución, no la última palabra.

Eso significa evaluar el riesgo de forma continua a lo largo de toda la sesión: en el inicio de sesión, durante la navegación, cuando cambia la configuración, cuando se añade un beneficiario y en el momento de la transacción. Cada evento actualiza la imagen. Una sesión que parecía correcta en el inicio de sesión puede —y debe— marcarse en el instante en que su comportamiento deja de coincidir con el del cliente al que dice pertenecer.

Fundamentalmente, esto tiene que ocurrir sin añadir fricción al 99 % de los clientes que son exactamente quienes dicen ser. Los desafíos de verificación reforzada deben reservarse para un riesgo genuinamente elevado, y no dispararse en cada inicio de sesión con la esperanza de atrapar al raro actor malicioso.

Cómo lo aborda Paygilant

Este es precisamente el problema que Paygilant fue creado para resolver. En lugar de plantear una única pregunta de sí/no en el inicio de sesión, Paygilant compone de forma continua una puntuación de riesgo en tiempo real a partir de sus seis Conjuntos de Inteligencia propios —que abarcan dispositivo, comportamiento, identidad y contexto de la transacción— en cada punto de control del recorrido del usuario.

Como el análisis se ejecuta silenciosamente en segundo plano en la aplicación del banco, los usuarios legítimos se mueven con libertad mientras los intentos de apropiación afloran a través de las anomalías de comportamiento y de contexto que no pueden ocultar, incluso cuando tienen el dispositivo y las credenciales correctos. La autenticación te dice que la puerta se abrió con la llave correcta. Paygilant te dice si la persona que hay dentro es realmente la dueña de la casa.

En 2026, esa diferencia es la diferencia entre detener la apropiación de cuentas y limitarse a registrarla.