Resumen: detectar apropiación de cuentas antes del login
- Los fallos de credenciales son la señal equivocada para la apropiación de cuentas: los atacantes usan credenciales robadas que son válidas, así que el login pasa limpio. El dispositivo es lo que separa al atacante del titular, no la contraseña.
- cside construye una huella con más de 100 señales del navegador que sobrevive a cookies e incógnito, la correlaciona entre cuentas y devuelve un veredicto antes de que dispare el POST de login. Las pérdidas por ATO en EE. UU. llegaron a 13.500 millones en 2025, frente a 11.400 millones en 2024.
- Si una sesión muestra una huella nueva en una cuenta conocida más un handshake TLS clasificado como VPN más aparición en varias cuentas, activa step-up o bloquea antes de autenticar. Si huella y patrón TLS coinciden con el historial, déjala pasar sin fricción.
La detección de fraude por robo de cuenta captura la sesión de un atacante antes de que se complete la solicitud de inicio de sesión, en el momento en que se está probando una credencial robada en lugar de después de vaciar la cuenta. La capa de detección más eficaz está en el navegador, por delante del sistema de autenticación: el device fingerprinting, el análisis de red TLS handshake fingerprint TLS y la correlación entre cuentas marcan un intento de credential stuffing mientras la página de inicio de sesión todavía se está cargando. Este es el enfoque de la capa del navegador que hay detrás de la detección de robo de cuenta de cside.
La señal principal: un dispositivo nuevo en una cuenta conocida
El indicador más fiable de un intento de robo de cuenta es un dispositivo que la cuenta nunca ha usado antes. Una comprobación de credenciales fallida no lo revelará, porque cuando un atacante prueba una credencial robada, esa credencial suele ser válida. El nombre de usuario y la contraseña son correctos, así que el sistema de autenticación no tiene motivos para rechazar el inicio de sesión basándose solo en las comprobaciones de credenciales.
El dispositivo es lo que separa al atacante del titular de la cuenta. El usuario legítimo inicia sesión desde dispositivos reconocibles, a horas reconocibles y desde condiciones de red reconocibles. El atacante inicia sesión desde un dispositivo que la cuenta nunca ha visto.
Una huella de dispositivo persistente que sobrevive al borrado de cookies, a la navegación privada y al uso de VPN es la forma más fiable de detectar este desajuste. cside construye huellas a partir de más de 100 señales del navegador y mantiene una alta precisión incluso cuando el usuario está en modo incógnito o borra las cookies entre sesiones.
El contexto de red amplifica la señal
Una huella de dispositivo nueva en una cuenta conocida es una señal significativa por sí sola. Una huella de dispositivo nueva combinada con una conexión VPN o proxy es una señal de ATO de alta confianza.
cside usa el fingerprinting TLS handshake fingerprint TLS para leer las características del handshake TLS de la conexión. Los servicios VPN y proxy tienen firmas TLS handshake fingerprint consistentes que se diferencian de las conexiones de consumo estándar. Cuando una sesión presenta una huella de dispositivo nueva y una firma TLS handshake fingerprint TLS asociada a una VPN o un proxy, la combinación reduce el campo considerablemente.
El rate limiting por IP no puede ver esta combinación, porque solo ve la dirección IP. La dirección IP puede parecer limpia aunque el dispositivo que hay detrás no lo esté. Las señales de la capa del navegador son la única capa que puede leer el dispositivo y las características de red de una sesión al mismo tiempo.
Correlación de huellas entre cuentas
Un solo atacante que ejecuta una campaña de credential stuffing prueba cientos o miles de pares de credenciales. Cada prueba es un intento de inicio de sesión independiente, a menudo contra una cuenta diferente. Vista de forma aislada, cada intento parece un único inicio de sesión fallido o correcto.
Vista entre cuentas, la pauta es visible. La misma huella de dispositivo aparece en muchos intentos de inicio de sesión de distintas cuentas en una ventana corta. Ningún usuario legítimo prueba decenas de credenciales en secuencia, así que la pauta identifica una campaña de stuffing que los controles por cuenta no pueden detectar.
Las credenciales robadas aparecen en el 39% de las filtraciones de datos (Verizon Data Breach Investigations Report 2026), así que el suministro de credenciales que alimenta los ataques de ATO se repone constantemente.
La correlación entre cuentas de cside saca a la luz esta pauta en el conjunto de señales. Una huella de dispositivo que aparece en muchas cuentas dentro de una ventana móvil corta se marca, haya tenido éxito o no cualquier inicio de sesión individual.
Detección antes de que se complete el inicio de sesión
La detección en la capa del navegador tiene una ventaja de tiempo. La huella del dispositivo y las señales de red se recopilan cuando se carga la página de inicio de sesión, no después de procesar la solicitud de autenticación. Para cuando el usuario envía sus credenciales, cside ya ha devuelto su conjunto de señales a tu backend. Tu motor de reglas puede evaluar la huella del dispositivo, la marca de VPN y la correlación entre cuentas antes de decidir si procesa siquiera la autenticación.
Eso significa que se pueden aplicar desafíos de MFA, autenticación reforzada o un bloqueo directo antes de conceder ninguna sesión. El atacante nunca recibe una respuesta que confirme que la credencial era válida. El punto de detección está más temprano en el flujo de lo que puede alcanzar cualquier control de la capa de autenticación.
El coste de perder esa ventana no deja de aumentar. Las pérdidas por robo de cuenta en EE. UU. crecieron año tras año:
| Año | Pérdidas por robo de cuenta en EE. UU. |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
Fuente: Javelin Strategy & Research 2026 Identity Fraud Study.
Qué devuelve cside en cada sesión
cside devuelve una huella de dispositivo y un conjunto de señales en tiempo real para cada sesión, entregados a tu backend a través de una API y una etiqueta de script. Las señales relevantes para el ATO incluyen un ID de huella de dispositivo persistente, si esa huella se ha visto antes en esta cuenta, la firma TLS handshake fingerprint TLS y su clasificación como VPN o proxy, si el navegador se está ejecutando en modo incógnito, cuántas cuentas distintas se han visto desde esta huella en la ventana móvil actual y si una herramienta de automatización con nombre como Playwright, Puppeteer, OpenAI Operator o Claude for Chrome está controlando la sesión.
Tu motor de reglas recibe todo esto antes de procesar la solicitud de inicio de sesión. Una huella nueva combinada con una marca de VPN y un veredicto de agente de IA es una combinación que debería activar, como mínimo, la autenticación reforzada, independientemente de si el par de credenciales es válido.
cside no bloquea inicios de sesión. Tu capa de autenticación toma esa decisión, informada por el conjunto de señales que cside proporciona. cside aporta lo que sabe el navegador, y tu sistema aplica el contexto de negocio.
