Resumen: detección de ATO en capa de sesión contra proxy residencial
- Los motores centrales de fraude bancario son excelentes puntuando la transacción que acaba de ocurrir y ciegos ante el dispositivo que la hizo, por eso una credencial válida sobre un proxy residencial pasa de largo.
- cside devuelve huella de dispositivo, estado de VPN por handshake TLS, detección de agentes de IA y dispositivo nuevo en cuenta conocida a través de los tres vectores fintech, mapeados a 13,5 mil millones USD de pérdidas por ATO en EE. UU. en 2025 (subida del 18% frente a 2024, 6 millones de consumidores afectados, según Javelin), todo con certificación SOC 2 Tipo II.
- Si tu modelo de riesgo aún considera limpia una IP residencial limpia, añade la capa de sesión. Si los anillos de identidad sintética no están en tu cuenta de resultados, quédate con el motor de reglas que tienes.
El software de prevención de fraude bancario tiene que cubrir tres vectores de ataque a la vez: el robo de cuentas con credenciales robadas, el fraude de nuevas cuentas durante el registro y el fraude de identidad sintética que supera el KYC estándar. Cada uno de ellos deja una señal en el navegador que las plataformas antifraude del lado del servidor nunca recopilan, y por eso la detección en la capa del navegador se ha convertido en un complemento necesario para la infraestructura antifraude del núcleo bancario.
Los tres vectores de fraude principales en los servicios financieros
El robo de cuentas es el vector de fraude de mayor volumen en la banca. Un atacante consigue un par de credenciales válidas, normalmente de una filtración o de una campaña de phishing, y las usa para iniciar sesión. La credencial es correcta. El dispositivo no. Un titular de cuenta real acumula un historial de huella de dispositivo con el tiempo, mientras que el atacante aparece desde un dispositivo que la cuenta nunca ha visto.
El fraude de nuevas cuentas apunta al proceso de apertura de cuentas. Los defraudadores solicitan cuentas, productos de crédito o préstamos usando identidades robadas o sintéticas construidas a partir de una mezcla de datos reales y fabricados. El objetivo es acceder a crédito, blanquear fondos o crear cuentas para un uso fraudulento posterior.
El fraude de identidad sintética es el más difícil de los tres de detectar en el momento de la solicitud. Una identidad sintética suele superar el KYC estándar porque lleva suficientes datos reales para satisfacer la verificación. La señal aparece en el patrón del dispositivo. Un solo dispositivo que abre varias cuentas con datos de identidad distintos es la firma de una red de identidad sintética.
Dónde tienen las herramientas del lado del servidor una brecha de detección
Las plataformas antifraude del núcleo bancario puntúan las transacciones y los eventos de cuenta con motores de reglas y aprendizaje automático entrenado con datos históricos. Funcionan bien para detectar patrones de transacción anómalos una vez que una cuenta está establecida y activa.
Lo que no recopilan son las señales del navegador. Cuando un atacante usa un par de credenciales válidas desde un dispositivo nuevo a través de un proxy residencial, la comprobación del lado del servidor ve una credencial válida, una IP limpia y ninguna anomalía en la transacción. Todas las comprobaciones pasan. El dispositivo detrás del proxy, la huella de navegador que presenta y el hecho de que un script pueda estar controlándolo permanecen invisibles para la capa del servidor.
Las pérdidas por robo de cuentas en EE. UU. alcanzaron los 13.500 millones de dólares en 2025, un aumento del 18 % respecto a 2024, afectando a 6 millones de consumidores, con las cuentas de servicios financieros como objetivo principal (Javelin Strategy & Research 2026).
| Año | Pérdidas por robo de cuentas en EE. UU. |
|---|---|
| 2024 | $11.4B |
| 2025 | $13.5B |
El navegador es la única capa donde la discrepancia del dispositivo es visible. Una herramienta de señales del navegador recopila la huella de dispositivo, las características de TLS y el comportamiento de la sesión en la carga de la página, antes de que se dispare cualquier solicitud de autenticación. Esa es la brecha que las herramientas de la capa del navegador están hechas para cerrar.
Por qué los proxies residenciales derrotan los controles basados en IP
La limitación de tasa por IP y las comprobaciones de reputación de IP son partes estándar de un stack antifraude bancario. Por sí solas no bastan, porque los servicios de proxy residencial entregan a los atacantes direcciones IP que no tienen historial de fraude.
Los proxies residenciales enrutan el tráfico de ataque a través de conexiones de internet de consumidores reales, así que cada solicitud llega desde una IP residencial limpia. Los sistemas de reputación no tienen nada que marcar. El atacante rota las IP entre intentos, así que los límites de tasa por IP nunca se activan.
La huella TLS TLS handshake fingerprint identifica las conexiones VPN y proxy a partir del propio handshake de TLS, con independencia de la dirección IP. Un proxy residencial tiene una firma TLS handshake fingerprint consistente que difiere de la de un navegador estándar que se conecta directamente. Combinada con una nueva huella de dispositivo en una cuenta conocida, es una señal de ATO de alta confianza que los controles basados en IP no pueden producir.
Señales del navegador de cside en cada vector de fintech
La detección de fraude en la capa del navegador de cside se corresponde con cada uno de los tres vectores de fraude bancario mediante salidas de señales específicas.
Para el robo de cuentas, la huella de dispositivo muestra si la sesión procede de un dispositivo que la cuenta ha usado antes. La señal TLS TLS handshake fingerprint muestra si la conexión pasa por una VPN o un proxy. Una huella nueva más una conexión por proxy en una cuenta de alto valor es una señal de riesgo de alta prioridad. cside también marca los agentes de IA que controlan la sesión del navegador, incluidos Playwright, Puppeteer, OpenAI Operator y Claude for Chrome, que aparecen en las campañas automatizadas de credential stuffing.
Para el fraude de nuevas cuentas, la huella de dispositivo vincula varias solicitudes al mismo dispositivo incluso cuando el solicitante borra las cookies o cambia de navegador. Un solo dispositivo que envía varias solicitudes de cuenta con datos personales distintos en una ventana corta de tiempo es una señal potente de fraude de nuevas cuentas que la verificación de identidad por sí sola no puede producir.
Para el fraude de identidad sintética, el patrón del dispositivo es la señal principal. Una red de identidad sintética crea varias identidades y abre una cuenta con cada una. Cada identidad supera el KYC de forma aislada. Vista a través de las cuentas, la huella de dispositivo las vincula al mismo dispositivo o a un pequeño grupo de dispositivos, lo que expone la red.
Integración con tu stack antifraude actual
cside devuelve sus señales como una respuesta de API en JSON. Tu motor de reglas de fraude actual lee esas señales junto a los datos de transacción, añadiendo un conjunto de características de la capa del navegador a la lógica de puntuación que ya ejecutas.
La integración es una etiqueta de script en tus páginas de inicio de sesión y de apertura de cuentas. El script recopila las señales del navegador y devuelve un token de sesión. Tu backend consulta el conjunto de señales de ese token cuando procesa el evento de autenticación o de solicitud.
cside cuenta con la certificación SOC 2 Tipo II. La huella de dispositivo sin cookies significa que no se almacena ni se transmite ninguna información de identificación personal, lo que encaja con una base de interés legítimo del RGPD y evita la carga de gestión del consentimiento que conlleva el rastreo de dispositivos basado en PII. La certificación encaja con las evaluaciones de seguridad de proveedores habituales en la banca.
Postura de cumplimiento
La certificación SOC 2 Tipo II cubre los controles de seguridad, disponibilidad y confidencialidad en torno a la recopilación y el procesamiento de señales de cside. Es la certificación que los equipos de seguridad de servicios financieros suelen exigir al incorporar un nuevo proveedor.
La huella sin cookies deriva el identificador del dispositivo por completo de las características del navegador y del hardware, sin ninguna dependencia de cookies ni de almacenamiento local. La huella se mantiene consistente a lo largo de las sesiones sin almacenar PII en el dispositivo del usuario, así que los requisitos de consentimiento del RGPD para las cookies de rastreo no se aplican.
Los requisitos 6.4.3 y 11.6.1 de PCI DSS son obligatorios desde marzo de 2025. cside genera un informe de cumplimiento de PCI en 2 segundos validado por un QSA de VikingCloud. Para los bancos que gestionan programas de tarjetas de pago o aceptación de tarjeta no presente, esa cobertura de PCI es un beneficio adicional junto a la función de señales de fraude.
