Detecta account takeover antes de que tenga éxito instrumentando el navegador y el dispositivo durante la fase de preparación del ataque, no después de que la cuenta ya se haya vaciado. Las señales que importan temprano son distintas de las que revisas después de una brecha: señales headless y stealth-browser, deriva de fingerprint contra el historial de la cuenta, comportamiento de proxy residencial y velocidad de login que ninguna mano humana produce. Una señal rara vez prueba intención. Un patrón de ellas sí, y puedes ver ese patrón antes de que el atacante monetice nada.
La mayoría de programas ATO son post-hoc. Confirman fraude después de un reset de contraseña, un cambio de dirección o un pago. La detección pre-ATO mueve la decisión antes: captura la prueba de credenciales, el primer login desde un entorno falsificado, la sesión que se autentica limpiamente pero trae fingerprints de automatización. Los logs de servidor muestran que ocurrió un login. Las señales de navegador explican si lo que inicia sesión es plausiblemente tu usuario. cside captura esas señales runtime (dispositivo, IP real, postura de automatización y comportamiento de scripts de terceros) y las expone como riesgo de sesión que puedes usar antes del checkout.
Qué significa realmente "antes de que ocurra"
El ATO tiene una fase de preparación. Los atacantes prueban listas de credenciales robadas, sondean tu endpoint de login y preparan automatización antes de que caiga una cuenta concreta. Cada paso deja evidencia de navegador que una vista solo de red nunca captura.
| Fase | Qué hace el atacante | Señal pre-ATO que capturar |
|---|---|---|
| Reconocimiento | Sondea endpoints de login y recuperación | Velocidad de solicitudes, abanico de endpoints, señales de automatización |
| Prueba de credenciales | Ejecuta listas de stuffing con navegadores reales o stealth | Señales headless, reutilización de fingerprint entre cuentas, rotación de proxy |
| Primer punto de apoyo | Login limpio desde el entorno equivocado | Deriva de fingerprint, evento de dispositivo nuevo, velocidad imposible |
| Pre-monetización | Mantiene la sesión antes de actuar | Ruptura de continuidad de sesión, desajuste de comportamiento |
El punto es actuar en las tres primeras filas, no en la cuarta.
Señales de automatización de navegador que aparecen antes del punto de apoyo
Una regla genérica de detección pierde esta capa. El takeover automatizado corre cada vez más mediante motores de navegador reales controlados por frameworks, no scripts crudos. Las señales son específicas y observables en runtime, y la mayoría son las mismas señales que delatan a los agentes de IA y los navegadores stealth.
navigator.webdriverentruees el valor honesto por defecto de un navegador controlado. Los atacantes serios lo parchean, así que su ausencia no prueba nada, pero una incoherencia entre esa señal y otras superficies sí es una señal.- Artefactos de Chrome DevTools Protocol (CDP). Los frameworks que controlan Chrome por CDP pueden filtrar efectos secundarios detectables en runtime; una sesión que expone comportamiento de evaluación controlado por CDP mientras declara ser un navegador manual se contradice.
- Huecos de propiedades headless. Chrome headless clásico trae APIs ausentes o vacías, arrays de plugins a cero y estados de permisos que no coinciden con una instalación real. Los kits stealth cubren las señales conocidas, lo que crea una señal nueva: superficies demasiado limpias y uniformes en miles de "usuarios" distintos.
- Uniformidad de fingerprint de kits stealth. Cuando una lista de contraseñas filtradas se prueba con un perfil de automatización, cientos de cuentas reciben contacto desde entornos de navegador improbablemente idénticos. La señal es la reutilización entre cuentas, no un atributo individual.
La investigación de cside encontró que las instalaciones de playwright-stealth, uno de muchos kits de stealth-browser usados para vestir automatización como navegador humano, crecieron aproximadamente 10x durante 2025 (según el informe Future of Web Security 2026 de cside). Ese es el tooling que aparece frente a tu formulario de login. Detectarlo te permite bloquear una campaña de credential stuffing en lugar de leer sobre ella después de que lleguen los chargebacks.
Deriva de fingerprint en cuentas reales
Cuando un atacante ya tiene una contraseña funcional, el primer login autenticado es tu siguiente ventana. Un usuario recurrente trae un fingerprint de dispositivo y navegador consistente en el tiempo. Un login de takeover suele romper esa línea base.
La deriva no es un solo campo que cambia. La gente actualiza navegadores y compra teléfonos. La deriva se vuelve señal cuando varias superficies estables cambian a la vez, contra una cuenta que ha sido consistente, de una forma que no parece una actualización normal.
- Construye una línea base por cuenta con sesiones buenas conocidas: dispositivo, familia de SO, navegador, superficies de renderizado, zona horaria, idioma.
- Puntúa el delta en cada login, no el fingerprint absoluto.
- Da más peso a superficies que rara vez cambian para un usuario real que a las que derivan de forma natural.
- Combina deriva con contexto de red y velocidad antes de desafiar.
La advertencia de phishing adversary-in-the-middle es real: un kit que reproduce cookies de la víctima también puede reflejar superficies de fingerprint, así que una coincidencia limpia no prueba un usuario limpio. Trata la coincidencia de fingerprint como una entrada junto a reputación y comportamiento, nunca como permiso independiente.
Comportamiento de red: proxy, VPN y velocidad
Los atacantes ocultan origen detrás de pools de proxy residencial y VPNs comerciales para derrotar reputación IP. La defensa es comportamiento, no una blocklist estática.
- Rotación de proxy residencial. Una sola cuenta o campaña sale desde muchas IPs residenciales en una ventana corta, a veces una por solicitud. Los usuarios reales no rotan salida así. El patrón de rotación es la señal, aunque cada IP individual parezca una conexión doméstica limpia.
- Salida VPN y datacenter. Un login desde un ASN de hosting, o desde un rango VPN correlacionado con abuso previo, eleva el riesgo como contexto, no como bloqueo duro, porque usuarios legítimos también usan VPN.
- Velocidad de login. Ráfagas de intentos por cuenta, o un entorno que toca un número inusual de cuentas, marcan prueba de credenciales antes de que un login concreto tenga éxito.
- Velocidad imposible. La misma cuenta autenticándose desde ubicaciones demasiado lejanas para el tiempo transcurrido apunta a credenciales compartidas o robadas en uso activo.
Capturar la IP real del cliente en la capa del navegador importa aquí. Una solicitud puede viajar por un proxy que reescribe u omite cabeceras forwarded, dejando en los logs de servidor una fuente engañosa. La captura del lado del navegador te da la salida que la sesión realmente usó.
Por qué este es un trabajo de navegador
La propia página de login es una superficie de ataque, y a menudo ahí empieza el takeover, antes de que se pruebe una credencial. Un script propio o de terceros comprometido en tu página de login puede robar credenciales mientras el usuario escribe, o superponer un formulario falso, sin que nada llegue anómalo a tu servidor. Es e-skimming apuntado a autenticación en vez de pago.
Así que la detección pre-ATO tiene dos mitades. Observa el entorno del atacante para detectar automatización y deriva. Observa tu propia página para encontrar scripts manipulados que convierten el login legítimo de un usuario en una filtración de credenciales. Ambas viven en el navegador en runtime, y ambas son invisibles para un WAF o log de servidor. cside instrumenta la página y la sesión juntas: monitorización en tiempo real de scripts de terceros y comportamiento, detección de agentes IA y headless, captura de dispositivo e IP real, y visibilidad de payload runtime, entregada como señales por API para que tu lógica de fraude las consuma. Para la parte de integridad de página, consulta client-side security.
Plan operativo
- Instrumenta endpoints de login y recuperación con señales de navegador, no solo logs de autenticación del servidor.
- Detecta postura de automatización en cada intento: señales headless, fugas CDP, uniformidad de kits stealth.
- Puntúa deriva de fingerprint contra una línea base por cuenta, no coincidencias absolutas.
- Añade comportamiento de proxy residencial, contexto VPN/datacenter y velocidad como entradas de riesgo.
- Desafía o eleva fricción en sesiones riesgosas antes de cambios de cuenta, pagos o checkout.
- Devuelve los resultados de desafíos a la línea base para que el modelo mejore con el tiempo.
El objetivo es una decisión confiable construida con señales débiles que se acumulan, lo bastante temprano para desafiar la sesión y no solo documentar la pérdida.
