La detección de viaje imposible identifica sesiones donde la ubicación de un usuario cambia más rápido de lo físicamente posible. Si una cuenta inicia sesión desde Londres a las 09:00 y luego desde Singapur a las 09:15, la sesión se marca: ningún vuelo directo cubre esa distancia en 15 minutos. La señal es simple. Lo que determina su utilidad es cómo el sistema maneja las VPN, la infraestructura compartida, los viajeros reales y los agentes de IA que reutilizan tokens robados.
Qué cuenta como viaje imposible
El cálculo central es la distancia dividida por el tiempo. Si la velocidad requerida supera un umbral razonable, típicamente alrededor de 800 km/h como límite superior generoso para los vuelos comerciales, el movimiento se marca como físicamente implausible.
| Escenario | Distancia | Intervalo de tiempo | Velocidad | Veredicto |
|---|---|---|---|---|
| Londres a París | 340 km | 25 min | 816 km/h | Marcar |
| Londres a Mánchester | 260 km | 40 min | 390 km/h | Sin marca |
| Nueva York a Londres | 5.540 km | 2 horas | 2.770 km/h | Marcar |
| Misma ciudad, cambio de VPN | 0 km | instante | 0 km/h | Necesita contexto |
El tiempo es lo que diferencia esto de la simple geolocalización. Una cuenta activa en un lugar y luego en otro una hora después puede ser un cambio de VPN, un traspaso móvil o un viajero real en un vuelo corto. La velocidad resuelve la mayoría de las ambigüedades, pero no todas.
Dónde falla la detección basada solo en IP
La lógica estándar de viaje imposible compara dos geolocalizaciones de IP. Funciona cuando las IPs representan un origen geográfico real. Falla en estas situaciones:
- Cambios de VPN: cambian la ubicación aparente sin ningún movimiento físico.
- Proxies residenciales: hacen que el tráfico del atacante parezca originarse desde una conexión doméstica cercana al objetivo.
- Salida corporativa compartida: coloca a muchos usuarios en una ubicación independientemente de dónde estén físicamente.
- Itinerancia de red móvil: cambia las asignaciones de país de IP cuando el operador realiza traspasos de celda.
Los falsos positivos en estos casos son costosos. Un usuario real marcado mientras viaja, cambia servidores VPN o se conecta a través de una red corporativa genera fricción sin detectar a un atacante.
Qué agrega la capa del navegador
Las huellas digitales del dispositivo cambian el significado de "mismo usuario". En lugar de preguntar si la IP coincide con la ubicación esperada, puedes preguntar si el dispositivo coincide con el historial de la cuenta y si el entorno del navegador parece un usuario real o un marco de automatización.
cside captura inteligencia de dispositivos desde los navegadores de visitantes reales: más de 102 señales que incluyen huella digital del hardware, entorno de renderizado, indicadores de automatización y postura de VPN/proxy. Dos inicios de sesión desde diferentes ciudades pueden ser un viajero real. Los mismos dos inicios de sesión desde diferentes ciudades con una huella digital de dispositivo diferente y un ASN de proxy residencial es un problema diferente.
Esta combinación detecta lo que la velocidad de IP sola no puede:
- Viaje enmascarado por VPN: la IP permanece en una ciudad, pero el perfil del dispositivo cambia a mitad de sesión. Ese cambio no es movimiento físico, pero sí una ruptura de confianza.
- Reutilización de tokens por agentes de IA: un agente de IA que toma un token de sesión robado puede reproducirlo desde un contexto geográfico y de red completamente diferente. El salto de ubicación es inmediato, y el perfil del dispositivo no coincidirá con el historial de la cuenta.
- Robo de sesión real: una cookie de sesión capturada mediante un ataque en la capa del navegador y reproducida por el atacante desde otro país aparece como viaje imposible junto con un repentino desajuste de huella digital del dispositivo.
El viaje imposible como una señal dentro de un modelo de sesión
El viaje imposible es una señal útil, no un veredicto. Una cuenta que lo activa debería ver un desafío de autenticación adicional, una reautenticación forzada o una retención en acciones de alto riesgo (pago, cambio de dirección, actualización de método de pago), no un bloqueo inmediato. Un viajero real que confirma su identidad continúa sin fricción. Una sesión de relleno de credenciales que no supera el desafío se detiene.
El modelo correcto combina la señal con la deriva de la huella digital del dispositivo, la reputación de la red (puntuación de VPN y proxy, tipo de ASN), la continuidad del comportamiento y la velocidad de las acciones post-inicio de sesión. cside entrega todas estas señales de riesgo de sesión a través de API, para que tu lógica de fraude pueda puntuar el contexto completo en lugar de reaccionar solo a la ubicación.
Para ver cómo el viaje imposible encaja en un modelo más amplio de prevención de toma de cuentas, incluida la puntuación de sesiones y los controles post-autenticación, consulta el manual completo.
