Account takeover

Qué es un account takeover

Un account takeover es la toma de control de una cuenta existente por parte de un tercero, que a partir de ese momento opera con los permisos de su titular.

La cuenta ya estaba verificada. La persona ya era cliente. Todo el trabajo de establecer quién era esa persona se hizo en su momento y salió bien. Lo que falló después es el control de acceso, que es una capa distinta y se defiende con controles distintos.

Por eso la comparación útil no es con el fraude en el alta. En una suplantación de identidad la organización se equivoca al decidir quién es alguien. En un account takeover la organización acertó, y después perdió la cuenta.

El término nombra el estado final, no la técnica. Por eso "detectar account takeover" no describe un control concreto hasta que se dice por qué ruta llegó.

Account takeover es un resultado, no un método

Esta es la distinción que ordena todo lo demás, y es la que suele faltar cuando un equipo intenta cubrirlo con una sola medida. Nadie ejecuta "un account takeover". Ejecuta un ataque que termina en uno.

• Phishing y smishing — el titular entrega la credencial y el segundo factor bajo engaño, en tiempo real. El acceso llega con una autenticación técnicamente correcta.
• Credential stuffing — la credencial ya estaba filtrada en otro servicio y funcionaba acá porque la persona la reutilizó. No hubo engaño ni intrusión.
• SIM swapping — el atacante se apropia de la línea telefónica y con ella de la vía de recuperación. No necesita la contraseña: pide una nueva.

Hay una cuarta ruta que crece con la biometría: la recuperación de acceso resuelta con un rostro. Cuando una cuenta se recupera comparando la cara de quien reclama contra la del alta, el vector es un deepfake y no una contraseña.

Hay dos rutas más que aparecen con frecuencia y que conviene tener en el mapa: la ingeniería social contra el canal de atención, donde el atacante convence a una persona del equipo de restablecer el acceso, y el programa malicioso en el dispositivo del titular, que captura la sesión ya autenticada.

La consecuencia operativa es directa. Un control que cubre una ruta no cubre las otras. Cambiar el segundo factor por uno atado al dominio resuelve el phishing y no dice nada sobre el SIM swapping. Endurecer la recuperación de cuenta resuelve el SIM swapping y no toca el credential stuffing. La defensa se arma por ruta, y después se agrega una capa que valga para las tres, que es la que mira lo que pasa después del acceso.

No es lo mismo que el fraude en el alta

Los dos terminan con un atacante operando una cuenta, y se detienen en momentos distintos del recorrido.

• Account takeover — la cuenta existe, tiene un titular real y un historial legítimo. El atacante hereda esa reputación, que es precisamente lo que la hace valiosa.
• Fraude en el alta — la cuenta se abre desde cero con una identidad suplantada o con una identidad sintética. No hay víctima con acceso previo ni historial que heredar.

La distinción define dónde poner el control. El fraude en el alta se combate en la verificación de identidad. El account takeover se combate en la autenticación y en las señales de la sesión, porque el alta ya pasó y estuvo bien hecha.

Cómo corre el ataque, paso a paso

Los pasos 1 a 3 varían según la ruta. Del 4 en adelante la secuencia es la misma, y ahí está la oportunidad de detección.

1. Obtener el acceso. Por cualquiera de las rutas anteriores.
2. Establecer la sesión. Desde un dispositivo nuevo, muchas veces desde otra región, a una hora que no corresponde al patrón del titular.
3. Reconocer la cuenta. El atacante mira antes de mover: saldo, límites, destinatarios ya cargados, medios de pago guardados, datos de contacto, historial. Es un tramo de solo lectura y suele durar poco.
4. Desplazar al titular. Cambio del correo, del teléfono o de los factores registrados. Es el paso que convierte el acceso en control, porque a partir de ahí la persona legítima pierde su vía de recuperación y deja de recibir los avisos.
5. Ejecutar. Transferencia, alta de un destinatario, canje de puntos, compra con el medio de pago guardado, o simplemente la reventa del acceso.
6. Persistir. Sesiones adicionales abiertas, dispositivos registrados como de confianza, reglas de reenvío en el correo. El objetivo es sobrevivir al primer intento de recuperación del titular.
7. El titular reclama. Casi siempre después de la operación, y casi siempre por un canal que ya no reconoce sus datos de contacto.

El paso 4 es el más importante de la secuencia por dos motivos. Es el que hace irreversible el problema para la víctima, y es el más detectable de todos, porque un cambio de datos de contacto seguido de una operación sensible es un patrón que casi ningún titular legítimo produce.

Dónde aparece en un recorrido de identidad

• Acceso — el momento en que se valida quién vuelve.
• Recuperación de acceso — el flujo más expuesto, porque existe justamente para dejar entrar a alguien que perdió sus factores.
• Cambio de datos de contacto — el paso que consolida el control: cuando el correo o el teléfono cambian, el titular deja de recibir los avisos.
• Operación de valor — transferencia, alta de un destinatario, cambio de límites. Es donde el control tomado se convierte en pérdida.

El paso de cambio de datos de contacto es el que separa un intento de un takeover consumado, y es el que más veces queda sin un control propio.

A quién afecta y qué cuesta

El costo tiene tres capas y solo la primera aparece en el reporte de fraude.

• Servicios financieros — transferencias, altas de destinatarios y tomas de crédito sobre cuentas legítimas. Es el caso de mayor pérdida directa y el de mayor exposición ante el regulador.
• Retail y comercio electrónico — compras con medios de pago guardados y cambio de dirección de envío. La detección suele ocurrir en la logística, no en el acceso.
• Apuestas y gaming — consumo de saldo y reventa de cuentas ya verificadas, que valen más precisamente por estar verificadas.
• Programas de puntos y fidelidad — el objetivo más subestimado. Los puntos son convertibles, casi nadie mira su saldo y la mayoría de los programas tiene controles más débiles que la cuenta principal de la misma empresa.
• Corporativo — la cuenta de un empleado como punto de entrada a sistemas internos.

Las otras dos capas son el costo de gestión, que incluye la investigación, la reversión, la atención del reclamo y la reposición del acceso, y el costo de relación, que es el que dura: la persona sabe que perdió su cuenta en esa plataforma y no en otra.

Qué controles lo detienen

Los controles se ordenan por momento, y ninguna categoría de producto cubre los cuatro. Nombrarlos completos, incluidos los que se compran en otro lado, es lo que vuelve accionable la lista.

Antes del acceso, y depende de la ruta.

• Factores atados al dominio, como passkeys o credenciales FIDO2 — contra la ruta de phishing.
• Limitación de tasa en el borde y gestión de bots — contra la ruta de credential stuffing. Se compran a fabricantes de infraestructura y de seguridad web.
• Factores que no dependen de la línea telefónica — contra la ruta de SIM swapping.
• Procedimiento verificable en el canal de atención — contra la ingeniería social al equipo de soporte. Es proceso y capacitación antes que producto.

Durante la sesión.

• Reputación del dispositivo — dispositivo nunca visto, o visto antes en otras cuentas sin relación.
• Biometría de comportamiento — ritmo de escritura, uso del puntero, forma de navegar. Es una categoría de producto propia y no la provee cualquier proveedor de identidad.
• Coherencia de contexto — geolocalización incompatible con la sesión anterior, horario fuera del patrón, salto de red.
• Puntuación de riesgo de sesión — la combinación de lo anterior en una decisión, en lugar de alertas sueltas.

En el momento del cambio y de la operación.

• Escalamiento con un factor no dictable ante una operación sensible — volver a pedir presencia en la transferencia, no solo en el acceso.
• Confirmación fuera de banda con el detalle de la operación — que lo que se aprueba muestre monto y destino, y no diga solo "autorizar".
• Notificación al canal anterior, no al nuevo — avisar del cambio de correo o de teléfono a los datos que estaban registrados antes. Es de los pocos avisos que la víctima puede ver a tiempo.
• Período de enfriamiento tras un cambio de factor o de contacto — una demora antes de habilitar operaciones sensibles. Cuesta poco y rompe el paso 4.
• Re-verificación de identidad en la recuperación de cuenta — volver a probar quién es la persona, en lugar de aceptar un código.

Después.

• Gestión de casos de fraude — cola, criterio, trazabilidad y capacidad de revertir. Es una plataforma propia y un equipo, no una función de un SDK.
• Correlación con eventos de seguridad — los registros de acceso vistos junto al resto de la telemetría, habitualmente en un sistema de gestión de eventos que no pertenece al dominio de identidad.
• Reglas del lado de medios de pago — las que actúan sobre la transacción, ya fuera del control de acceso.

Buena parte de lo que decide el resultado de un account takeover, la gestión de casos, la correlación de eventos y las reglas de pagos, no la vende un proveedor de identidad. Un equipo que quiera cubrir este fraude entero necesita al menos tres tipos de fabricante distintos, y conviene saberlo antes de firmar con uno solo.

Cómo lo aborda VU

VU trabaja en tres de los cuatro momentos.

Antes del acceso, Autentica soporta siete factores, incluidos varios que no dependen de la línea telefónica ni de un secreto reutilizable. Cambiar el factor es la medida que más recorta la superficie de las tres rutas principales.

Durante la sesión y en la operación, Protege contra el fraude evalúa señales de dispositivo y de comportamiento en tiempo real, que es la capa que sirve para las tres rutas a la vez, porque actúa después de que la autenticación ya fue superada.

En la recuperación y en el escalamiento, Verifica vuelve a probar presencia con biometría, lo que cierra el paso 4. Su prueba de vida está certificada por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3.

La gestión de casos posterior y la correlación con el resto de la telemetría de seguridad siguen siendo trabajo de otras herramientas y de un equipo.