Autenticación adaptativa
Ajustar la exigencia al riesgo de cada operación en lugar de aplicar la misma a todas. Qué señales entran en la decisión, qué desenlaces tiene y dónde termina su alcance.
En síntesis
La autenticación adaptativa es el esquema en el que la exigencia de la autenticación varía según el riesgo estimado de cada intento u operación. Un acceso rutinario desde el dispositivo de siempre pasa sin fricción; una transferencia inusual desde un dispositivo nuevo pide un factor más fuerte.
También se la llama autenticación basada en riesgo. El nombre describe bien el cambio de fondo: la política deja de ser una regla fija por pantalla y pasa a ser una decisión por evento.
La decisión se arma con señales, no con una sola condición
Ninguna señal alcanza por sí sola. La calidad del esquema depende de cuántas de estas están efectivamente disponibles en el momento de decidir, que es una restricción de arquitectura antes que de política.
- Dispositivo — si es un equipo conocido y asociado a esa persona, o uno visto por primera vez.
- Red y ubicación — el origen de la conexión, y sobre todo su cambio brusco respecto del comportamiento habitual.
- Comportamiento — patrones de uso, horarios, ritmo de la interacción.
- La operación — el monto, el destinatario, si es la primera vez que aparece, si toca datos de contacto o de seguridad.
- Estado de la sesión — hace cuánto se autenticó la persona y qué factor usó en ese momento.
Un cambio de datos de contacto merece atención especial, porque suele ser el paso previo a tomar el control de una cuenta: quien cambia el teléfono asociado redirige, de paso, todos los factores que llegan a ese teléfono.
Los desenlaces posibles son tres
La política evalúa las señales y produce una decisión. Nombrar los tres desenlaces evita el error de diseño más común, que es tener solamente el primero y el tercero.
- Permitir — el riesgo estimado es bajo y la operación sigue sin fricción adicional.
- Elevar la exigencia — se pide un factor adicional o más fuerte antes de continuar. Es el step-up, y es el desenlace que le da sentido a todo el esquema.
- Bloquear — la operación se detiene o se deriva a revisión manual.
La elevación es lo que permite subir el nivel de seguridad promedio sin subir la fricción promedio. Un esquema que solo permite o bloquea obliga a elegir entre pedirle demasiado a todo el mundo o dejar pasar lo que debería mirarse con más cuidado.
Para que la elevación funcione hacen falta factores de distinta fuerza disponibles en el mismo flujo. Es la conexión directa con el MFA: la autenticación adaptativa decide cuándo, y el inventario de factores determina qué se puede pedir.
La autenticación adaptativa no es el monitoreo de fraude, y se necesitan mutuamente
Los dos evalúan riesgo con señales parecidas y actúan en momentos distintos.
- Autenticación adaptativa — decide en el momento del acceso o de la operación, antes de ejecutarla, y su respuesta es pedirle algo más a la persona.
- Protección contra el fraude — evalúa la operación con reglas y modelos, en tiempo real o después, y su respuesta es aprobar, retener o alertar.
El punto de contacto es la evidencia. Un motor de fraude que no sabe con qué factor se autenticó la persona evalúa a ciegas la mitad del contexto, y una política de autenticación que no ve el historial de riesgo de esa cuenta decide con la otra mitad. Es la razón práctica por la que conviene que las dos capas consulten la misma identidad digital en lugar de mantener cada una su propio registro.
Qué cubre y qué no
Conviene ser preciso con el alcance, porque el término se vende con frecuencia como si resolviera toda la categoría.
Cubre bien el acceso desde un dispositivo desconocido, que es lo que sigue a un credential stuffing exitoso, y las operaciones sensibles dentro de una sesión legítima en apariencia.
No cubre un ataque de phishing donde la persona entrega en tiempo real el factor que se le pidió elevar. La exigencia subió y el atacante la satisfizo, con la colaboración involuntaria del titular.
Tampoco cubre lo que ocurre en el medio de una sesión ya establecida y sin operaciones que disparen la evaluación. Esa es la brecha que aborda la autenticación continua.
Preguntas frecuentes
Es el esquema en el que la exigencia de la autenticación cambia según el riesgo estimado de cada intento u operación, en lugar de aplicar la misma regla a todos los casos. La política evalúa señales de dispositivo, red, comportamiento y características de la operación, y decide entre permitir, pedir un factor adicional o bloquear. También se la conoce como autenticación basada en riesgo.
Es el desenlace intermedio de una política adaptativa: la operación no se bloquea ni se permite directamente, sino que se le pide a la persona un factor adicional o más fuerte antes de continuar. Es lo que permite mantener un acceso sin fricción para la mayoría de los casos y reservar la exigencia para los que la justifican. Para implementarlo hace falta tener disponibles factores de distinta fuerza dentro del mismo flujo.
En el momento y en la respuesta. La autenticación adaptativa actúa antes de que la operación se ejecute y su respuesta es pedirle algo más a la persona. La protección contra el fraude evalúa la operación con reglas y modelos y su respuesta es aprobarla, retenerla o alertar. Se complementan, y funcionan mejor cuando comparten el mismo registro de identidad: el motor de fraude gana contexto al saber con qué factor se autenticó alguien, y la política de acceso gana contexto al ver el historial de riesgo de esa cuenta.
