¿Qué es la autenticación continua?
La autenticación continua es un método para confirmar la identidad de un cliente en tiempo real cuando realiza operaciones bancarias. Normalmente, esto ocurre cuando un cliente está utilizando su teléfono móvil o su ordenador, o un cajero automático, o cuando está en una sucursal. Incluye su sesión bancaria desde el principio hasta el final, o desde el inicio de sesión hasta el cierre. La autenticación continua se basa en datos continuos procesados por un motor de riesgo que aplica el nivel adecuado de autenticación durante toda la sesión. Esto hace posible que una institución financiera confirme continuamente que el propietario legítimo de la cuenta bancaria es realmente la persona que realiza las transacciones en la cuenta, y no un estafador. La autenticación continua se produce a lo largo de todos los eventos, como la comprobación de un saldo, la realización de una transferencia bancaria o la adición de un beneficiario, a medida que el cliente avanza en su sesión bancaria.
La autenticación continua utiliza múltiples flujos de datos para que el motor de riesgo pueda evaluar y reconocer los movimientos y patrones únicos de un cliente durante su sesión bancaria. El cliente no se da cuenta de que su ubicación, dispositivo, entorno, cadencia de teclado, etc., se están comparando con un perfil de cómo interactúa normalmente con su teléfono y su aplicación bancaria como parte de su experiencia de usuario.
La autenticación continua también permite que un motor de riesgo, que es el núcleo de un sistema de prevención del fraude, supervise y analice todos los datos relacionados con la sesión bancaria, el cliente y su dispositivo, para determinar la probabilidad de fraude. El motor de riesgo asigna continuamente una puntuación de riesgo en tiempo real a cada acción que tiene lugar durante la sesión bancaria.
Con la autenticación continua, el comportamiento del cliente se evalúa continuamente sin su participación directa hasta que el comportamiento se aleja de su actividad normal, lo que da lugar a capas adicionales de seguridad. El nivel preciso de seguridad se aplica en el momento adecuado y puede significar que el cliente no es consciente de la seguridad que se realiza en segundo plano en su nombre. Sin embargo, también permite a las instituciones financieras reducir la fricción de las sesiones bancarias legítimas al disminuir la autenticación requerida para las interacciones genuinas, dando al cliente una experiencia sin problemas.
Cómo funciona la autenticación continua
Los bancos y otras instituciones financieras pueden utilizar la autenticación continua como parte de su estrategia antifraude. Los datos pueden recopilarse a partir de muchos componentes diferentes de la sesión de un cliente con su banco y pueden ser cualquier cosa, desde la forma en que interactúan con sus dispositivos móviles, como los patrones de deslizamiento y la dinámica de las pulsaciones, hasta su ubicación. Incluso pueden ser cosas como lo que está sucediendo dentro del dispositivo en el momento en que el cliente lo está utilizando. Toda esta información ayuda a elaborar un perfil de datos del usuario. El análisis del riesgo de fraude puede entonces detectar fácilmente cualquier desviación de este patrón y reaccionar en consecuencia.
La autenticación continua no aumenta el tiempo que el cliente dedica a la autenticación, siempre que su patrón de comportamiento no se desvíe de su patrón aceptado. Si lo hace, el sistema antifraude desafiará al usuario con la autenticación escalonada. Como se ha señalado, el mecanismo de autenticación no interrumpirá al cliente después de iniciar la sesión a menos que sea necesario.
Con la autenticación continua, los perfiles de datos trabajan con el motor de riesgo de la institución financiera, para proporcionar la puntuación de riesgo más precisa para ayudar a detectar el fraude. Esto permite a las instituciones financieras determinar y aplicar requisitos de autenticación que se ajusten al riesgo relativo de la transacción en el momento en que se realiza. Un motor de reglas avanzado filtrará los eventos fraudulentos que cumplan criterios específicos, pero no puede seguir el ritmo de la complejidad de los ataques de fraude. Cuando se combinan, el aprendizaje automático y un sistema basado en reglas pueden cubrir un amplio espacio de ataque. La tecnología de autenticación continua puede detectar el momento en que es necesario reforzar la seguridad o detener una transacción para ayudar a prevenir el fraude basándose en una evaluación de riesgos en tiempo real.
Hay muchas variedades de fuentes de datos que la aplicación bancaria (móvil, escritorio, cajero automático o sucursal) puede proporcionar al motor de riesgo. Un ejemplo es la biometría del comportamiento, que tiene una amplia definición de su funcionalidad. La biometría de comportamiento puede consistir en las interacciones del usuario dentro de una aplicación móvil, como la forma en que sostiene el teléfono o sus patrones de deslizamiento. Pero también pueden ser los patrones de los usuarios y la forma en que el cliente interactúa con el banco, como la hora del día o el lugar donde se encuentra. La biometría del comportamiento contribuye a la creación de un perfil de datos del cliente que es utilizado por el motor de riesgo.
La autenticación continua puede utilizar diferentes tipos de biometría de comportamiento
La biometría de comportamiento trabaja entre bastidores observando cómo se comporta un cliente con su dispositivo para identificar su patrón de comportamiento único, autentificándolo continuamente durante su sesión bancaria para asegurarse de que es el usuario legítimo. La autenticación biométrica de comportamiento compara el comportamiento actual de un cliente con el comportamiento anterior almacenado en su perfil. Cuanto mayor sea la similitud entre el perfil y el patrón de comportamiento actual, menos tendrá que preocuparse el banco por su identidad e intención.
En el caso de que una persona desconocida solicite de forma remota una nueva cuenta bancaria, una solución de seguridad de biometría de comportamiento también puede comparar su comportamiento con el típico de una población más amplia, lo que da como resultado una puntuación que evalúa la probabilidad de que la persona que realiza las acciones no sea un bot o un programa informático que obtiene un acceso no autorizado. Con la biometría de comportamiento, el comportamiento de una persona con su dispositivo ayuda a determinar el nivel de autenticación necesario en función del nivel de riesgo.
Tipos de biometría del comportamiento utilizados para la autenticación continua:
- Cómo sostiene su teléfono: La mano dominante que utiliza cuando está al teléfono y el ángulo en el que lo sostiene se analizan con la biometría del comportamiento.
- La forma de escribir y la rapidez con la que lo haces determinan tu ritmo de pulsación.
- La cantidad de presión de los dedos que utilizas al teclear se puede poner en un patrón reconocible, lo que puede ayudar a prevenir el robo de identidad y reducir el riesgo de fraude en línea.
- Los patrones de deslizamiento o desplazamiento se fijan en si se desliza a la derecha o a la izquierda en la pantalla táctil del dispositivo y en cómo se desplaza hacia arriba o hacia abajo en el mismo.
- Su forma de andar, o de caminar, también es un rasgo de comportamiento que puede estudiarse para encontrar un patrón.
Cómo la autenticación continua ayuda a prevenir el fraude
La autenticación continua puede detectar anomalías en el patrón establecido de comportamiento de un cliente con su dispositivo y su banco. Además, la biometría del comportamiento puede detectar el malware, como los bots que pueden capturar las pulsaciones de una persona para revelar su información bancaria, ya que los movimientos del bot serían diferentes de las pulsaciones de una persona.
Cuando se detecta un comportamiento sospechoso, las instituciones financieras pueden solicitar una autenticación adicional al usuario para cuestionar el acceso o las transacciones bancarias que se están realizando. Si el usuario puede superar el obstáculo de seguridad y autenticarse, puede continuar. Si no pueden, el proceso se detiene y se evita el fraude.
El panorama de las amenazas cambia constantemente y el número de ataques y violaciones de datos va en aumento, lo que supone un reto para la ciberseguridad, al tiempo que ofrece muchas oportunidades a los defraudadores. Con la autenticación continua, las instituciones financieras tienen la oportunidad de reducir su vulnerabilidad a muchos vectores de ataque y amenazas de ciberseguridad.
Como consecuencia de COVID-19, se ha producido un fuerte aumento de los ataques de fraude. Según Aite Group, "un ejecutivo de una gran IF dice que su IF había previsto previamente una disminución del 8% en el fraude en 2020 y ha revisado esa proyección a un aumento del 10% al 15% en el fraude para el año, y dice que la mayoría de los bancos pares han hecho lo mismo" La autenticación continua ayuda a reducir el fraude porque va mucho más allá de verificar la identidad de un cliente en el inicio de sesión o cuando están haciendo una transacción. Es importante señalar que la biometría del comportamiento puede ser difícil de superar para los defraudadores en este momento, ya que proporciona señales continuas sobre la autenticidad del cliente basadas en el comportamiento.
Entre bastidores con la autenticación continua: el papel del aprendizaje automático y las reglas contra el fraude
Los algoritmos de aprendizaje automático pueden analizar cantidades muy grandes de datos de transacciones que serían difíciles de revisar por los analistas y les llevaría mucho tiempo. Los algoritmos tienen en cuenta la ubicación del cliente, el dispositivo, la red y otros datos. Todos estos datos construyen un retrato detallado de cada transacción, marcando las transacciones sospechosas de un atacante o un bot en tiempo real sobre la base de las puntuaciones de riesgo que son altamente precisas. Dependiendo de la puntuación de riesgo, se puede presentar un desafío de autenticación inmediato basado en patrones de comportamiento, si es necesario. A un cliente se le puede pedir que introduzca una contraseña de un solo uso (OTP) generada por su dispositivo autenticador o entregada mediante una notificación push, por ejemplo. O, si el nivel de riesgo es muy alto, se podría pedir al cliente un escáner facial para la autentificación del usuario. Si no pueden autenticarse con éxito, la interacción o transacción bancaria se detiene.
Además, una puntuación de riesgo también puede incluir el historial de incidentes de seguridad del usuario, el número de inicios de sesión y la sensibilidad de los datos a los que se va a acceder. La razón por la que una puntuación de autenticación se basa en una combinación de muchos puntos de datos contextuales y de otro tipo es porque un punto de datos por sí solo puede y será vencido por un atacante. Sin embargo, muchas solicitudes de acceso están por debajo de los umbrales de riesgo definidos y no requieren autenticación adicional.
El aprendizaje automático también examinará los elementos de datos del dispositivo de un cliente, por ejemplo, y estudiará cómo se utiliza el dispositivo, su edad, si es un dispositivo compartido, qué métodos biométricos y de autenticación están suscritos a ese dispositivo, entre otros. También puede reducir el sesgo humano y la fatiga de las alertas presentando sólo los eventos y transacciones altamente inusuales a un experto en fraude. Una transacción de bajo riesgo (como una comprobación de saldo desde un dispositivo conocido) no requeriría ninguna validación adicional, y las transacciones de mayor riesgo (como una gran transferencia desde un dispositivo con jailbreak en una nueva ubicación) activarían pasos de autenticación adicionales. Un dispositivo con jailbreak es un teléfono que ha sido modificado para que se le puedan hacer cambios que no son compatibles con el software en su estado predeterminado.
Mientras que los algoritmos de aprendizaje automático pueden detectar escenarios de ataque emergentes debido a su fuerza en la detección de anomalías, un sistema antifraude que utiliza reglas de fraude sólo puede detectar ataques de fraude conocidos, que podrían incluir un ataque de phishing o relleno de credenciales. Por eso las bibliotecas de reglas son tan largas, porque a medida que se identifica un nuevo ataque de fraude, se construye y se añade una regla, lo que hace necesario mantener cientos o incluso miles de reglas individuales. Sin embargo, un motor de reglas avanzado filtrará los eventos fraudulentos que cumplan criterios específicos y detectará las transacciones con importes que se desvíen de un escenario normal. Alerta al sistema para que intensifique la autenticación, pero un sistema basado en reglas no puede seguir el ritmo de la complejidad de los ataques de fraude. Además, las bibliotecas de reglas siguen ampliándose, presionando al sistema, ralentizando las operaciones y aumentando la tasa de falsos positivos. Sin embargo, cuando un sistema basado en reglas se combina con el aprendizaje automático, los dos juntos proporcionan fuertes capacidades para detectar una amplia gama de intentos de fraude.
Cómo la autenticación continua ayuda a la experiencia del cliente
La autenticación continua permanece en segundo plano mientras el cliente realiza sus operaciones bancarias, estableciendo un perfil de riesgo continuo para la sesión, que puede cambiar con cada acción del cliente o de su dispositivo. Esto no sólo permite a la institución financiera tomar medidas en tiempo real cuando se detectan anomalías, sino que también permite al banco reducir la fricción de las sesiones bancarias legítimas. La experiencia del usuario es fluida a la vez que disminuye la amenaza de un ataque, lo que mejora la usabilidad.