Contraseña correcta no garantiza que sea el usuario correcto

Usuario y contraseña correctos, autenticación completada y acceso concedido. Durante años, este proceso ha sido uno de los principales puntos de control para determinar quién puede ingresar a un servicio digital. Sin embargo, una sesión que comienza de manera legítima puede cambiar de nivel de riesgo minutos después.

IONIX LATAM, compañía especializada en seguridad transaccional, identidad digital y prevención de fraude, advierte que un inicio de sesión exitoso confirma la autenticación en un momento determinado, pero no garantiza que todas las actividades posteriores realizadas dentro de esa sesión sean legítimas.

El riesgo puede modificarse cuando el usuario cambia de dispositivo o ubicación, accede a información más sensible, altera datos críticos de su cuenta o realiza una operación poco frecuente. Individualmente, estas situaciones no necesariamente representan una amenaza; sin embargo, su combinación puede cambiar considerablemente el contexto de una transacción.

Esta realidad cobra especial importancia frente al robo de credenciales. Según el Data Breach Investigations Report 2025 de Verizon, las credenciales comprometidas representaron el 22 % de los vectores de acceso inicial en las brechas analizadas.

Esto significa que un ciberdelincuente que obtiene credenciales legítimas podría superar correctamente el proceso inicial de autenticación. La diferencia puede comenzar a evidenciarse posteriormente, a través de su comportamiento, ubicación, dispositivo, conexión o las operaciones que intenta realizar.

De autenticar una vez a evaluar el riesgo durante toda la sesión

Para IONIX, uno de los cambios necesarios en la seguridad digital consiste en dejar de considerar el inicio de sesión como una validación definitiva de confianza.

“La autenticación sigue siendo fundamental, pero debemos entenderla como el comienzo de la relación de confianza con el usuario y no como una autorización permanente. El riesgo puede cambiar durante una sesión y las organizaciones necesitan tener la capacidad de reconocer ese cambio y responder mientras la operación todavía está ocurriendo”, afirma Mario Aranda, director general de IONIX LATAM

Esta aproximación se conoce como Session Trust, un modelo en el que la confianza asociada a una sesión puede reevaluarse conforme aparecen nuevas señales durante la interacción.

No significa solicitar nuevamente la contraseña ante cada movimiento ni bloquear cualquier comportamiento diferente. El objetivo es reconocer cuándo las condiciones permanecen dentro de parámetros normales y cuándo la combinación de determinadas señales justifica elevar los controles.

Por ejemplo, ingresar desde un computador nuevo puede ser completamente legítimo. Pero si al mismo tiempo el usuario se conecta desde una ubicación inusual y trata de modificar información sensible o ejecutar una transacción de alto riesgo, el contexto cambia.