Última actualización: octubre de 2026

La inteligencia de dispositivos y la biometría del comportamiento son las dos familias de señales pasivas que los equipos de prevención de fraude implementan cuando las contraseñas y los códigos de un solo uso ya no son suficientes. La inteligencia de dispositivos le indica qué se está conectando y si se está ocultando su identidad. La biometría del comportamiento le indica si la persona que usa ese dispositivo se comporta como el propietario de la cuenta. Juntas, permiten detectar dispositivos falsificados, bots que actúan como humanos, sesiones de acceso remoto y clientes manipulados, siempre que se creen perfiles de referencia por usuario, se aplique fricción solo cuando el riesgo lo justifique y se resuelvan las dudas de privacidad antes de recopilar la primera señal.

Resumen rápido

• La inteligencia de dispositivos identifica el dispositivo y la conexión detrás de una sesión y comprueba si se están ocultando. La biometría del comportamiento mide cómo la persona escribe, desliza, toca y se mueve en la pantalla.

• La huella digital de un dispositivo es solo un componente de la inteligencia de dispositivos, no el conjunto. Los atacantes ahora ajustan las huellas falsificadas para que se parezcan lo suficiente a las del cliente legítimo.

• Estas señales detectan lo que las credenciales no logran ver: clientes convencidos para entregar códigos de un solo uso, bots que actúan al ritmo de las personas, personas pagadas para superar controles de bots, sesiones de acceso remoto y cuentas cedidas.

• Dependen de perfiles de referencia. Sin un historial para un usuario, la desviación por usuario no tiene contra qué compararse, por lo que el valor se traslada al riesgo del dispositivo y a la propia aplicación.

• Los datos de comportamiento pueden considerarse información biométrica según las leyes de algunos estados de EE. UU., con excepciones que varían según la normativa. Consulte con su equipo legal sobre el aviso, la retención y el manejo de proveedores antes de recopilarlos.

• Pruebe a cualquier proveedor en vivo con su propio tráfico real. Las señales de comportamiento nunca se recopilaron en sus datos históricos, por lo que una puntuación retrospectiva no sirve para validarlas.

¿Cuál es la diferencia entre la inteligencia de dispositivos y la biometría del comportamiento?

La inteligencia de dispositivos identifica el dispositivo y la conexión detrás de una sesión y comprueba si alguno de ellos se está ocultando. La biometría del comportamiento mide cómo interactúa la persona en ese dispositivo: ritmo de escritura, deslizamientos, toques, movimiento del mouse y navegación. La inteligencia de dispositivos pregunta qué se está conectando. La biometría del comportamiento pregunta si la persona se comporta como el propietario de la cuenta, y los equipos de prevención de fraude usan ambas porque cada una cubre los puntos ciegos de la otra.

La inteligencia de dispositivos comienza con los atributos del dispositivo: hardware, sistema operativo, configuración del navegador, idioma y ajustes de hora. Añade la conexión, como el tipo de red, la reputación de la IP y el uso de proxies o VPN. Luego comprueba la integridad, buscando emuladores, teléfonos con root o jailbreak, y atributos que se contradigan entre sí. Finalmente, incluye el historial: con qué frecuencia se ha visto este dispositivo, en cuántas cuentas y con qué resultados.

La huella digital del dispositivo es un elemento de ese análisis. Una huella digital es un identificador creado a partir de los atributos del dispositivo para que el mismo dispositivo pueda ser reconocido en su próxima visita. La inteligencia de dispositivos va más allá y pregunta si la huella es estable, si parece falsificada y qué ha hecho el dispositivo anteriormente.

La biometría del comportamiento mide a la persona en lugar del hardware. La guía de autenticación de la FFIEC de 2021 lo describe de esta manera: "El análisis biométrico del comportamiento puede incluir datos como los deslizamientos de dedos del cliente, toques, pulsaciones de teclas y uso del mouse". La misma guía trata la identificación del dispositivo y la biometría del comportamiento como controles complementarios, e indica que las cookies, la geolocalización o la coincidencia de direcciones IP no son controles efectivos si se usan solos.

Debido a que las señales se recopilan en segundo plano, la biometría del comportamiento a menudo se denomina biometría pasiva. Cuando se ejecutan durante toda la sesión y no solo al iniciar sesión, la práctica se suele llamar autenticación continua, y la autenticación biométrica del comportamiento se convierte en una capa más en lugar de una única barrera de entrada.

Ambas familias de señales fallan en situaciones distintas, lo que justifica la importancia de utilizarlas de manera conjunta.

Lo que detectan y que las contraseñas y códigos de un solo uso pasan por alto

Las contraseñas y los códigos de un solo uso comprueban lo que una persona sabe o tiene. No dicen nada sobre quién está escribiendo o qué dispositivo envía la solicitud. Cinco patrones logran superar esa barrera.

Clientes convencidos para entregar códigos de un solo uso

Las llamadas de suplantación de identidad ahora apuntan directamente al código de un solo uso. Un gerente de cumplimiento de BSA/AML de una cooperativa de crédito describió cómo los estafadores logran que los miembros aprueben el código: "Entregan sus credenciales, logran entrar al sistema y luego tienen acceso total a la cuenta". El atacante cambia la contraseña y el miembro se queda sin acceso a su propia cuenta.

La autenticación multifactor funcionó según lo diseñado en esa secuencia, porque el código era válido. Las señales de dispositivos y comportamiento hacen una pregunta diferente al iniciar sesión: ¿es este el dispositivo del miembro y la sesión parece suya? Un gerente de fraude de una cooperativa de crédito resumió el objetivo de forma sencilla: "Me encantaría detectar algo en la puerta cuando están llamando, en lugar de cuando ya han entrado al sistema". La estrategia general para la prevención de robo de cuentas se apoya en estas señales.

Dispositivos falsificados ajustados para evitar medidas de seguridad adicionales

Los atacantes saben que un dispositivo familiar reduce la puntuación de riesgo. Un director de estrategia de fraude al consumidor de una empresa de telecomunicaciones, fuera de los servicios financieros, describió el relleno de credenciales (credential stuffing) en el que los atacantes "intentan imitar la huella digital del dispositivo. Simplemente prueban si la huella es lo suficientemente parecida a la del cliente legítimo para evitar que se les solicite una verificación adicional".

Por eso, la coincidencia de una huella digital nunca debe resolver la duda por sí sola. La inteligencia de dispositivos busca indicios de falsificación: emuladores, combinaciones de atributos que ningún dispositivo real produce y configuraciones que cambian entre sesiones de una manera en que los teléfonos y navegadores reales no lo hacen. Una sola sesión que pasa por muchas identidades de clientes es en sí misma una señal de alerta del dispositivo, sin importar lo que diga la huella digital.

Bots que actúan como humanos y humanos que superan controles de bots

El mismo director de fraude de telecomunicaciones señaló que los atacantes programan bots para que parezcan clientes reales, pasando más tiempo en las páginas y navegando antes de actuar. También ocurre el patrón opuesto. Un director de monitoreo de fraude y transacciones de una fintech de banca comercial describió un ataque en el que "literalmente tienen a una persona detrás resolviendo el captcha y superando los controles habituales de detección de bots".

Un director principal de producto para la autenticación de clientes de una empresa de transferencia de dinero comentó que el CAPTCHA y otras medidas de prevención similares no lograban frenar a los atacantes. Las señales de comportamiento ayudan en estos casos porque analizan toda la sesión en lugar de un único desafío. Un bot programado para parecer humano suele repetir patrones, y un equipo de personas que trabaja con muchas cuentas tiende a generar sesiones muy mecánicas y uniformes en dispositivos similares.

Sesiones de acceso remoto

Un responsable de programas de estafas y fraude a personas mayores de un banco señaló que el monitoreo basado en reglas carecía de las señales de comportamiento necesarias para detectar las herramientas de acceso remoto utilizadas en la ingeniería social, y que el equipo no tenía ninguna herramienta interna para detectarlas. Un analista de fraude de pagos digitales de un banco añadió que el acceso remoto en teléfonos móviles es más difícil de detectar que en computadoras de escritorio.

El control remoto deja huellas que se pueden comprobar en una sesión: software de pantalla compartida o de control remoto ejecutándose en el dispositivo, movimientos que llegan sin los toques físicos que produce una mano real, y movimientos del cursor que no se ajustan al patrón del propio usuario. Esas huellas son más difíciles de ver en teléfonos, por lo que la cobertura móvil merece una atención especial en cualquier evaluación.

Clientes manipulados y cuentas cedidas

Algunos de los casos más difíciles involucran al cliente real, en su propio dispositivo, actuando bajo las instrucciones de un estafador. Las señales de comportamiento pueden mostrar indecisión o una sesión que sigue un guión específico. Cuando se manipula al cliente para que envíe el dinero él mismo, las señales deben combinarse con el contexto de la transacción; nuestra guía sobre fraudes de pago inmediato autorizado cubre este tema.

Un director de estrategia de fraude de una fintech de consumo señaló otro patrón de dispositivo: dos dispositivos operando en la misma cuenta en paralelo, lo que puede indicar una mula de dinero o una cesión de cuenta. Durante el registro, las mismas señales ayudan con el fraude de solicitudes, donde un solo dispositivo que envía muchas solicitudes, o datos de identidad pegados en lugar de escritos, pueden indicar identidades sintéticas; nuestra guía para detectar el fraude de identidad sintética cubre esos patrones.

Cómo funcionan las señales pasivas y los perfiles de referencia

Las señales de dispositivos y comportamiento significan poco por sí solas. Una sesión se evalúa en comparación con dos perfiles de referencia: cómo interactúan los clientes en general con la aplicación y cómo lo hace habitualmente este cliente en particular. Un gerente de fraude y AML de una entidad de crédito digital al consumo preguntó a un proveedor sobre ambos aspectos: la creación de perfiles a nivel de población para detectar anomalías y la creación de perfiles a nivel de usuario una vez que alguien se convierte en cliente.

El perfil de referencia de la población detecta lo que ningún cliente real haría, como una sesión que completa un formulario largo en segundos o una configuración de dispositivo que nunca aparece entre usuarios legítimos. El perfil de referencia por usuario detecta lo que este cliente específico no hace habitualmente. El director de producto para autenticación de clientes de la misma empresa de transferencia de dinero describió el segundo caso como el análisis conjunto de un inicio de sesión, la dirección IP y los datos de comportamiento anteriores del usuario para detectar cualquier anomalía.

Evaluar la desviación, no señales individuales

Un único cambio es algo normal. Los clientes compran teléfonos nuevos, viajan y actualizan sus navegadores. Varios cambios a la vez no lo son: un dispositivo nuevo, una red nueva, un ritmo de escritura inusual y un camino rápido para agregar un beneficiario, todo en una sola sesión. Evaluar la desviación combinada en lugar de escribir una regla por señal es lo que mantiene bajas las falsas alarmas.

El identificador del dispositivo también debe mantenerse estable frente a cambios comunes. Si una actualización del navegador, el borrado de cookies o una actualización del sistema operativo hacen que el dispositivo de un cliente parezca nuevo, cada una de esas sesiones comenzará desde cero, sin historial previo.

Cómo se evalúa habitualmente una sesión, paso a paso:

1. Recopilar señales de dispositivos e interacción de forma pasiva, sin pasos adicionales para el cliente.

2. Identificar el dispositivo y comprobar su integridad: emulación, alteraciones, atributos falsificados.

3. Comparar la sesión con el perfil de referencia de la población general.

4. Compararla con el perfil de referencia del propio cliente, si existe uno.

5. Combinar el resultado con el contexto, como la transacción, el beneficiario y los cambios recientes en la cuenta.

6. Decidir: permitir, solicitar verificación adicional o retener para revisión.

Cuando los perfiles de referencia son limitados

La desviación por usuario requiere un historial, y algunas empresas tienen muy poco. Un gerente de automatización de riesgos de una entidad de crédito comercial se mostró escéptico por esta razón: "No tengo forma de saber desde dónde se supone que este usuario inicia sesión normalmente". Los prestatarios de esa entidad eran vendedores de proveedores con muy pocos puntos de contacto, por lo que no había un patrón normal del cual desviarse.

Las señales de población y el riesgo del dispositivo siguen funcionando en una primera sesión. Para los prestamistas, el mismo gerente de fraude y AML de la entidad de crédito digital señaló que una vez que se desembolsan los fondos, la actividad de inicio de sesión importa menos, y los datos de la solicitud hacen la mayor parte del trabajo al evaluar el fraude. Eso traslada el valor de estas señales a la propia sesión de la solicitud.

Una nueva prueba viene de la mano de los agentes de IA. Un responsable de operaciones de fraude y crédito de un proveedor de streaming, fuera de los servicios financieros, preguntó cómo se mantiene la detección a medida que los agentes de IA asumen más tareas de llenado de formularios, para las cuales se diseñaron las señales de tiempo de escritura. El ritmo de escritura diferencia a una persona que escribe de un texto copiado y pegado, pero un agente que actúa en nombre de un cliente real puede ser legítimo. Es una de las preguntas abiertas para cualquier modelo de comportamiento.

Fricción solo cuando el riesgo lo justifique

La recopilación pasiva no añade pasos para el cliente. La mayoría de las sesiones deberían transcurrir sin que el cliente note nada, y la autenticación adicional debería reservarse para las sesiones cuyo nivel de riesgo realmente lo exija. Exigir verificaciones adicionales en cada dispositivo nuevo o inicio de sesión inusual acostumbra a los clientes a ignorar las alertas y ahuyenta a los buenos usuarios.

La detección de estafas al iniciar sesión es donde es más difícil aplicar fricción. Un director de estrategia de fraude de autenticación del mismo banco que el analista de fraude de pagos digitales mencionado anteriormente señaló que las estafas son muy difíciles de detectar en ese punto, porque muchos clientes legítimos muestran los mismos patrones si no se cuenta con los indicadores adecuados, por lo que el equipo se centró principalmente en el robo de cuentas. Reducir los falsos positivos por fraude depende de esta misma disciplina: combinar señales y contexto antes de añadir fricción.

La equidad también requiere su propio control. Algunas señales de comportamiento, como la indecisión o una escritura más lenta, pueden sesgarse hacia clientes de mayor edad o usuarios que utilizan tecnologías de asistencia. Combine señales en lugar de actuar sobre una sola, y pruebe los resultados por segmento de clientes antes de implementar una regla en producción.

Errores comunes

• Tratar la coincidencia de la huella digital del dispositivo como prueba definitiva de identidad.

• Escribir una regla por cada señal en lugar de evaluar la desviación combinada.

• Exigir verificaciones adicionales en cada dispositivo nuevo, haciendo que los buenos clientes asuman la molestia.

• Evaluar la desviación por usuario para clientes que aún no tienen historial.

• Recopilar datos de comportamiento antes de definir el aviso de privacidad, la retención de datos y el manejo de proveedores.

Privacidad, consentimiento y gobernanza

Los datos de comportamiento pueden considerarse información biométrica bajo ciertas leyes estatales de EE. UU., y las exenciones para las instituciones financieras varían según la normativa. Lo que dicen los textos legales:

• California. La CCPA (Cal. Civ. Code 1798.140) incluye expresamente los "patrones o ritmos de pulsación de teclas" y los "patrones o ritmos de marcha" dentro de la información biométrica. La CCPA también excluye la información personal recopilada bajo la Ley Gramm-Leach-Bliley.

• Illinois. La BIPA (740 ILCS 14/10) define un identificador biométrico como "un escaneo de retina o iris, huella dactilar, huella de voz o escaneo de la geometría de la mano o el rostro", una lista cerrada que no menciona las pulsaciones de teclas ni la marcha. La Sección 25(c) exime a las instituciones financieras sujetas al Título V de la Ley Gramm-Leach-Bliley.

• Texas y Washington. El estatuto biométrico de Texas (Tex. Bus. & Com. Code 503.001, modificado a partir del 1 de enero de 2026) y la ley de identificadores biométricos de Washington (RCW 19.375) utilizan definiciones que no incluyen los patrones de comportamiento, y ambos excluyen los usos de seguridad o prevención del fraude.

Si alguna de estas normas se aplica a un programa en particular depende de los datos recopilados, la entidad que los recopila y el propósito. Esta es una consulta para su equipo legal, y la respuesta debe quedar clara antes de recopilar la primera señal.

Preguntas de gobernanza que deben responderse por escrito:

• Propósito. Para qué se utilizan las señales y para qué no se utilizarán bajo ningún concepto.

• Aviso y consentimiento. Qué se les informa a los clientes, dónde y si se requiere su consentimiento explícito.

• Retención. Cuánto tiempo se conservan las señales brutas y las puntuaciones derivadas, y cuándo se eliminan.

• Acceso. Quién dentro de la institución y del proveedor puede ver los datos, y cómo se gestionan las solicitudes de los clientes.

• Manejo de proveedores. Dónde almacena los datos el proveedor y si se utilizan para entrenar modelos para otros clientes.

• Documentación del modelo. Cómo se generan, prueban y supervisan las puntuaciones, en un formato comprensible para un evaluador de riesgos de modelos.

Cómo evaluar a un proveedor de señales de dispositivos o de comportamiento

Los compradores suelen entender el problema rápidamente y exigen pruebas contundentes. Un responsable de fraudes con tarjetas en una entidad de crédito al consumo señaló que entendía que los métodos tradicionales para detectar comportamientos no humanos pueden ser vulnerados con las herramientas de IA actuales, pero aun así quería saber por qué un proveedor sería más eficaz que otro. Estas preguntas ayudan a encontrar esa respuesta.

1. ¿Puede demostrar la diferencia con nuestro propio tráfico? Las señales de comportamiento nunca se recopilaron en sus sesiones históricas, por lo que no se pueden evaluar en un archivo etiquetado después del evento. El mismo responsable de fraudes con tarjetas lo expresó así: "Tienes que implementarlo y recopilar datos en tiempo real para demostrar el valor real". El director de estrategia de fraude de la fintech de consumo mencionada anteriormente coincidió en este punto sobre los conjuntos de datos históricos y las señales de comportamiento y dispositivos. Una respuesta débil solo ofrecerá una puntuación retrospectiva sobre sus fraudes pasados.

2. ¿El modelo aprende de nuestra cartera, de un consorcio o de ambos? Un director de equipo de fraude en un emisor de tarjetas preguntó exactamente esto, ya que una cartera muy específica puede no parecerse a la de nadie más. Una respuesta débil no podrá precisar qué datos entrenaron las puntuaciones aplicadas a sus clientes.

3. ¿Puede un analista ver por qué una sesión obtuvo una puntuación de riesgo alta? Una explicación clara que un analista pueda entender y defender vale más que un número de apariencia precisa. Una respuesta débil ofrecerá una puntuación opaca sin factores que la justifiquen.

4. ¿Qué tan compleja es la integración? Pregunte sobre los SDK web y móviles, qué se ejecuta en el dispositivo y cómo llegan las señales a su punto de decisión en tiempo real. El gerente de cumplimiento de BSA/AML de la cooperativa de crédito citada anteriormente mencionó que su banca en línea altamente personalizada dificultaba las llamadas de API directas. Una respuesta débil asumirá una infraestructura estándar y no tendrá un plan adaptado a la suya.

5. ¿Cómo gestiona la suplantación de identidad, los emuladores, el acceso remoto y los agentes automatizados? Solicite ver cómo se combinan las señales para tomar una decisión, con ejemplos de sesiones similares a las suyas. Una respuesta débil destacará el tamaño de una lista de señales en lugar de mostrar cómo se utilizan.

6. ¿Qué datos recopila, dónde se almacenan, por cuánto tiempo y quién tiene acceso? Las respuestas deben coincidir con la lista de gobernanza anterior. Una respuesta débil dejará sin especificar la retención o la reutilización de datos para el entrenamiento de modelos.

Preguntas frecuentes

¿Es lo mismo la huella digital del dispositivo que la inteligencia de dispositivos?

No. La huella digital del dispositivo crea un identificador a partir de sus atributos para poder reconocerlo en visitas futuras. La inteligencia de dispositivos utiliza ese identificador como una entrada más y añade comprobaciones de integridad contra emulación y alteraciones, contexto de red e IP, e historial del dispositivo en diferentes cuentas. Una huella digital se puede falsificar para que parezca familiar, por lo que no debe definir una sesión por sí sola.

¿La biometría del comportamiento genera fricción para los clientes?

No por sí sola. La biometría del comportamiento se recopila de forma pasiva en segundo plano, por lo que la mayoría de los clientes no experimentan pasos adicionales. La fricción surge de lo que la institución decide hacer con una puntuación de riesgo alta, como solicitar una verificación adicional, y eso debe reservarse solo para sesiones donde el riesgo combinado lo justifique.

¿La biometría del comportamiento está regulada por las leyes de privacidad biométrica?

Bajo ciertos estatutos, es posible. La CCPA de California incluye expresamente los patrones de pulsación de teclas y de marcha como información biométrica, pero excluye los datos recopilados bajo la Ley Gramm-Leach-Bliley. La definición de la BIPA de Illinois no incluye las pulsaciones de teclas ni la marcha y exime a las instituciones financieras sujetas al Título V de dicha ley, mientras que Texas y Washington excluyen los usos de seguridad y prevención del fraude. Si un programa específico está cubierto o no es una consulta para su equipo legal.

¿Puede la biometría del comportamiento detener estafas donde el cliente está siendo manipulado?

No por sí sola. Cuando el cliente real utiliza su propio dispositivo, el dispositivo parece familiar y las credenciales son correctas. Las señales de comportamiento pueden mostrar indecisión, una sesión que sigue un guión o software de acceso remoto en el dispositivo, pero no pueden determinar si el pago fue idea del propio cliente. Deben combinarse con el contexto de la transacción y del beneficiario.

Dónde encaja Oscilar

En Oscilar, la inteligencia de dispositivos y comportamiento es un componente de una plataforma unificada: estructura de datos en tiempo real, inteligencia de dispositivos y comportamiento, reglas y gestión de casos en una sola tecnología. Esto permite que las señales descritas aquí se evalúen junto con los datos y reglas de la transacción en lugar de en una herramienta separada. Para ver cómo funciona esto en la práctica, explore la solución de inteligencia de dispositivos y del comportamiento en la plataforma de Oscilar.