Navegación anómala: cuando el atacante no escribe como el titular
Patrones de desplazamiento, retroceso y pausas que delatan control remoto
Publicado el 14 de marzo de 2025 · Lectura de 7 minutos
Registro de rutas de pantalla y tiempos de permanencia durante una sesión supervisada.
Cuando alguien opera la cuenta de otra persona a través de un acceso remoto, el tecleo puede parecer razonable durante unos segundos. Lo que casi nunca se sostiene es el recorrido. El titular entra, mira el saldo, va a la sección de transferencias y confirma. El intruso, en cambio, abre menús que no usa, vuelve dos veces sobre el mismo campo y avanza a una velocidad que no varía con el contenido de la pantalla. Esa diferencia es la que nos interesa aquí.
Qué se registra en la navegación y qué no
La capa conductual observa la secuencia de pantallas, el tiempo entre toques, la repetición de rutas y los retrocesos sobre un mismo campo. No graba la pantalla, no lee el contenido de los formularios y no identifica a una persona concreta fuera del contexto de la sesión. Lo que se compara es la forma del recorrido, no su contenido. Un usuario legítimo que consulta un extracto y luego paga una factura deja una ruta reconocible: entra por el menú principal, revisa el saldo, abre la sección de pagos y confirma. Esa ruta se repite con variaciones pequeñas a lo largo del tiempo.
Un tercero que dirige la sesión desde otro equipo suele romper esa continuidad. Abre la app, salta directamente a la sección de transferencias sin pasar por el saldo, retrocede al menú, vuelve a entrar, cambia el importe dos veces y confirma sin pausa. La velocidad se mantiene uniforme porque el atacante no está leyendo la pantalla: está ejecutando pasos que ya conoce.
Combinaciones que resultan más fiables
Ningún indicio aislado basta. La navegación por sí sola no identifica al titular ni al atacante, y el tecleo por sí solo puede confundirse con cansancio o con un teclado distinto. Lo que aporta señal es la combinación:
Desplazamientos largos sin pausas naturales, seguidos de un tecleo mecánico en el campo de importe.
Retrocesos repetidos sobre el mismo campo con intervalos casi idénticos entre intentos.
Rutas de menú que el titular no ha usado en las últimas semanas, ejecutadas en orden distinto al habitual.
Alternancia entre ventanas con pausas sincronizadas, típica de quien copia datos desde otro dispositivo.
Cuando dos o más de estos indicios coinciden en la misma operación, la sospecha sube sin necesidad de señalar a una persona. La decisión se toma sobre la sesión, no sobre el individuo.
Dónde aparecen los falsos positivos
No todo recorrido raro es fraude. Un cliente que cambia de teléfono, que opera desde una red distinta o que usa la app por primera vez después de meses de inactividad puede generar un patrón que se parece al de un intruso. También ocurre con personas que navegan con prisa real: alguien que paga una factura desde el trabajo, con el móvil en una mano, produce tiempos irregulares que no siempre coinciden con su historial.
Por eso conviene separar la navegación del tecleo al analizarlas. Si ambas señales apuntan en la misma dirección, la confianza en la alerta es alta. Si solo una se desvía, el sistema debería pedir una verificación adicional en lugar de bloquear. La fricción innecesaria daña más la relación con el cliente que un fraude evitado a medias.
El límite entre vigilancia y fricción
La pregunta razonable no es cuánto se puede observar, sino cuánto hace falta observar para tomar una decisión útil. En la práctica, la navegación aporta contexto al tecleo: explica por qué una sesión se comporta de forma distinta y ayuda a distinguir entre un usuario cansado y un tercero operando la cuenta. Esa capa se integra sobre los flujos ya desplegados y respeta los límites de privacidad definidos por la entidad. No sustituye la autenticación existente ni pretende ser el único factor de decisión.
Un patrón de navegación errático combinado con un tecleo mecánico en campos financieros eleva la sospecha sin señalar a una persona concreta. La lectura se hace sobre la sesión, no sobre el individuo.
Navegación anómala: cuando el atacante no escribe como el titular
Si estás revisando este artículo porque en tu entidad aparecen sesiones con desplazamientos raros, retrocesos repetidos o una cadencia de navegación demasiado regular, aquí tienes por dónde empezar. Respondemos dudas concretas sobre qué se puede leer en la navegación, qué no, y cómo encajarlo con la dinámica de tecleo sin añadir fricción al cliente.
Los mensajes que llegan por correo se leen el mismo día hábil y reciben respuesta orientativa en un plazo de 24 a 48 horas. Si la consulta incluye capturas de un flujo de navegación concreto, la respuesta suele ser más útil porque podemos señalar qué parte del patrón merece atención y cuál se descarta por ruido. Las llamadas se atienden en horario laboral de Argentina y, si no hay nadie disponible, se devuelve el contacto al día siguiente.
Sí. La capa conductual trabaja con la secuencia de pantallas, el tiempo entre toques y la repetición de rutas, no con el contenido visual. No se guardan capturas ni vídeo de la sesión. Lo que se conserva es la estructura del recorrido: qué se abrió, en qué orden y con qué pausas. Eso permite comparar una sesión dirigida por un tercero con el patrón habitual del titular sin invadir el contenido de lo que consulta.
No, y conviene repetirlo. Un desplazamiento largo o un retroceso pueden deberse a una duda legítima, a un cambio de dispositivo o a una versión distinta de la app. La navegación se lee junto a la dinámica de tecleo para construir una señal compuesta. Cuando ambas capas apuntan en la misma dirección, la sospecha sube; cuando solo lo hace una, se recomienda verificación adicional en lugar de bloqueo directo.
La integración se plantea como capa complementaria sobre lo que la entidad ya usa. No sustituye la autenticación existente ni decide por sí sola. Se conecta a los eventos de navegación y tecleo que la app ya emite, y devuelve una señal que el equipo de prevención de fraude interpreta según sus umbrales. Si quieres ver cómo encajaría en tu caso, puedes escribirnos y revisamos el escenario concreto.
En la página de enfoque explicamos cómo se separan las señales de navegación y de tecleo, y qué se descarta por considerarse ruido. Si tu duda es de tipo contractual o de tratamiento de datos, la información está en las páginas de política y términos. Para consultas directas sobre este artículo, el correo de contacto es la vía más rápida.
Navegación anómala: cuando el atacante no escribe como el titular
Analista de comportamiento en sesiones bancarias
Trabajo con equipos de prevención de fraude que necesitan distinguir una sesión normal de una sesión dirigida por un tercero. En los últimos años me he centrado en leer la navegación dentro de la app: el orden en que se abren las pantallas, los retrocesos sobre un mismo campo y las pausas que no encajan con el flujo habitual de pago. Esa capa se cruza con el ritmo de tecleo para construir una señal compuesta, sin grabar la pantalla ni el contenido de la operación.
Cuando reviso un caso, suelo separar primero la navegación del tecleo. Mezclarlas demasiado pronto genera alertas que no se sostienen y desgasta al equipo que las revisa. Prefiero documentar qué combinaciones resultan fiables, en qué escenarios aparecen falsos positivos y dónde conviene poner el límite entre vigilancia razonable y fricción innecesaria para el cliente.
Navegación anómala: cuando el atacante no escribe como el titular
Antes de sacar conclusiones conviene fijar el terreno. Aquí no hablamos de identificar a una persona concreta ni de sustituir la autenticación que ya usa el banco. Lo que se describe es una capa que observa la forma de moverse por la app durante una sesión y la compara con el historial del titular. Cuando decimos "navegación anómala" nos referimos a la secuencia de pantallas, los retrocesos, las pausas y la velocidad con que se recorre el flujo de pago, nunca al contenido que aparece en pantalla. Tampoco se graba la pantalla ni se leen los datos escritos.
Navegación anómala: cuando el atacante no escribe como el titular
Patrones de desplazamiento, retroceso y pausas que delatan control remoto. La secuencia de pantallas deja rastro incluso cuando el tecleo parece correcto.
Registro de sesión: rutas de menú, tiempos de permanencia y retrocesos sobre el mismo campo.
Un titular real abre la app, revisa el saldo y va directo al pago. La sesión dirigida por un tercero suele saltar entre secciones sin ese orden previo: entra en configuración, vuelve al inicio, consulta movimientos que no forman parte del flujo de pago.
El retroceso repetido sobre el mismo campo es otra marca. El usuario legítimo corrige una vez y continúa. Cuando alguien opera a distancia, el cursor vuelve al mismo punto tres o cuatro veces con una cadencia casi idéntica, sin la pausa de duda que introduce una persona al releer un importe.
La velocidad uniforme es el indicio más incómodo de interpretar. Un desplazamiento largo sin micro-pausas, seguido de otro igual, sugiere una mano que no está leyendo la pantalla. Pero también aparece en usuarios con mucha práctica, y ahí conviene no disparar la alerta sola.
La combinación fiable no es navegación ni tecleo por separado, sino las dos señales leídas juntas. Una ruta errática con un tecleo mecánico en los campos financieros eleva la sospecha sin necesidad de identificar a nadie: solo describe una sesión que no encaja con el historial del titular.
El límite práctico está en la fricción. Vigilar cada desplazamiento sin criterio convierte la app en un interrogatorio. La capa conductual observa secuencia, tiempos y repetición de rutas, sin grabar pantalla ni contenido, y solo propone una verificación adicional cuando varias señales coinciden.
Configuracion de cookiesUsamos cookies para mantener el sitio estable, recordar opciones basicas y entender que paginas resultan utiles. Puedes aceptar, rechazar o revisar la configuracion antes de continuar.
