Recuperación y toma de cuentas de clientes

Quien consigue entrar a una cuenta ajena, por una recuperación mal protegida o por una clave filtrada, rara vez compra enseguida: primero se asegura la cuenta. Cambia el correo o el teléfono para que el dueño no pueda recuperarla ni reciba avisos, y a veces agrega un medio de pago o una dirección de entrega.

Por eso un cambio de contacto minutos después de una recuperación es una de las señales con más peso. No prueba nada por sí sola, pero junta tres hechos que casi nunca coinciden en una persona legítima: dispositivo nuevo, cuenta recién recuperada y contacto modificado. Las reglas de Almendro responden con tres defensas: retener los cambios 24 horas (Q3), avisar al contacto anterior (Q2) y cerrar las sesiones al recuperar (Q1).

La regla Q2 manda avisar al contacto anterior en el momento: es la única persona que puede decir «ese no fui yo» a tiempo. El aviso al contacto nuevo no sirve, porque lo controla quien hizo el cambio.

En cambios-de-contacto.csv cada cambio trae si se avisó al contacto anterior. Busca el que no avisó a nadie.

El tiempo entre la recuperación y el cambio es una medida de comportamiento: una persona que olvidó su clave suele entrar, mirar su pedido y salir; quien está asegurando una cuenta tomada actúa en minutos. En recuperaciones.csv está la hora en que se completó la recuperación de esa cuenta; en cambios-de-contacto.csv, la del cambio.

Calcula los minutos que pasaron entre ambos hechos en la cuenta de la tarea anterior.

El relleno de credenciales reutiliza pares de correo y clave filtrados en otros servicios. Desde afuera se ve como muchos intentos fallidos sobre muchas cuentas distintas desde pocas direcciones; un cliente que se equivoca de contraseña falla sobre una cuenta. La regla Q4 mide cuentas distintas por hora y por dirección, y actúa por encima de 10; justo 10 no la activa, porque un umbral exacto se lee como se escribe.

En intentos-fallidos.csv hay cinco franjas. Una dirección lo supera en dos horas distintas; otra roza el umbral sin cruzarlo.

Cuando las señales apuntan a una toma de cuenta, la respuesta debe proteger al dueño sin castigarlo: cerrar las sesiones abiertas, retener el cambio hasta pasar el plazo, avisar al contacto anterior con un enlace para revertir y pedir una verificación más fuerte para lo siguiente. Congelar la cuenta de forma indefinida o borrarla trae el costo que el módulo viene explicando: el cliente legítimo lo paga.