Banca en línea y autenticación

Un segundo factor solo suma seguridad si es de una categoría diferente al primero. Las categorías clásicas son conocimiento (algo que se sabe), posesión (algo que se tiene) e inherencia (algo que se es). Dos elementos de la misma categoría son un solo factor repetido. Para quien detecta, importa porque un registro que dice «segundo factor: OK» solo vale si se sabe de qué categoría fue.

Una ráfaga de fallos de contraseña sobre una sola cuenta, a ritmo parejo, se parece a una persona que no recuerda la clave o a un programa que prueba valores. El registro no dice cuál; el ritmo y el bloqueo ayudan. Abre auth_log y cuenta los fallos seguidos por cliente, sin que haya un ingreso correcto de por medio.

El patrón opuesto es una misma dirección que intenta pocas veces con muchas cuentas distintas: ninguna cuenta acumula fallos suficientes para bloquearse, pero la dirección sí acumula clientes. Una regla solo por cuenta no lo ve. Mira la columna ip y cuenta clientes distintos por dirección en los intentos fallidos o bloqueados.

Un ingreso desde un dispositivo nuevo es normal: la gente cambia de teléfono. Un cambio de teléfono de contacto es normal. Los dos pegados, en pocos minutos, son la secuencia que permite redirigir los avisos del banco. Cruza auth_log, dispositivos y cambios_de_perfil: busca el cliente que entró por primera vez desde un dispositivo y cambió su teléfono dentro de los diez minutos siguientes.

Cada hecho aislado es corriente y alertar sobre cada uno inunda al equipo. Lo valioso es la secuencia con una ventana de tiempo, en el mismo cliente y con un cambio sensible al final. La regla se prueba contra el día de datos antes de activarse y se mide con cuántas alertas habría dado.