Device intelligence: más contexto sobre el dispositivo, menos incertidumbre sobre quién opera

Es el conjunto de señales sobre el estado y la integridad del dispositivo y del entorno de red desde el que se conecta una persona. En el mercado también se la llama device fingerprinting o huella de dispositivo. Sirve para identificar amenazas técnicas en el escenario más incómodo: los datos de identidad no han cambiado, pero el aparato desde el que se opera no es de fiar.

La biometría de comportamiento observa cómo interactúa la persona: el ritmo, la presión, el gesto. El device intelligence comprueba el estado del aparato y de la red desde los que se conecta esa persona. La primera descubre que quien opera no se comporta como el titular; la segunda descubre que el entorno desde el que opera está comprometido. Son soluciones complementarias que responden a preguntas distintas.

El fraude que opera desde un entorno técnico manipulado: aplicaciones clonadas y manipuladas, emuladores, automatización con bots, suplantación desde un aparato que no es el del titular y sesiones interceptadas por un tercero colocado en medio de la comunicación. En todos esos casos los datos de la persona no han cambiado; el entorno sí.

Es un malware bancario instalado en el móvil de la víctima que permite al atacante ver la pantalla y operar en su nombre desde la propia aplicación del banco. Las credenciales son genuinas y el dispositivo es el habitual, así que los controles de identidad devuelven correcto. Lo que delata la situación son las señales del entorno: integridad del dispositivo comprometida, instrumentación dinámica sobre la aplicación, herramientas de desarrollo activas, ataque de intermediario y patrones de actividad que no encajan con una persona operando sola.

Detectamos el emulador de Android de forma directa, con una señal propia. Las granjas de dispositivos no se detectan como tal: identificamos los bots y los patrones de actividad que las delatan, como el dispositivo con actividad anormalmente alta y la anomalía de velocidad por identidades o países vinculados al mismo aparato en ventanas cortas. Esas señales frenan el patrón aunque no etiqueten la granja en sí. Las ventanas son reales y visibles en la cronología: direcciones IP distintas en 5 minutos, en 1 hora y en 24 horas, y países distintos en las últimas 24 horas.

Las señales detectadas, la cronología completa de eventos organizada por operación con el dato concreto de dispositivo y red, y el registro de quién dentro de tu equipo miró o modificó esa sesión. No es solo el rastro de lo que hizo el usuario final: es también el rastro de la revisión, que es lo que responde a la pregunta del auditor sobre quién revisó esto y cuándo.

Web, iOS y Android, con el mismo esquema de datos en los tres. Las señales de integridad se distinguen por plataforma: root en Android y jailbreak en iOS. La matriz concreta de versiones soportadas se revisa con tu equipo en la sesión técnica, junto con la documentación pública.

Sí. Kubernetes on-premise, nube privada o SaaS, igual que el resto de la plataforma. La residencia del dato queda donde la institución decida, dentro del perímetro que exija el regulador de cada mercado. El modelo de despliegue no cambia las señales ni el panel de sesiones.