Usuario y contraseña correctos, autenticación completada y acceso concedido. Durante años, este proceso ha sido uno de los principales puntos de control para determinar quién puede ingresar a un servicio digital. Sin embargo, una sesión que comienza de manera legítima puede cambiar de nivel de riesgo minutos después.
IONIX LATAM, compañía especializada en seguridad transaccional, identidad digital y prevención de fraude, advierte que un inicio de sesión exitoso confirma la autenticación en un momento determinado, pero no garantiza que todas las actividades posteriores realizadas dentro de esa sesión sean legítimas.
El riesgo puede modificarse cuando el usuario cambia de dispositivo o ubicación, accede a información más sensible, altera datos críticos de su cuenta o realiza una operación poco frecuente. Individualmente, estas situaciones no necesariamente representan una amenaza; sin embargo, su combinación puede cambiar considerablemente el contexto de una transacción.
Esta realidad cobra especial importancia frente al robo de credenciales. Según el Data Breach Investigations Report 2025 de Verizon, las credenciales comprometidas representaron el 22 % de los vectores de acceso inicial en las brechas analizadas.
Esto significa que un ciberdelincuente que obtiene credenciales legítimas podría superar correctamente el proceso inicial de autenticación. La diferencia puede comenzar a evidenciarse posteriormente, a través de su comportamiento, ubicación, dispositivo, conexión o las operaciones que intenta realizar.
De autenticar una vez a evaluar el riesgo durante toda la sesión
Para IONIX, uno de los cambios necesarios en la seguridad digital consiste en dejar de considerar el inicio de sesión como una validación definitiva de confianza.
“La autenticación sigue siendo fundamental, pero debemos entenderla como el comienzo de la relación de confianza con el usuario y no como una autorización permanente. El riesgo puede cambiar durante una sesión y las organizaciones necesitan tener la capacidad de reconocer ese cambio y responder mientras la operación todavía está ocurriendo”, afirma Mario Aranda, director general de IONIX LATAM
Esta aproximación se conoce como Session Trust, un modelo en el que la confianzaasociada a una sesión puede reevaluarse conforme aparecen nuevas señales durante la interacción.
No significa solicitar nuevamente la contraseña ante cada movimiento ni bloquear cualquier comportamiento diferente. El objetivo es reconocer cuándo las condiciones permanecen dentro de parámetros normales y cuándo la combinación de determinadas señales justifica elevar los controles.
Por ejemplo, ingresar desde un computador nuevo puede ser completamente legítimo. Pero si al mismo tiempo el usuario se conecta desde una ubicación inusual y trata de modificar información sensible o ejecutar una transacción de alto riesgo, el contexto cambia.
Seguridad sin convertir cada cambio en una barrera
El desafío también está en evitar que una estrategia de prevención del fraude termine deteriorando la experiencia del usuario.
Una modificación en el comportamiento puede responder simplemente a que la persona está viajando, cambió de computador o realiza por primera vez una determinada operación. Por eso, las señales no deberían analizarse aisladamente.
Cuando el contexto continúa siendo consistente, la sesión puede mantenerse sin controles adicionales. Cuando el nivel de riesgo aumenta, las organizaciones pueden solicitar una nueva autenticación, restringir temporalmente determinadas acciones o, en situaciones de mayor riesgo, finalizar la sesión.
IONIX Trust: decisiones de seguridad en tiempo real
Este enfoque hace parte de la estrategia de IONIX Trust, plataforma SaaS empresarial que integra capacidades de identidad, autenticación, prevención de fraude y control transaccional para coordinar distintas señales y validaciones bajo una lógica basada en riesgo.
La plataforma busca que las organizaciones puedan tomar decisiones durante la interacción digital y ajustar los controles según el nivel de riesgo de cada operación, en lugar de depender únicamente de una validación realizada al comienzo de la sesión.
De esta manera, la confianza digital deja de ser una decisión estática tomada cuando el usuario ingresa y pasa a convertirse en un proceso que acompaña toda la interacción.
En Colombia, este enfoque puede ayudar a fortalecer la confianza en los servicios financieros y digitales, al permitir una prevención del fraude más precisa sin afectar innecesariamente la experiencia de los usuarios.
Para las empresas, significa avanzar hacia ecosistemas digitales más seguros, capaces de acompañar el crecimiento de los pagos, la banca y los servicios en línea con controles adaptados al nivel real de riesgo.
