Los ataques de «credential stuffing» consisten en probar pares de nombre de usuario y contraseña robados de filtraciones no relacionadas en las páginas de inicio de sesión de sitios de comercio electrónico. Cuando un cliente reutiliza una contraseña de un sitio que ha sufrido una filtración en su cuenta de compras, los atacantes prueban esa credencial a gran escala mediante herramientas automatizadas. Los inicios de sesión exitosos dan lugar a fraudes con los métodos de pago almacenados, al robo de puntos de fidelidad y a la reventa de cuentas. La API de exposición de usuarios de SpyCloud comprueba si la identidad de un cliente aparece en los datos de filtraciones, malware y phishing recuperados por SpyCloud en el momento del inicio de sesión, y devuelve una señal de riesgo que activa una autenticación reforzada para los usuarios confirmados como de alto riesgo, sin suponer ningún inconveniente para la mayoría de los clientes legítimos.

Los programas de fidelización y las cuentas de pago almacenadas tienen un valor financiero real, lo que los convierte en objetivos atractivos para el secuestro de cuentas. Los intentos de apropiación de cuentas (ATO) de mayor riesgo provienen de atacantes que utilizan cookies de sesión robadas en lugar de credenciales, ya que la reproducción de sesiones elude por completo la autenticación multifactorial (MFA) y los controles antifraude en el momento del inicio de sesión. La API de protección de identidad de sesión de SpyCloud detecta cuándo las cookies de sesión activas de un cliente circulan en los mercados delictivos y las invalida antes de que el atacante pueda vaciar un saldo de fidelidad o realizar un cargo a través de un método de pago almacenado. Se trata de una capa de protección contra el fraude que opera por encima de la autenticación, en lugar de hacerlo en el mismo nivel.

Los controles antifraude de amplio alcance que bloquean o solicitan una verificación adicional para todas las sesiones que parecen anómalas generan fricciones para los clientes legítimos y aumentan el abandono de carritos. SpyCloud aporta mayor precisión: solo se aplica una solicitud de verificación o un paso de autenticación adicional a los usuarios cuya identidad se haya confirmado como expuesta en los datos recuperados por SpyCloud, y no a aquellos que simplemente parecen inusuales según los indicadores de comportamiento. Un usuario que acceda a su cuenta desde un nuevo dispositivo puede parecer sospechoso desde el punto de vista del comportamiento, pero puede tener un historial de exposición en SpyCloud completamente limpio, lo que significa que no se le impondrá ninguna dificultad adicional. Un usuario cuya exposición de credenciales se haya confirmado en mercados delictivos recibirá una solicitud de autenticación específica, incluso si sus señales de comportamiento parecen normales.

El malware «infostealer» instalado en el dispositivo personal de un cliente captura todas las credenciales almacenadas en el navegador, incluyendo los datos de acceso a cuentas de comercio electrónico, los métodos de pago guardados en la función de autocompletar del navegador y las cookies de sesión activas de cualquier sesión de compra en curso. SpyCloud recupera los registros del malware «infostealer» de fuentes delictivas a las pocas horas de su distribución. Las plataformas de comercio electrónico que utilizan SpyCloud pueden detectar cuándo el dispositivo de un cliente ha sido infectado y se han robado sus cookies de sesión antes de que un atacante las reutilice, lo que permite invalidar de forma selectiva la sesión y enviar avisos de seguridad a la cuenta del cliente antes de que se produzca el fraude.

SpyCloud es una señal de exposición de identidad en fase inicial que enriquece las plataformas de toma de decisiones sobre fraude ya existentes, en lugar de sustituirlas. Forter, Signifyd, Riskified y otras plataformas similares toman decisiones de aceptación, rechazo o verificación basándose en señales de comportamiento, de dispositivos y de transacciones. SpyCloud añade una capa en fase inicial: si la identidad del titular de la cuenta ha sido confirmada como comprometida en los mercados delictivos. Un usuario con una señal de exposición confirmada por SpyCloud recibe una puntuación de riesgo elevada en el motor de decisión de la plataforma antifraude, independientemente de que sus señales de comportamiento parezcan normales. La integración se basa en una API y añade una única característica de riesgo adicional al modelo de toma de decisiones existente.