Evita que se produzcan apropiaciones indebidas de cuentas de consumidores antes de que se produzcan

Los servicios estándar de monitorización de fugas de datos y análisis de la dark web alertan a las organizaciones cuando las credenciales de un consumidor aparecen en un conjunto de datos público conocido sobre fugas. Esto cubre un tipo de exposición —los pares de nombre de usuario y contraseña procedentes de fugas— y, por lo general, envía esa alerta entre días y semanas después de que los datos ya hayan circulado en los mercados delictivos. La protección contra amenazas a la identidad de los consumidores aborda una gama más amplia de vectores de ataque y proporciona una alerta más temprana. SpyCloud recupera datos directamente de fuentes delictivas —registros de malware activo dedicado al robo de información, resultados de campañas de phishing y listas combinadas— y no solo de volcados de filtraciones indexados. Esto significa que se detecta la exposición de los consumidores derivada de infecciones por malware y ataques de phishing exitosos, y no solo los pares de credenciales de filtraciones. Los datos recuperados por SpyCloud incluyen cookies de sesión que pueden utilizarse para eludir la autenticación multifactorial (MFA) y secuestrar por completo sesiones autenticadas, información de identificación personal (PII) robada que permite el fraude de identidad sintética, y contraseñas en texto plano que permiten la validación directa de credenciales en lugar de la comparación de hash. Esta combinación proporciona a los equipos de fraude y seguridad inteligencia proactiva —una señal que llega antes de que los atacantes actúen, con el alcance completo de lo que los delincuentes realmente tienen— en lugar de una notificación de que se ha producido una filtración a posteriori.

La autenticación multifactorial (MFA) plantea un reto a los usuarios en el momento del inicio de sesión: verifica la identidad antes de que se complete la autenticación. La apropiación de cuentas de consumidores elude cada vez más esta capa por completo, centrándose en el resultado de la autenticación: las cookies de sesión y los tokens de actualización. Cuando un programa de robo de información infecta el dispositivo de un consumidor, extrae todas las cookies de sesión activas almacenadas en el navegador —de todas las aplicaciones en las que el usuario había iniciado sesión— junto con sus contraseñas guardadas. Un atacante que reproduce una cookie de sesión robada dentro de un navegador antidetección presenta una sesión autenticada válida al servidor de la aplicación, sin que aparezca ninguna solicitud de inicio de sesión, sin desafío de MFA y sin anomalías de comportamiento. La misma elusión se aplica cuando las cookies de sesión se roban mediante phishing de tipo «adversario en el medio», en el que la MFA se completa con éxito y el atacante intercepta el artefacto de sesión resultante. En 2025, SpyCloud recuperó 8 600 millones de cookies de sesión robadas de los mercados delictivos. SpyCloud Session Identity Protection proporciona un flujo de datos actualizado continuamente con las cookies de sesión comprometidas vinculadas a los dominios de las aplicaciones de una organización, lo que permite a los equipos de seguridad y de lucha contra el fraude invalidar las sesiones activas antes de que los atacantes puedan utilizarlas, cerrando así la superficie de ataque posterior a la autenticación que la autenticación multifactorial (MFA) no puede proteger.

Los ataques de ransomware rara vez comienzan con el cifrado: empiezan con el robo de datos de identidad. La cadena de ataque más habitual del ransomware consta de tres fases: una infección por malware de robo de información extrae credenciales y datos de sesión del dispositivo de un empleado o colaborador; los atacantes utilizan esos datos para obtener acceso inicial a las aplicaciones corporativas; a continuación se produce el movimiento lateral, facilitado por las huellas digitales de los dispositivos, los datos de cookies y las credenciales de las aplicaciones capturadas durante la misma infección. Casi una de cada tres empresas que sufrió un ataque de ransomware tenía constancia de una infección previa por un programa de robo de información. En 2025, el 85 % de las organizaciones informó de haber sufrido un ataque de ransomware en el último año, y el 35 % de los puntos de entrada se atribuyeron al phishing, lo que supone un aumento con respecto al 25 % del año anterior. SpyCloud Enterprise Protection supervisa simultáneamente las tres etapas de esta cadena de ataque: se detectan las exposiciones de credenciales en las brechas de seguridad, el phishing y los registros de malware para permitir una corrección temprana; la inteligencia de infección a nivel de dispositivo identifica el alcance total del compromiso tras la infección antes de que permita el movimiento lateral; y la supervisión de la identidad de los proveedores detecta las credenciales comprometidas de los socios antes de que se conviertan en puntos de entrada encubiertos. Interrumpir cualquiera de estas etapas reduce el riesgo de ransomware; SpyCloud supervisa las tres desde una única plataforma.

Las API de protección al consumidor de SpyCloud están diseñadas para implementarse en tres puntos distintos del ciclo de vida de la autenticación del cliente, y su combinación ofrece cobertura en toda la superficie de ataque. Al crear una cuenta o restablecer una contraseña, la API de exposición de contraseñas compara los hash de contraseña enviados con el conjunto de datos recuperados por SpyCloud utilizando el k-anonimato, lo que evita que los consumidores establezcan credenciales que ya estén en manos de delincuentes, sin necesidad de transmitir contraseñas en texto plano a los servidores de SpyCloud. Al iniciar sesión, la API de exposición de usuarios realiza una comprobación en tiempo real de la dirección de correo electrónico o el nombre de usuario del consumidor con los registros de filtraciones, malware y phishing, devolviendo una señal de riesgo que puede activar una autenticación reforzada para los usuarios de alto riesgo sin suponer una complicación adicional para los de bajo riesgo. En modo inactivo —de forma programada por lotes—, las organizaciones comparan su base de datos completa de consumidores con los datos recuperados y actualizados continuamente por SpyCloud para detectar cuentas recién expuestas cuyas credenciales quizá no hayan activado un evento de inicio de sesión. La API Consumer IDLink se sitúa por encima de las tres anteriores como opción de escalado: cuando una señal inicial justifica una investigación más profunda, IDLink correlaciona múltiples artefactos de identidad para revelar patrones de identidad sintética y un historial de exposición más amplio que las comprobaciones de un solo elemento no detectan.

El fraude con tarjetas de pago y el fraude en programas de fidelización representan superficies de ataque distintas al ATO basado en credenciales, y requieren información de inteligencia diferente. SpyCloud Financial Threat Protection recupera los datos de tarjetas de pago comprometidos directamente de fuentes delictivas —incluidas las infecciones por programas de robo de información en ordenadores de sobremesa, el malware móvil en teléfonos comprometidos y las fuentes de filtraciones— lo que proporciona visibilidad temprana de las tarjetas de crédito, regalo y fidelización expuestas antes de que sean monetizadas. Los registros de tarjetas robadas suelen contener más que el número de la tarjeta: incluyen los datos completos de la cuenta y la información de identificación personal (PII) asociada, como direcciones de correo electrónico, números de teléfono y números de ruta bancaria, lo que aumenta significativamente el riesgo de fraude posterior y permite ataques de seguimiento dirigidos. SpyCloud Financial Threat Protection permite a los emisores de tarjetas, a los procesadores de pagos y a los minoristas identificar las tarjetas de pago expuestas en sus carteras de clientes y actuar antes de que se produzca el fraude, bloqueando las tarjetas comprometidas, notificando de forma proactiva a los titulares y reduciendo la exposición a las devoluciones de cargo. En el caso de las organizaciones con programas de fidelización, esta misma capa de inteligencia cubre las vulnerabilidades de las tarjetas de fidelización y las cuentas de recompensas, relacionando el robo de credenciales de pago con la cuenta de resultados del fraude en programas de fidelización sin necesidad de una fuente de datos independiente.