Usuario real o estafador: ¿lo adivina o está seguro?

Las aplicaciones móviles no utilizan cookies, y las alternativas probabilísticas inevitablemente cometen errores. Por suerte, hay otra forma.
‍

Como propietario de una aplicación, ¿cómo ofrecer la mejor experiencia a los usuarios auténticos y mantener alejados a los malos? No es un problema fácil de resolver, especialmente en móviles.
‍

En los dispositivos de sobremesa, se puede colocar una cookie en un navegador web, y eso daría un alto grado de confianza sobre la identidad de ese dispositivo en el futuro. Por desgracia, en los dispositivos móviles no funciona así: las aplicaciones no pueden utilizar cookies de navegador ni comunicarse entre sí.
‍

Como resultado, muchas empresas se basan en enfoques probabilísticos de la identidad del dispositivo móvil -recopilación de datos sobre el dispositivo y la configuración del usuario- para hacer poco más que una conjetura sobre si el móvil es realmente el mismo que se utilizó anteriormente en esa cuenta.
‍

Pero adivinar significa hacer un difícil equilibrio entre riesgo y facilidad de uso. O bien el umbral de fraude es bajo, lo que facilita el acceso a los buenos usuarios, pero también deja pasar a muchos malos actores. O hacer lo contrario: tomar medidas drásticas contra el fraude, pero someter a los usuarios legítimos a una experiencia de usuario muy friccionada, lo que inevitablemente provoca el abandono de muchos buenos usuarios.
‍

Ninguna de las dos soluciones es precisamente óptima. Afortunadamente, ahora hay otra manera, que le ofrece una seguridad fiable sin fricciones. Ya no tiene que adivinar la identidad del dispositivo móvil, sino que puede estar seguro de saberlo, con una solución basada en la posesión que da una respuesta sencilla y definitiva.
‍

En este artículo, explicaremos con más detalle por qué las aplicaciones no pueden utilizar cookies y expondremos los retos a los que se enfrentan los enfoques probabilísticos de la identificación. Por último, ofreceremos una alternativa sorprendentemente sencilla que le permitirá prescindir de cualquier compromiso incómodo entre fraude y fricción...

‍

Cookies en dispositivos móviles

‍

Las cookies son fragmentos de datos que un sitio web almacena en el dispositivo de un usuario para diversas funciones. En un nivel básico, las cookies se utilizan para asignar a cada dispositivo visitante una identidad, de modo que el sitio pueda reconocerlo.
‍

Así es como los sitios web son capaces de mantener a los usuarios conectados, y como los sitios que no requieren un inicio de sesión siguen siendo capaces de realizar un seguimiento de sus visitantes individuales y obtener información de la audiencia. Por el contrario, cuando visite un sitio por primera vez o utilice un dispositivo diferente, se le avisará de la existencia de cookies, y es posible que se active la autenticación de dos factores (2FA) y otras dificultades de identificación. Las cookies funcionan de forma muy similar en un navegador móvil que en un ordenador.
‍

Sin embargo, las aplicaciones móviles no funcionan igual que un navegador. Por naturaleza, las aplicaciones tienen un diseño de "caja de arena", lo que significa que no pueden interactuar con otras aplicaciones del teléfono. Te darás cuenta si intentas, por ejemplo, iniciar sesión en un juego con los datos de tu cuenta de Facebook. El juego no puede saber automáticamente si has iniciado sesión en la aplicación de Facebook o en Safari: en su lugar, abrirá su propia WebView (navegador dentro de la aplicación) y te pedirá que vuelvas a introducir tus datos.
‍

Este inconveniente se debe a su diseño, ya que es una medida de seguridad importante: si descargas una aplicación que contiene malware, la caja de arena cerrada significa que no puede infectar o espiar el resto de tu teléfono. Sin embargo, la falta de cookies provoca un gran problema de identidad en las aplicaciones, que deben intentar verificar a sus usuarios por otros medios, con mayor o menor éxito.
‍

Muchos de los métodos actuales utilizan datos del teléfono y de la aplicación, a menudo con algún tipo de inteligencia artificial, para "adivinar" la respuesta. Veamos cómo funcionan estos métodos probabilísticos y por qué son erróneos.

Identificación estadística

‍

Una alternativa probabilística a las cookies es construir una "identificación estadística". Varios servicios ofrecen la posibilidad de construir un perfil de usuario -ya sea con fines de identidad o de marketing- rastreando información sobre el dispositivo del usuario.
‍

Por ejemplo, la aplicación podría tomar nota del modelo de dispositivo, el agente de usuario, el sistema operativo, la dirección IP e incluso detalles como el tamaño de la pantalla, el idioma y el tipo de letra. Al recopilar estos datos, el servicio puede construir un perfil de usuario, permitiendo ciertos grados de variación, para intentar determinar quién es el usuario (y si es la misma persona en varias instancias). En teoría, estos datos son fiables porque el usuario no puede falsificarlos. Sin embargo, en la realidad esto no es del todo cierto, ya que los usuarios que "rootean" sus teléfonos pueden alterar incluso estos datos fundamentales.
‍

El rooteo es un tipo de pirateo que permite a los usuarios saltarse las restricciones y editar los ajustes básicos de su teléfono, normalmente vedados al acceso de los usuarios, incluidos los archivos esenciales del sistema. Como el sistema operativo Android es de código abierto, cualquiera puede modificarlo y, aunque es más difícil, los dispositivos Apple también pueden manipularse (lo que se conoce como "jailbreaking"). La gente rootea sus teléfonos por diversas razones, pero esto a menudo implica cambiar la configuración del sistema para modificar su teléfono más allá de sus capacidades previstas, lo que significa que los datos del dispositivo ya no son fiables.

‍

Datos de la aplicación

‍

Un problema obvio de la elaboración de perfiles estadísticos es la privacidad: es comprensible que a los usuarios les preocupe que se recopile su información personal. Además, las propias aplicaciones pueden ser pirateadas, lo que significa que agentes malintencionados pueden tener acceso a los datos que se recopilan, por lo que las aplicaciones que almacenan todos los detalles de sus usuarios corren el riesgo de que se filtre esa información.
‍

El panorama está cambiando. La legislación del GDPR no solo obliga a las empresas de la UE a permitir que los usuarios opten por no participar en este tipo de tratamiento de datos, sino que este enfoque se está convirtiendo en una norma mundial.
‍

A partir de iOS 14, Apple exige el consentimiento explícito para el rastreo de datos en las aplicaciones. Si los usuarios lo rechazan, los editores de aplicaciones no pueden utilizar su IDFA, una forma de identificación de usuario que Apple ofrece a los anunciantes. El ID equivalente de Android es menos fácil de rechazar: actualmente, los usuarios sólo pueden reiniciarno rechazar, el tratamiento de datos. Pero el resultado es el mismo: las aplicaciones móviles no pueden crear perfiles de sus usuarios sin su consentimiento, lo que significa que los actores maliciosos pueden decir simplemente "no" a ser rastreados.
‍

Probabilista frente a determinista

‍

El defecto fundamental de este tipo de métodos probabilísticos es que no dejan de ser conjeturas, lo que significa tener que elegir entre dejar entrar a los malos o marcar a los usuarios legítimos como amenazas.
‍

Con un umbral alto -menor seguridad para facilitar la incorporación de usuarios- no hay suficiente información para hacer una evaluación segura y de alta confianza: después de todo, los actores maliciosos pueden generar un sinfín de alias desechables, como direcciones de correo electrónico, con facilidad.
‍

Por eso se suele establecer un umbral bajo (requisitos de seguridad más estrictos para la incorporación de usuarios) para atrapar a los malos. Pero esto da lugar a demasiados falsos positivos: los usuarios reales quedan atrapados en la seguridad y son sometidos a controles adicionales. Como hemos visto, perfilar a los usuarios hasta ese punto es cada vez más difícil y conlleva su propio riesgo si se pone en peligro.
‍

Toda esta insatisfacción de los usuarios se traduce también en bajos índices de conversión, especialmente en la fase de incorporación, lo que a su vez puede acarrear problemas de reputación. Los nuevos usuarios abandonarán rápidamente una aplicación cuya primera impresión sea una experiencia de usuario frustrante y buscarán una alternativa.

‍

Protección de datos

‍

Ser capaz de identificar un dispositivo móvil puede tener ventajas para el usuario (por ejemplo, una experiencia de inicio de sesión sin fricciones), pero también puede tener algunas desventajas (como la preocupación por la privacidad). Hay que encontrar un equilibrio: mantener un nivel aceptable de privacidad del usuario (que controle explícitamente qué datos se comparten) a cambio de una experiencia de usuario muy mejorada, manteniendo alejados a los malos.
‍
‍
Este equilibrio se consigue utilizando el número de teléfono móvil. En general, los usuarios están dispuestos a compartir su número de teléfono móvil para acceder a un sitio web o una aplicación. Siempre que no se requiera ninguna otra información personal y que el número sólo se utilice para identificarlos con el fin de permitir el acceso y evitar el fraude, es un compromiso que los usuarios están dispuestos a hacer.

‍

Determinista y nativo móvil

‍

El uso del número de teléfono móvil como identificador, junto con la tarjeta SIM del teléfono móvil del usuario para la autenticación (seguridad), ofrece una solución determinista (es decir, sin conjeturas).
‍

La tarjeta SIM es criptográficamente segura y puede verificarse con certeza en tiempo real. Cuando se utiliza junto con el número de teléfono móvil, este método de identificación se convierte en una "cookie del servidor" para el teléfono móvil. El funcionamiento es sencillo: el usuario introduce su número de teléfono móvil y la aplicación se comunica instantáneamente con el operador de red móvil para verificar que ese número es el que está vinculado a esa tarjeta SIM.
‍

Esto garantiza que el usuario posee un dispositivo físico único y no es un bot o un estafador que utiliza múltiples identidades. En lugar de probabilística, esta solución es determinista: ofrece una respuesta simple de sí o no, lo que proporciona al usuario una experiencia sin fricciones y da a la aplicación la confianza de que cada usuario es un individuo genuino.

‍

IDlayr: la autenticación móvil reimaginada

‍

IDlayr puede ayudarle a aplicar este enfoque del siglo XXI a la identidad del usuario. Se acabaron las conjeturas con una recopilación de datos poco fiable e invasiva: nuestra gama de productos basados en API le permite implantar de forma rápida y sencilla una autenticación de usuario móvil determinista, segura y sin fricciones, reduciendo el fraude y ayudándole a aumentar los ingresos móviles.

‍