El robo de una cuenta no suele aparecer como un inicio de sesión fallido. El atacante ya tiene una sesión válida (una cookie robada, un token filtrado o credenciales reutilizadas de otra filtración), así que para la plataforma parece que el cliente legítimo simplemente siguió navegando.
Qué cambia de verdad
Lo que no se traslada limpiamente es el dispositivo y el comportamiento que hay debajo de la sesión. Una huella de dispositivo creada a partir del renderizado de canvas, WebGL, el procesamiento de audio, las fuentes y las señales del hardware es propia de la máquina y el navegador que la generaron. Cuando una sesión pasa a otro dispositivo (un navegador nuevo, otro sistema operativo, un hardware totalmente distinto), esa huella cambia, aunque el token de sesión siga siendo «válido».
El comportamiento también cambia. El ritmo de escritura, el movimiento del ratón y el desplazamiento son difíciles de reproducir entre personas distintas, aunque usen la misma cuenta.
De dónde sale el umbral
Skyfense sigue la similitud de la huella de forma continua durante una sesión y marca una caída por debajo del 67 % aproximadamente como señal probable de secuestro. Ese umbral no es arbitrario. La variación normal dentro de una sesión real (actualizaciones del navegador, pequeños cambios del entorno, cambios de red) se queda muy por encima, mientras que un cambio de dispositivo real cae muy por debajo. Las sesiones que cruzan la línea se vuelven a evaluar, en vez de fiarse de una cookie que sigue siendo válida.
El resultado es una comprobación que no depende de que el atacante cometa un error al iniciar sesión, porque muchas veces ni siquiera hay inicio de sesión.