Historia del proyecto
Identia nació de una pregunta concreta: si el modo de escribir y mover el cursor ya distingue a una persona, por qué seguimos pidiendo un código al móvil. Estos son los tramos que marcaron cómo llegamos hasta aquí.
Empezamos grabando sesiones de tecleo en un entorno controlado, con teclados distintos y usuarios que escribían bajo presión. La señal era ruidosa, pero el intervalo entre pulsaciones se mantenía estable en cada persona. Ese fue el punto de partida: dejar de tratar la escritura como texto y empezar a leerla como ritmo.
Durante meses descartamos la trayectoria del ratón por considerarla demasiado variable. Al cruzar los datos con momentos de volatilidad en el mercado, vimos lo contrario: la curva del cursor cambia de forma cuando alguien duda antes de confirmar una orden. Aprendimos a modelar esa duda en lugar de eliminarla.
Retirar el segundo factor obligó a construir una capa de decisión explicable. Cada sesión recibe una puntuación, y cuando la señal es ambigua el sistema escala a verificación tradicional en lugar de arriesgar. Documentamos falsos positivos en clientes con movilidad reducida y ajustamos el modelo para no castigar la lentitud deliberada.
Las primeras implantaciones se hicieron con grupos reducidos de clientes que operaban a diario. El objetivo no era eliminar la contraseña de inmediato, sino convivir con ella y medir cuántas veces la firma conductual coincidía con la verificación clásica. Los resultados de esa convivencia definieron qué operaciones podían prescindir del segundo factor y cuáles no.
Dispositivos compartidos, teclados externos y cambios bruscos de hábito siguen siendo los puntos débiles del enfoque. Trabajamos con planes de reversión claros y con la idea de que ninguna capa de seguridad se retira sin auditoría previa. La historia del proyecto es, en buena parte, la historia de esas limitaciones.
En Identia trabajamos con equipos de banca premium que evalúan reemplazar el segundo factor por señales de comportamiento. Estas son las dudas que aparecen una y otra vez en las primeras conversaciones técnicas.
Se registran la dinámica de pulsaciones, la trayectoria y aceleración del cursor, las microcorrecciones al mover el ratón y el tiempo de reacción ante cambios en la pantalla. No se trata de una sola señal, sino de un conjunto que se combina sesión a sesión para construir un perfil estable. La presión sostenida sobre cada tecla y la pausa entre pulsaciones suelen ser las métricas más fiables en sesiones largas.
Un dispositivo desconocido reduce la confianza inicial, pero no la anula. El sistema compara el patrón de comportamiento con el perfil histórico y, si la señal es ambigua, escala a una verificación adicional. Es un escenario frecuente en clientes que viajan o cambian de equipo, y conviene tenerlo previsto antes de retirar cualquier capa de seguridad.
La volatilidad altera la cadencia: el cursor se detiene más, las confirmaciones tardan, aparecen correcciones. El modelo aprende a distinguir esa variabilidad legítima de una anomalía real. Por eso la reacción ante una caída súbita se vuelve más discriminante que el patrón en reposo, siempre que se descuente la latencia de red.
Son los casos donde aparecen más falsos positivos si el umbral se calibra mal. La firma conductual se adapta al dispositivo y al usuario, pero exige revisar periódicamente los umbrales de confianza. En perfiles con temblor o uso de ayudas técnicas, la decisión razonable es mantener una verificación de respaldo en lugar de forzar la sustitución completa.
Sí, y conviene planificarlo desde el inicio. Cualquier despliegue serio incluye auditoría continua de decisiones, puntuación de riesgo por sesión y un mecanismo de reversión claro hacia el segundo factor tradicional. Retirar una capa de seguridad sin esa salida no es una decisión técnica, es una apuesta.
Publicamos análisis periódicos sobre umbrales, riesgo y reversión en el blog, y atendemos consultas concretas desde soporte. Si tu equipo necesita revisar el encaje normativo antes de avanzar, ese es el punto de partida habitual.
Cronología interna del proyecto
Cinco etapas separan la primera hipótesis de laboratorio del despliegue en cuentas premium. Cada una dejó una decisión técnica que sigue vigente hoy.
Marzo 2021
Un piloto con doce clientes de banca privada permitió capturar intervalos entre teclas y presión sostenida durante sesiones reales. La conclusión inicial: la firma se mantiene estable incluso cuando el usuario cambia de dispositivo dentro de la misma red.
Noviembre 2021
Se añadió el análisis de curva, aceleración y microcorrecciones del ratón. El equipo descartó métricas de latencia de red por su variabilidad y adoptó un modelo que separa la señal conductual del ruido de infraestructura.
Junio 2022
Durante un episodio de caída súbita se observó que los tiempos de confirmación de orden se vuelven más discriminantes que en sesiones tranquilas. Ese hallazgo reorientó el diseño del umbral de confianza por sesión.
Febrero 2023
Se formalizaron los criterios para escalar la verificación cuando la señal es ambigua, con registro explicable de cada decisión. También se documentaron falsos positivos en clientes con movilidad reducida o dispositivos nuevos.
Octubre 2023
Con garantías de reversión y auditoría en marcha, se empezó a sustituir la doble autenticación en cuentas de bajo riesgo. El proceso sigue siendo reversible y sujeto a revisión regulatoria continua.