Economía del atacante

Ningún control detiene a un atacante con recursos infinitos. Lo que sí puedes hacer es que atacarte cueste más de lo que rinde. Cada control de esta serie se evalúa con esa pregunta: ¿cuánto encarece un intento exitoso?

Tres ataques, tres modelos de negocio

• Tráfico inflado (AIT): el atacante no quiere entrar a tu cuenta; quiere que envíes SMS a números premium donde cobra una comisión.
• Toma de cuenta (ATO): credenciales filtradas más un OTP obtenido por ingeniería social o SIM swap.
• Fuerza bruta: adivinar códigos aprovechando límites ausentes o reiniciables.

Subir el costo

Contra AIT, el costo sube con límites por país y prefijo, y con verificar que la solicitud viene de una sesión humana. Contra ATO, con señales de dispositivo y escalamiento de factor. Contra fuerza bruta, con contadores que no se resetean. Ninguno es suficiente solo; juntos cambian la ecuación.

El caso de AIT es el más fácil de visualizar con números reales: si un atacante logra que tu sistema envíe 10.000 SMS a un rango de números premium en Europa del Este donde cobra una comisión por mensaje recibido, y tu costo por SMS internacional ronda los 60 CLP, la factura de esa sola noche puede superar los 600.000 CLP sin que ni un solo usuario real haya verificado nada.

Por eso el primer control de verdad no es técnico: es revisar a qué países y prefijos envías tráfico. Si tu negocio solo opera en Chile y ocasionalmente en el resto de Sudamérica, no hay ninguna razón legítima para permitir que un formulario público dispare OTPs hacia prefijos de Europa del Este o del Sudeste Asiático.

Medir el retorno de cada control

Cada control de anti-fraude tiene un costo propio: fricción para el usuario legítimo, tiempo de ingeniería y, a veces, licencias de terceros. Antes de implementarlo, estima cuánto fraude evita versus cuánto cuesta mantenerlo. Un captcha agresivo que reduce 2% de fraude pero hace abandonar el 15% del registro legítimo probablemente no vale la pena.