hechos 524 · señales 29 · artículos 20 · base de datos 3168 KB · bots —guest@ftrlgeres tú~/whoamiEscribes de forma anónima. Para firmar siempre igual, elige un secreto al comentar: se convertirá en tu tripcode.sin registro, nunca

Biometría del comportamiento

traducido por IA, revisado por la redacción

redacción de future.log · publicado

La biometría del comportamiento (en inglés, behavioral biometrics) es el reconocimiento de una persona por cómo hace las cosas: con qué ritmo pulsa las teclas, cómo mueve el ratón, cómo desliza la pantalla del móvil. A diferencia de una huella dactilar, esta «huella» se puede tomar sin que se note y de forma continua, mientras la persona simplemente usa un sitio web.

La idea tiene más de cuarenta años, pero se generalizó en la década de 2010: los bancos la usan para comprobar que quien opera en la cuenta es su titular, y los sitios web, que delante tienen a una persona y no a un bot. Con la llegada de los agentes de IA, que mueven el cursor y escriben por su cuenta, el comportamiento se ha convertido en uno de los pocos rasgos que todavía permiten distinguirlos de las personas.1

Historia

  • Década de 1940 Durante la Segunda Guerra Mundial, los radioescuchas británicos no podían leer el morse cifrado, pero reconocían a los radiotelegrafistas alemanes por el ritmo de transmisión, al que llamaban la «mano» (en inglés, fist) del operador.2 ⧗ ¶ chjg8jet4
  • 26.08.1983 John Garcia presenta la solicitud de patente de un dispositivo que compara las pausas entre pulsaciones de teclas con un patrón guardado del titular.3 ¶ cg4cedewp
  • 15.12.2000 Net Nanny lanza BioPassword, un inicio de sesión para Windows NT que comprueba no solo la contraseña, sino también cómo la teclea la persona.4 ¶ cvgt52jm7
  • 07.2007 Ahmed Awad E. Ahmed e Issa Traore proponen reconocer al usuario por los movimientos del ratón.5 ¶ c9nksar4j
  • 29.03.2017 Mastercard compra NuData Security, una «empresa de biometría pasiva y análisis del comportamiento».6 ¶ cynic22mj
  • 29.10.2018 Google lanza reCAPTCHA v3: en lugar de imágenes, una puntuación invisible de 0 a 1 según cómo se comporta la persona en el sitio.7 ¶ ckqc4f264
  • 02.05.2024 El fondo Permira compra una participación mayoritaria en BioCatch con una valoración de la empresa de $1300 millones; su biometría del comportamiento la usan más de 190 bancos.8 ¶ cny4wi8yy
  • 28.08.2025 Cloudflare introduce los «agentes firmados»: un agente de IA puede demostrar quién es con una firma criptográfica, no con su comportamiento.9 ¶ ccc94wi7u

Cómo funciona

El sistema memoriza cómo suele escribir y mover el cursor una persona (cuánto tiempo mantiene pulsada una tecla, cuánto dura la pausa entre letras, qué curva y qué velocidad sigue el ratón) y compara cada acción nueva con ese patrón. Tiene dos usos.

Comprobar que eres tú. El banco vigila el comportamiento sin que se note durante toda la sesión, no solo al iniciarla: si en la cuenta de repente se escribe de otra manera, puede ser un estafador. Así funcionan BioCatch, BehavioSec (desde 2022, de LexisNexis Risk Solutions) y NuData (Mastercard).8106 ¶ c5yxkmxf7

Comprobar que eres una persona. El sitio evalúa si el comportamiento parece humano y te deja pasar sin preguntas o te pide resolver un CAPTCHA. reCAPTCHA v3 devuelve un número de 0 a 1; por defecto, Google aconseja considerar bot todo lo que quede por debajo de 0,5.11 ¶ c27euapsb

Datos

Con qué precisión reconoce a una persona

Quién y cuándoQué se investigóQué se encontró
Killourhy y Maxion (CMU), 20091251 personas teclean 400 veces la misma contraseña; se compararon 14 algoritmosEl mejor se equivoca aproximadamente en uno de cada diez casos. ¶ c6puj3dgt
Zheng, Paloski, Wang, 10.201113Reconocer al usuario por el ratónTras 20 clics, un error del 1,3%. Pero en un foro real, 20 clics llevaban hasta 38 minutos. ¶ cnkfbbice
Frank et al., 201314Reconocer por cómo se desliza la pantallaDentro de una misma sesión, casi sin errores; una semana después, hasta un 4%. Los autores: sirve como complemento, no en lugar de la contraseña. ¶ cynp6pi8c

Qué delata la forma de escribir

Quién y cuándoQué se investigóQué se encontró
Giancardo et al. (MIT), 16.04.201515Si se nota por el tecleo que una persona no ha dormido lo suficienteSí: precisión de detección (AUC) de 0,93. ¶ c8fs7rtng
Arroyo-Gallego et al. (MIT), 03.201816Si se nota el párkinson en fase temprana por el tecleo en casaSí, con un AUC de 0,76, a partir del tecleo habitual, sin pruebas especiales. ¶ cuctwz92x
Buriro et al., 09.201617Edad y sexo a partir de cómo se teclea un PIN en el móvilLa edad, en el 88% de los casos; el sexo, en el 83%. ¶ ci8geueu9

Si distingue a un bot y a un agente de IA

Quién y cuándoQué se investigóQué se encontró
Chu et al., 10.201218Bots en un blog: 1078 usuarios reales y botsSe detectó el 97,9% de los bots, con un 0,2% de falsas alarmas. ¶ cn4jvrsrt
Liu et al., 23.10.202419Si una red neuronal puede mover el ratón «como un humano»Sus trayectorias reducen la precisión de los detectores de bots entre un 5% y un 10%. ¶ ce6sh8cqu
Wang, Shafiq, Vekaria (UC Davis), 02.05.202620Siete agentes de IA que trabajan en el navegadorPor el comportamiento se reconoció a los siete; Cloudflare reconoció a uno. ¶ cw4g3654p
Choudhary et al., 29.07.202621Por qué el comportamiento delata a los agentesLos detectores habituales tomaron por personas a entre el 35% y el 39% de los agentes. Dos rasgos (la frecuencia de los eventos del ratón y los clics sin movimiento del cursor) bastaron para detectarlos a todos: no delata al agente su «inteligencia», sino el programa que lo controla. ¶ cffgcfrzh
Akamai, 19.08.20261Cómo se comportan los navegadores con IA Comet y Atlas; datos de una empresa que vende protección contra botsEn el 63% de las solicitudes, el ratón no se movió en absoluto. ¶ cx7ir25px
[CONCLUSIÓN DE LA REDACCIÓN]

El comportamiento no reconoce a una persona con la fiabilidad suficiente para sustituir a la contraseña (errores de entre el 1% y el 10%: CMU, Zheng), pero sí lo bastante para delatar de ella más de la cuenta: falta de sueño, párkinson en fase temprana, edad y sexo (MIT, Buriro). A los agentes de IA el comportamiento todavía los caza, pero no porque sea imposible imitar a una persona, sino porque los programas que hacen de «manos» de los agentes mueven el ratón de forma poco natural (Choudhary, Akamai). Las redes neuronales ya aprenden a mover el ratón como un humano (Liu), y ese margen se irá estrechando. Salvedad: casi todos los trabajos sobre agentes son preprints de 2026 o estudios de vendedores de protección. ¶ cyz55igre

Qué dice la ley

DóndeDocumentoQué se decidió
UERGPD, art. 4(14), 201622Los rasgos de comportamiento son biometría, pero solo si permiten identificar a una persona de forma inequívoca. La prevención del fraude se reconoce como interés legítimo de la empresa. ¶ chvcbrp4w
UELey de IA, arts. 3 y 5, desde el 02.02.202523Es biometría cualquier rasgo de comportamiento; las «características de las pulsaciones de teclas» se mencionan expresamente. Se prohíbe reconocer emociones en el trabajo y en la enseñanza.24 ¶ cze5bxdtk
UEDirectrices de la Comisión Europea, 29.07.202524Las emociones a partir de la forma de escribir en el trabajo, prohibidas; las mismas emociones con fines publicitarios, no. ¶ chqmyzrt7
CaliforniaLey de Privacidad del Consumidor (CCPA)25Los «patrones o ritmos de pulsación de teclas» se incluyen expresamente en la biometría. ¶ cvynyeuxc
IllinoisLey de Privacidad de la Información Biométrica (BIPA)26Lista cerrada: iris, huella, voz, rostro, palma de la mano. El comportamiento no figura en ella. ¶ cidsg6wui
Reino UnidoEl regulador ICO, 23.02.202427«Cómo escribe» una persona es biometría; con protección especial cuando sirve para reconocer a una persona concreta. ¶ c7wapvpcv

Incidentes

El navegador integrado de TikTok, agosto de 2022 ¶ cpb7e8asm

El investigador Felix Krause mostró que, cuando un usuario abre un enlace dentro de la aplicación de TikTok para iOS, la aplicación inyecta en el sitio ajeno su propio código, que se suscribe a cada pulsación de tecla y a cada toque; según él, es «el equivalente a instalar un keylogger en sitios web de terceros». Krause subrayó que no sabe si esos datos se enviaban a algún sitio. TikTok respondió que ese código se usa «solo para depuración, resolución de problemas y supervisión del rendimiento».28

Vigilancia de empleados a través del ratón, diciembre de 2024 ¶ cmuasm2ny

El regulador francés CNIL multó con 40.000 € a una empresa del sector inmobiliario. Un programa instalado en los ordenadores de los empleados que teletrabajaban contaba como inactividad cada pocos minutos sin pulsaciones de teclas ni movimientos del ratón; esa inactividad podía descontarse del sueldo, y además se hacían capturas periódicas de las pantallas. El regulador consideró excesiva esa vigilancia.29

Un agente de IA pulsa «No soy un robot», julio de 2025 ¶ cn3cn9k3z

Un usuario de Reddit publicó capturas de pantalla: el agente de ChatGPT marca por su cuenta la casilla de la verificación de Cloudflare y explica que «este paso es necesario para demostrar que no soy un bot y continuar con la acción». No está claro si eso fue una forma de sortear la verificación por comportamiento: un mes después, Cloudflare incluyó al agente de ChatGPT entre los «agentes firmados», a los que reconoce por su firma criptográfica.309

Críticas

Los reguladores europeos ya advirtieron en 2012 de que la biometría del comportamiento se estaba extendiendo más allá de la verificación de identidad, hacia el «análisis del comportamiento, la vigilancia y la prevención del fraude».31 ¶ cezdf9y3i

Privacy International escribió en 2018 que los sitios web recopilan decenas de millones de perfiles de comportamiento y que el usuario no puede saber cuándo ocurre; a los defensores de los derechos humanos les preocupa que esos datos delaten enfermedades.32 ¶ cjgqe7gdw

El W3C señaló en 2021 la otra cara de las verificaciones invisibles como reCAPTCHA v3: son cómodas para las personas con discapacidad, porque no obligan a resolver tareas, pero le dan a Google todavía más datos sobre el usuario.33 ¶ cnw9g853n

La investigadora Jennifer Mankoff y sus coautores escribieron en 2022 que las verificaciones biométricas inaccesibles, «en esencia, definen a una persona con discapacidad como no humana».34 ¶ c2xzx98fs

Evolución

El sector pasa de adivinar por el comportamiento a la firma. Desde 2025, un bot o agente honesto puede firmar criptográficamente sus solicitudes con el estándar Web Bot Auth, que impulsan Cloudflare y Google, y el sitio ya no necesita adivinar por el ratón.3536 Visa justificó en octubre de 2025 su protocolo para agentes de IA con el argumento de que los sistemas de detección de bots bloquean por error compras legítimas hechas por agentes.37 Según Cloudflare, en 2026 más de la mitad del tráfico de internet dejó por primera vez de ser humano.38 ¶ cbdv4wexk

[CONCLUSIÓN DE LA REDACCIÓN]

La biometría del comportamiento cambia de papel. Los agentes honestos presentan una firma, y para ellos el comportamiento ya no hace falta; sigue siendo la verificación para quienes no quieren firmar, y para las personas a las que se sigue vigilando sin que lo noten. Eso pone en primer plano una cuestión que la ley resuelve de formas distintas: en la UE no se pueden reconocer emociones por la forma de escribir en el trabajo, pero sí con fines publicitarios; en California el ritmo de tecleo es biometría, y en Illinois no. Cuanto mejor imite la IA los movimientos humanos, menos útil será esta vigilancia como protección, y más preguntas planteará como vigilancia. ¶ c9m5isezn

Véase también

Prueba de humanidadVigilancia de empleadosLa muerte del CAPTCHAAgentes de IA autónomosTeoría del internet muertoPrivacy Pass y PACT

Referencias

  1. M. Sparkman, D. McAndrew. Identifying Agentic Automation with Behavioral Telemetry — Akamai, 19.08.2026. akamai.com ↩ ↩2

  2. J. Rehmeyer. Digital Fingerprints — Science News, 09.01.2007. sciencenews.org ⧗ ↩

  3. J. D. Garcia. Personal identification apparatus, US4621334 — solicitud 26.08.1983, patente 04.11.1986. patents.google.com ↩

  4. S. Bekker. Net Nanny Ships BioPassword for Windows NT — RCP Magazine, 19.12.2000. rcpmag.com ↩

  5. A. A. E. Ahmed, I. Traore. A New Biometric Technology Based on Mouse Dynamics — IEEE Transactions on Dependable and Secure Computing, 07.2007. doi.org ↩

  6. Mastercard Enhances Security of the Internet of Things with the Acquisition of NuData Security Inc. — Mastercard, 29.03.2017. investor.mastercard.com ↩ ↩2

  7. Introducing reCAPTCHA v3: the new way to stop bots — Google Security Blog, 29.10.2018. security.googleblog.com ↩

  8. Permira to Acquire Majority Position in BioCatch at $1.3bn Valuation — Permira, 02.05.2024. permira.com ↩ ↩2

  9. The age of agents: cryptographically recognizing agent traffic — Cloudflare, 28.08.2025. blog.cloudflare.com ↩ ↩2

  10. LexisNexis Risk Solutions Acquires Behavioural Biometric Innovator BehavioSec — PR Newswire, 03.05.2022. prnewswire.co.uk ↩

  11. reCAPTCHA v3 — Google for Developers. developers.google.com ↩

  12. K. S. Killourhy, R. A. Maxion. Comparing Anomaly-Detection Algorithms for Keystroke Dynamics — DSN-2009, IEEE, 2009. cs.cmu.edu ↩

  13. N. Zheng, A. Paloski, H. Wang. An Efficient User Verification System via Mouse Movements — ACM CCS, 10.2011. pdf ↩

  14. M. Frank, R. Biedert, E. Ma, I. Martinovic, D. Song. Touchalytics: On the Applicability of Touchscreen Input as a Behavioral Biometric for Continuous Authentication — arXiv, 26.07.2012; IEEE TIFS, 01.2013. arxiv.org ↩

  15. L. Giancardo et al. Psychomotor Impairment Detection via Finger Interactions with a Computer Keyboard During Natural Typing — Scientific Reports, 16.04.2015. pmc.ncbi.nlm.nih.gov ↩

  16. T. Arroyo-Gallego et al. Detecting Motor Impairment in Early Parkinson’s Disease via Natural Typing Interaction With Keyboards — Journal of Medical Internet Research, 03.2018. dspace.mit.edu ↩

  17. A. Buriro, Z. Akhtar, B. Crispo, F. Del Frari. Age, Gender and Operating-Hand Estimation on Smart Mobile Devices — BIOSIG, 09.2016. repository.essex.ac.uk ↩

  18. Z. Chu, S. Gianvecchio, A. Koehl, H. Wang, S. Jajodia. Blog or block: Detecting blog bots through behavioral biometrics — Computer Networks, 17.10.2012. pdf ↩

  19. J. Liu et al. DMTG: A Human-Like Mouse Trajectory Generation Bot Based on Entropy-Controlled Diffusion Networks — arXiv, 23.10.2024. arxiv.org ↩

  20. E. Wang, Z. Shafiq, Y. Vekaria. FP-Agent: Fingerprinting AI Browsing Agents — arXiv, 02.05.2026. arxiv.org ↩

  21. Choudhary et al. What Does It Take to Detect an AI Agent? Minimal Feature Sets for Behavioral Detection under Browser Automation — arXiv, 29.07.2026. arxiv.org ↩

  22. Reglamento (UE) 2016/679 (RGPD), art. 4(14), considerando 47 — Official Journal of the EU, 27.04.2016. publications.europa.eu ↩

  23. Reglamento (UE) 2024/1689 (Ley de IA), art. 3(34), art. 5(1)(f), considerando 15 — Official Journal of the EU, 12.07.2024. publications.europa.eu ↩

  24. Guidelines on prohibited artificial intelligence practices, C(2025) 5052 final — European Commission, 29.07.2025. ec.europa.eu ↩ ↩2

  25. California Consumer Privacy Act, Cal. Civ. Code §1798.140 — California Privacy Protection Agency, versión a 01.01.2025. cppa.ca.gov ↩

  26. Biometric Information Privacy Act, 740 ILCS 14/10 — Illinois General Assembly. akingump.com ↩

  27. Biometric data guidance: Biometric recognition — ICO, 23.02.2024. ico.org.uk ↩

  28. F. Krause. iOS Privacy: Announcing InAppBrowser.com - see what JavaScript commands get injected through an in-app browser — krausefx.com, 18.08.2022. krausefx.com ↩

  29. Surveillance excessive des salariés : sanction de 40 000 euros à l’encontre d’une entreprise du secteur immobilier — CNIL, 04.02.2025. cnil.fr ↩

  30. B. Edwards. OpenAI’s ChatGPT Agent casually clicks through “I am not a robot” verification test — Ars Technica, 28.07.2025. arstechnica.com ↩

  31. Opinion 3/2012 on developments in biometric technologies (WP193) — Article 29 Data Protection Working Party, 27.04.2012. ec.europa.eu ↩

  32. Behavioural biometrics flag fraud but invade privacy — Privacy International, 13.08.2018. privacyinternational.org ↩

  33. Inaccessibility of CAPTCHA — W3C Group Note, 16.12.2021. w3.org ↩

  34. J. Mankoff et al. Areas of Strategic Visibility: Disability Bias in Biometrics — arXiv, 14.07.2022. arxiv.org ↩

  35. T. Meunier. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. blog.cloudflare.com ↩

  36. Web Bot Auth — Google for Developers. developers.google.com ↩

  37. Visa Introduces Trusted Agent Protocol: An Ecosystem-Led Framework for AI Commerce — Visa, 14.10.2025. usa.visa.com ↩

  38. M. Conroy. The Internet has a second audience — Cloudflare, 30.09.2026. blog.cloudflare.com ↩

Tu firma

Lo que debes recordar es el secreto: es tu contraseña. El tripcode se calcula a partir de él y aparece junto a tu nombre: con el mismo secreto siempre tendrás el mismo tripcode, y nadie puede falsificarlo sin el secreto. El secreto nunca se publica ni se guarda en el servidor.