Viaje Imposible

Viaje Imposible es una técnica de detección de anomalías utilizada en ciberseguridad que identifica accesos sospechosos a sistemas o cuentas cuando un usuario aparece autenticándose desde dos ubicaciones geográficas distintas en un intervalo de tiempo físicamente imposible para un ser humano.

El principio es sencillo: si un usuario inicia sesión desde Madrid a las 10:00h y desde Tokio a las 10:45h, el desplazamiento físico entre ambas ubicaciones es imposible en ese tiempo. Esto sugiere que las credenciales del usuario han sido comprometidas y un tercero está accediendo a la cuenta desde otra localización, o que se está utilizando una VPN, proxy o nodo de salida de la red Tor para enmascarar el origen real de la conexión.

Esta técnica es especialmente relevante en entornos corporativos modernos donde el acceso a servicios en la nube como Microsoft 365, Google Workspace o plataformas SaaS es constante. Los atacantes que han obtenido credenciales válidas, frecuentemente a través de infostealers o campañas de phishing, intentan explotar estas cuentas sin necesidad de desplegar malware adicional, lo que hace que las detecciones basadas en comportamiento como el viaje imposible sean críticas.

Los principales escenarios que activan una alerta de viaje imposible son:

• Credenciales comprometidas: un atacante accede con usuario y contraseña válidos desde una ubicación diferente a la habitual de la víctima
• Uso de VPNs, proxies o Tor: el usuario legítimo o el atacante enmascara su IP real, generando saltos geográficos artificiales
• Ataques de credential stuffing: prueba masiva de credenciales robadas contra servicios expuestos, generando múltiples intentos desde IPs de distintos países
• Sesiones activas simultáneas: un infostealer roba cookies de sesión activas (T1539) permitiendo al atacante suplantar la sesión sin necesidad de contraseña, desde cualquier ubicación

Es importante tener en cuenta que no toda alerta de viaje imposible implica un compromiso real. Los falsos positivos son frecuentes y deben analizarse en contexto:

• Usuarios que utilizan VPNs corporativas de forma legítima
• Viajeros frecuentes con acceso desde diferentes países
• Uso de CDNs o servicios de proxy inverso que alteran la IP de origen
• Diferencias en la geolocalización de IPs asignada por distintas bases de datos

La velocidad de desplazamiento implícita entre dos accesos es la métrica clave. Si la distancia entre las dos IPs dividida entre el tiempo transcurrido supera velocidades físicamente alcanzables (generalmente se establece un umbral en torno a los 900 km/h, la velocidad de un avión comercial), la alerta se dispara.

Plataformas como Microsoft Entra ID y Microsoft Sentinel implementan esta detección de forma nativa. En Sentinel, la regla analítica correspondiente forma parte de las detecciones de Microsoft Entra ID Protection bajo el nombre Impossible travel activity. En Splunk y otras plataformas SIEM puede implementarse mediante correlación de eventos de autenticación enriquecidos con geolocalización de IP.