# Ironchip: full site content > All pages of https://www.ironchip.com/ in Markdown, in English and in Spanish. --- # The identity no one can steal. > Passwordless authentication, privileged access and fraud detection that use the place as proof of identity. For banking, the public sector and industry. URL: https://www.ironchip.com/en/ Passwordless authentication and fraud detection that verify person, device and place. A valid credential used outside its safe zone is blocked. Request a pilot See how it works They protect their access with Ironchip - Banco Santander - Basque Government - Ibercaja - Abanca - Arquia Banca - ULMA ## One access, four checks. The same engine evaluates an employee, a vendor, a machine or a banking customer. The scenario changes, the logic does not. ## The attack almost never happens where the user is. A legitimate identity repeats in a handful of trusted places. Fraud comes from outside, and it also repeats. That physical context is a signal that password, OTP and passkey do not have. **92%** of attacks occur remotely, from a location where the user has never been. **99%** of fraudsters commit fraud from the same location at least twice. ## How a place becomes proof of identity. It does not depend on GPS: it is an anonymous, unique signature of the place, with no coordinates or personal data, bound to the device key. GPS counts as one more signal, and spoofing is detected. ### 1. Environmental signals The device measures 2G to 5G cell towers, visible WiFi networks, latency, IP and the SIM actually in use. Nothing leaves the device yet. ### 2. Location signature Our technology turns those signals into an anonymous signature of the place. No coordinates, no personal data, impossible to reproduce from anywhere else. ### 3. Link with the device The signature is bound to the device's private key, which never leaves it. The result is a factor that cannot be copied or spoofed. ### 4. Safe zone and decision The zone is declared by policy or learned from behavior. If the signature matches, access is granted. If not, it is blocked, an alert is sent and it is logged as evidence. ### Device Private key that never leaves the device. ### Person Device's own biometrics, no template on server. ### Place Location signature of the authorized safe zone. ### One single gesture Access resistant to phishing, malware and SIM swapping. No password to remember or code to type. ## Location feeds fraud prevention. Fraud prevention decides each access. Three layers on the same core. The same intelligence that detects a money mule decides whether an employee, a vendor, a machine or an AI agent can enter. risk score decides access location signature feeds the risk ### A location signature that cannot be copied. The radio environment becomes an anonymous signature linked to the device key. Safe zones are declared by policy or learned from behavior. - **safe zones** declared (offices, plants, remote work) or learned from everyday use. - **Spoofing detection:** VPN, TOR, residential proxy, virtual SIM and impossible travel. - **No coordinates or personal data:** the signature cannot be reversed to an address. ### Every access and every operation, scored in real time. Location, device, network and behavior combine with each client's own rules. The result is a live risk score, not a yes or no in the first second. - **Adaptive rules engine** with policies by scenario and by entity. - **Device integrity:** root, malware, RAT, overlays and injection. - **Behavior** and patterns consistent with known campaigns. - **Case, forensic analysis** and evidence export. ### The score decides who enters, how, and with what privilege. Low risk: direct access. Medium: one more factor or manager approval. High: block and alert. Same for a person, device, service or AI agent. - **Approvals and least privilege** by profile, resource and time. - **Identities of people, devices and machines,** also between machines. - **Bots and AI agents** detected by call rate, origin and pattern. - **Web and desktop applications,** plus RDP, SSH, VPN and APIs. **People**: Employees, customers, vendors and third parties. **Devices**: Mobile, desktop, USB, NFC card and passkeys. **Machines and services**: Machine identities, APIs and traffic between services. **Bots and AI agents**: Legitimate automations pass. Those outside pattern, do not. **Infrastructure**: RDP, SSH, VPN and RADIUS, not just web applications. **Applications**: Open standards: OIDC, SAML, and SCIM. ## Here's how it looks. Console for the admin, one gesture for the user. Ironchip console managing a privileged access: request, approval, held connection, recorded session. And on mobile, all the user sees. Ironchip console _Ironchip app screen asking to confirm an access._ **Console:** privileged access, approvals, live sessions and recordings. **App:** a notification, mobile biometrics and location verified in the background. ## Identity and access platform. One gesture to enter and no password to steal. If the right credential arrives from the wrong place, it doesn't open. All on top of the IdP, directory and applications you already use. safe zones ### Location as access policy Define the zone on the map, choose the verification level and apply it to the applications and groups you decide. - Multiple zones per policy: head offices, plants or declared remote work homes. - Strict mode: requires GPS and electromagnetic signals for maximum assurance. - Applicable to critical resources and remote access via RDP or SSH. - From IP whitelists to contextual analysis of multiple locations. Single console ### Identities, devices and policies in one place What credential each person has and on which device. Rules by application, group and zone, with log of every change and every access attempt. - **Directory and inventory**: Users, groups, mobile, desktop, USB, RFID and passkeys SCIM - **Policies and audit**: By application, group and safe zone, with history Zero Trust - **Real-time dashboard**: Access, devices and events, exportable to SIEM Syslog and API - Active Directory, Entra ID, Google Cloud Identity and LDAP as identity source. - Authentication flows with corporate branding, also in OS login. Zero Trust ### Conditional access By device, location, identity, role and risk. Complex rules by profile without deployment. Passkeys and FIDO2 ### Phishing resistant Synced passkeys or physical keys. With location, a stolen passkey is useless outside the zone. Log in ### MFA at Windows logon Second factor and safe zone also when logging in to the device, with RADIUS for VPN and network. Machines and third parties ### Non-human identities Services, traffic between machines and vendors with single-use link, with the same context. ### One method for each workstation. Also without mobile. Including scenarios where no phone is available or software cannot be installed. ### Mobile app Corporate mobile or BYOD. Approval with one gesture. Push + biometrics + location ### Desktop app Workstations without mobile available. Device key + OTP + location ### Passkeys and FIDO2 Standard web access and security keys. WebAuthn + device biometrics ### Facial recognition Mobile and desktop access without touching anything. Face + device + location ### USB token Environments without mobile or biometrics. Split key device + token ### NFC / RFID card Plant, shifts and shared workstations. Physical card + reader ### Magic link and SMS Vendors and external third parties. Single-use link or code ### Agentless Devices where software cannot be installed. Network context + existing credential ## Your brand on every screen. The app, IdP login and notifications carry your logo and colors. Each company configures its look and feel from the console, also in OS login. Ironchip disappears. Your brand stays. _Identity provider login page with client branding._ _Mobile app with client branding._ ## Privileged access that asks at connection time. A transparent broker for SSH, RDP, VNC, Kubernetes, HTTPS, MySQL and PostgreSQL. No client, no VPN and no one sees a password. Device, safe zone, ITDR and approval checked every time someone connects, not just when they were granted access. - **Approval gate on the connection**: The broker holds the session while Ironchip evaluates device, safe zone and ITDR and asks approvers for yes. Policies with one or multiple approvers and windows that auto-expire. Not one ticket slips by. - **Recorded and live sessions**: SSH terminal and RDP and VNC desktops from the console or with the native client. Full recording, live viewing and single-use tickets for those who prefer their own terminal. - **Machine command control**: The agent decides what each person can execute with sudo and applies AppLocker on Windows. A command outside policy is held until approvers say yes, and what ran and who launched it is logged. - **Secrets outside the database**: System credentials live in a secrets store (OpenBao or any Vault-compatible API). The broker reads them by reference and does not store a copy. - **Managed passwords and rotation**: Ironchip manages the system password and rotates it daily and after each session: local accounts LAPS-style, databases and domain accounts in Active Directory, LDAP or Entra ID. Checkout and break glass with log of who took it. - **Ephemeral credentials for applications and machines**: Short-lived credentials in AWS, Google Cloud, Azure and databases, and a Vault-compatible API for applications to read their secrets. Account inventory on each machine. ## Fraud also has a location. We see it. Money mule, SIM swapping, authorized push payment fraud and location spoofing in banking and fintech. Integrates via mobile or web SDK and HTTP API, frictionless for the end customer. **82%** of users sign up for an application from usual places. **74%** of purchases are made from usual places. **66%** of logins are made from usual places. **+90%** of high-value transactions occur from usual places. Real case · Money mule ### Five minutes from Spain to Benin. Four signals that separately look like noise and together describe a fraud attempt. 1. **Sudden use of VPN.**: First connection via NordVPN, a clear deviation from usual behavior. 2. **SIM operator change.**: The SIM goes from a Spanish operator to MTN Benin while maintaining the declared location in Spain. 3. **Impossible travel.**: A location jump logistically impossible in that interval without technological manipulation. 4. **ISP change.**: The provider changes to NordVPN at the same moment the Benin SIM appears. Operation held and case opened with all the evidence. Custom rules engine, session antimalware, antiphishing, SDK and API. [See the fraud detection platform](https://www.ironchip.com/en/fraud-platform) ITDR · Identity threat detection and response ### Access is not decided once: the entire session is monitored. Each access carries a live risk score. Changing context, a degrading device or a credential starting to behave like someone else's triggers the response. **Detect** - Location outside usual zones - New device, with root or unpatched - VPN, TOR or residential proxy - Impossible travel and simultaneous sessions - Resources that role doesn't usually touch **Decide** - Low risk: direct access - Medium risk: one more factor or strict mode - High risk: denied and session cut - Least privilege by profile, resource and time **Respond** - Immediate block and alert to administrator - Normalized event to SIEM via syslog or API - Forensics tab with device and context - Export of evidence for audit or legal use Integrations and directories ### Single source of truth for local and cloud identities. Each role change or removal propagates instantly. On-premise, cloud or hybrid deployment, with agentless access option. OIDC SAML LDAP RADIUS SCIM HTTPS SDK - **Active Directory on-premise**: ADConnect - **Entra ID / Azure AD**: SCIM - **Google Cloud Identity**: SCIM / OIDC - **Local users and third parties**: CSV import - **More than 5,000 applications, RDP and SSH**: OIDC, SAML, RADIUS, SDK [Technical documentation](https://docs.ironchip.com) ## What traditional MFA cannot verify. Each method resists some threats and yields to others. Only one knows from where the credential is used. | Threat or scenario | Password + OTP by SMS or app | Push MFA approve on phone | Passkey / FIDO2 WebAuthn | Ironchip person + device + place | |---|---|---|---|---| | Real-time phishing (adversary in the middle) | Vulnerable | Vulnerable | Resistant | Resistant | | SIM swapping | Vulnerable | Resistant | Resistant | Resistant | | Notification fatigue (push bombing) | Not applicable | Vulnerable | Resistant | Resistant | | Malware or RAT during session | Vulnerable | Vulnerable | Vulnerable | Resistant | | Valid credential used from another place | Vulnerable | Vulnerable | Partial | Resistant | | Workstations without phone or biometrics | Not covered | Not covered | Partial | Covered | | Evidence of physical place for audit | Not covered | Not covered | Not covered | Covered | ## Calculate your exposed surface. Four pieces of data you already know. An estimate of what an attacker can use today from anywhere and what changes with location as a factor. ## Certified for the most demanding environments. LINCE certification from the National Cryptological Center and inclusion at HIGH level in the CCN CPSTIC catalog, with published secure use procedure (CCN-STIC 1633). Certified for ENS High category, ISO 27001 and ISO 27701. Aligned with PSD2, DORA, and NIS2. - Qualified STIC product, HIGH level, CCN CPSTIC · HIGH level - LINCE certification from the National Cryptological Center LINCE · CCN - ENS High category certification ENS · High category - ISO 27001 certified ISO 27001 - ISO 27701 certified ISO 27701 **2017** Year founded. Spanish capital, with the Spanish Government as an investor. **HIGH** Level in the CPSTIC catalog of CCN-CERT. **4** Critical sectors deployed: banking, public sector, industry, and energy. **0** Stored credentials. No passwords to exfiltrate. Backed by - Google for Startups - ENISA - INCIBE, National Institute for Cybersecurity - Emprendedor XXI awards, CaixaBank ## Three deployments, three different restrictions. Banking with sophisticated fraud, public sector under ENS, and industry without phones on the floor. Same core, three answers. [Banking Abanca Location enters mobile banking fraud detection. Read the case](https://www.ironchip.com/en/customers/abanca) [Public sector Alcobendas City Council Second factor for an entire municipal workforce, with the level ENS requires. Read the case](https://www.ironchip.com/en/customers/alcobendas) [Industry GHI Smart Furnaces An industrial plant with no phones, protected with a USB token. Read the case](https://www.ironchip.com/en/customers/ghi) ## The platform right now. Aggregated and anonymized data from Ironchip's fraud detection engine in production. No specific operation, no identifiable customer. **2,293,000** operations evaluated today, each with its location, its device and its behavior. **2,293,000** in the last 24 hours **69.7 M** in the last 30 days **157,036** peak per hour, at 09:00 UTC Figures estimated from the daily volumes of Ironchip's fraud and authentication engines; the hourly breakdown is real. Updated on October 7, 2026, 11:08 UTC. ## Start with a pilot. A group of users and a critical application. Without replacing your current systems and with measurable results from the first week. We contact you within one business day. [Technical documentation](https://docs.ironchip.com) sales@ironchip.com --- # Passwordless identity platform. > Passwordless authentication and location-based MFA for the whole company: safe zones, ITDR, dynamic rules and a method for each workstation, also phone-free. URL: https://www.ironchip.com/en/identity-platform Product · Identity and access Every access checks who you are, what device you're using, and where you're logging in from. No passwords to leak, no codes to intercept, and it sits on top of the directory and IdP your team already manages. [Request a pilot](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20Authentication#hs-demo-form) See the methods _Real-time context evaluation._ ## Six pillars on the same technological core. ### location intelligence Analysis of the radio environment to determine whether the user is within a safe zone. Detects location spoofing and blocks out-of-context access. ### Passwordless identity and access Device authentication (computer, mobile phone, USB, smartcard) with standard protocols to integrate with existing systems. ### Behavior-based fraud detection Behavior monitoring, transaction analysis, and location correlation to identify anomalies in real time. ### Advanced security and compliance Mutual authentication, encryption, and audit aligned with PSD2, DORA, NIS2, and ENS. ### Identity centralization Users, devices, policies, and monitoring in a single console, integrating Active Directory, Entra ID, Google Cloud Identity, or LDAP. ### Ease of use Simple integration, even agentless. On-premise, cloud, or hybrid deployment, and minimal maintenance. ## What each method checks, workstation by workstation. The same policy works for employees with a phone, those who share a workstation on the plant floor, and vendors who log in once a month. | Method | For who | How it's verified | Location | |---|---|---|---| | Mobile app | Employees with a personal or company phone | Notification on the phone, fingerprint or face, and location signature, all in one tap | With location signature | | Desktop app | Offices where phones aren't allowed | Key stored on the computer itself plus a time-based code | With location signature | | Passkeys and FIDO2 | Web services and devices with a physical key | Cryptographic credential that doesn't travel to the server, with device biometrics | With location signature | | Facial recognition | Workstations where you don't want to touch anything | The device or phone camera, tied to that specific device | With location signature | | USB token | Clean rooms, plant floor, and environments without biometrics | The key is split between the token and the computer: both are needed | With location signature | | NFC / RFID card | Shifts and shared workstations | The same access badge, held up to a reader | With location signature | | Magic Link / SMS | Collaborators who log in occasionally | Link or code that expires after one use | Location optional | | Agentless | Servers and devices that don't allow installations | The source network and credential they already use, evaluated on the server | With location signature | Corporate geofencing ### A head office, data center, or home: each zone with its own requirements Zones are grouped into policies, and each policy is assigned to applications, groups, or resources. The administrator decides what can be done inside and what happens outside. - Entire buildings or a single floor, the data center, and homes where people work remotely. - Standard verification using radio signals, or strict verification using GPS and radio environment at the same time. - Valid for remote desktops, SSH servers, and web applications alike. - In Premium, plus, each person's usual places learn themselves. ITDR on every access ### The right credential from the wrong place is already an alert Authentication solves the first second. Ironchip ITDR scores every access attempt with its context (place, network, device, and behavior) and responds in real time, before a compromised identity becomes an incident. - **Risk per access**: Clean, suspicious or fraud, with the score that justifies it - **Location and network**: Coordinates, IP, VPN, TOR, proxy and the user's usual places - **Device integrity**: Root, jailbreak, emulator, active debugging and detected malware - **Response and SIEM**: Automatic block, administrator alert and correlatable event ## Beyond the browser: the device, the network, and your own applications. The same policy protects your computer login, VPN, and custom-built applications, not just the web portal. _Windows login example protected with Ironchip._ **Device login**: Second factor when starting your computer on Windows, Linux, and macOS. On Windows, also passwordless with Kerberos certificates. **Desktop authenticators**: The Ironchip authenticator for Windows, Linux, and macOS, and the RFID reader for shared workstations. **VPN and network access**: RADIUS and NPS, also passwordless, LDAP and ADFS: the same control for your VPN, corporate wifi, and network infrastructure. **Custom applications**: API keys and HTTP MFA to add Ironchip verification to any internal application. **Directory password as another factor**: Checked in real time against Active Directory or LDAP and combined with the rest, for seamless migration. **Account recovery**: If someone loses or changes their phone or FIDO2 key, they recover access without support having to manually reset anything. ## Dynamic rules: you decide what is a threat. The administrator defines what counts as a threat, how much it weighs and what happens when detected. No code changes and no waiting for a new version. **Combinable conditions**: Multiple conditions and groups on network, device, location and behavior. **Graded risk**: From Clear 0 to Fraud 100. The access takes the highest risk, never the sum. **Automatic action**: Deny immediately and, if appropriate, block the user until someone reviews it. **Analyst report**: Category, label and the phrase that whoever investigates the event will read. **Ruleset**: 8 of 8 active rules · Entire company Add detection | Rule | Detects | Risk | Action | |---|---|---|---| | Tor network | the connection comes from the Tor network | Fraud · 100 | Deny | | IPs from different countries | connections come from different countries | High · 50 | Additional factor | | VPN network | the connection goes through a VPN, a proxy or hosting | Low · 10 | Log | | Tampered device | the phone has root or jailbreak | Fraud · 100 | Deny | | Known device | the phone is already registered for the user | Clear · 0 | Allow | | Usual location | at least 10 previous operations from this place | Clear · 0 | Allow | | On call | the user is on a phone call | High · 50 | Additional factor | | Spoofed GPS | the location is being manipulated | Fraud · 100 | Deny | Example ruleset in the Ironchip console. Unlimited and customizable rules per company; adaptive engine and forensic capability in the Premium edition. Rule · Access from anonymous network outside zone - Network is VPN, TOR or proxy - and location outside the user's zones - and application with critical level Risk **85 · Suspicious** **Action**: Deny access and block the user. **Report**: "Critical access from anonymous network and unusual place". Rule · New device outside business hours - Device not registered for the user - and access between 22:00 and 06:00 - and location within the user's usual zone Risk **40 · Medium** **Action**: Request an additional factor and alert the administrator. **Report**: "First access from a new device outside normal business hours". Two rules created from the editor with the same pieces: conditions, risk, action and report. ### And when an alert fires **Real-time threat feed**: Confirmed and suspicious attempts, with VPN, Tor, hosting networks, and malware already identified. **Investigation and cases**: Access forensics and case management to track each incident until closed. **Behavior explained**: Why a user or device is considered suspicious, explained in natural language, and recommended rules based on your organization's activity. Use case · Third parties and vendors ### The vendor enters your critical infrastructure. You know who they are, from where and until when. Maintenance, integrators, remote support, consultancies: third parties are today the most common entry point. They use their own equipment, don't have corporate phones and their accounts remain active when the contract ends. NIS2 and DORA already require controlling that supply chain risk. - **Without installing anything on their equipment.** Single-use Magic Link, SMS or agentless access. - **Only from where they should be.** Their office or your plant as a safe zone; a stolen credential is useless from anywhere else. - **Access with expiration date.** Permissions per resource and time window; when done, it closes automatically. - **RDP, SSH and VPN too.** The policy covers servers and OT, not just web applications. - **Every action, by name.** No shared accounts: each technician with their identity and their event in the SIEM. - **Audit evidence.** Who entered, from where, to what and for how long, ready for NIS2, DORA, ENS and ISO 27001. Use case · NFC / RFID card ### Industrial plant or hospital plant: shifts, shared workstations and no phones. In factories and hospital plants there's no corporate phone, gloves prevent biometrics and three shifts share the same terminal. The password ends up on a sticky note and nobody knows who did what. - **The card they already carry**: The access control credential serves to enter the system: bringing it close to the reader is the complete gesture - **The plant is the safe zone**: A lost or cloned card is useless outside the facility - **Traceability per person**: Each access with its named user, even though the terminal is shared The same pattern solves retail, logistics and customer service. When there's no reader either, the USB token with split key between equipment and user covers the scenario. ## It connects to the directory you already have and the applications you already use. Additions, deletions, and role changes arrive from your directory without manual steps. It deploys on your servers, in the cloud, or both, and can protect devices where nothing is installed. | Identity source | Mechanism | What it solves | |---|---|---| | Active Directory on-premise | ADConnect | Secure and automatic integration of the local directory, with real-time synchronization | | Entra ID / Azure AD | SCIM | Immediate provisioning and deprovisioning from the cloud IdP | | Google Cloud Identity | SCIM / OIDC | Unified identity for organizations with Google stack | | Local users | CSV import | Spot onboarding, groups without directory and third parties | | Applications and services | OIDC, SAML, RADIUS, SDK | More than 5,000 enterprise applications, cloud services and productivity tools; also RDP and SSH | ## Designed for the person who manages it every day. **Multiple organizations at once**: Multiple Entra ID in the same organization and a partner console to manage customer companies with their licenses. **Role-based permissions**: Each administrator sees and changes only theirs, and the console can be limited to your network's IPs. **Logging and metrics**: Every authentication and every change, with usage metrics and event delivery to SIEM. **Reusable policies**: Device, safe zone, and password policies that combine by application and group. ## Basic, Enterprise, and Premium. Each plan includes the previous one. They are a starting point: any module can be enabled and configured for your organization. | Module | Basic | Enterprise | Premium | |---|---|---|---| | **Authentication** | | | | | Ironchip app passwordless, with location | Included | Included | Included | | SMS, email, and magic link | Included | Included | Included | | OTP codes | Included | Included | Included | | FIDO2 keys and passkeys | Included | Included | Included | | Account recovery | Included | Included | Included | | Facial recognition | Not included | Included | Included | | Directory password as a factor | Not included | Included | Included | | USB keys and RFID cards | Not included | Included | Included | | safe zones | Not included | Included | Included | | Access policies | Included | Included | Included | | **Integrations** | | | | | SSO with OIDC and SAML | Included | Included | Included | | Login on Windows, Linux, and macOS | Included | Included | Included | | Desktop and RFID authenticators | Not included | Included | Included | | RADIUS, LDAP, and ADFS | Not included | Included | Included | | API and HTTP MFA | Not included | Included | Included | | **Directory and operations** | | | | | Users, groups, and devices | Included | Included | Included | | Provisioning from Entra ID, SCIM, and AD Connect | Not included | Included | Included | | Multi-organization and partner console | Not included | Included | Included | | Roles, IP whitelist, and white-label | Included | Included | Included | | Logging and metrics | Included | Included | Included | | SIEM delivery | Not included | Included | Included | | **Detection and response (ITDR)** | | | | | Threat feed and identity fraud | Not included | Not included | Included | | Rules editor | Not included | Not included | Included | | Forensic investigation and cases | Not included | Not included | Included | | Behavior explained and recommended rules | Not included | Not included | Included | | **Other products** | | | | | Phishing Shield | Not included | Not included | Included | | Privileged access (PAM) | Not included | Not included | Included | Named user license: one person can have multiple aliases, devices, and applications without counting as an additional user. Premium includes dedicated 24/7 support. ## Frequently asked questions about the identity platform ### What is passwordless authentication? It means signing in to an application without typing a password: identity is proven with something the person has, such as their phone, a card or a token, and with a gesture or their biometrics. That leaves no password to steal, reuse or capture through phishing. Ironchip adds the place: besides the device, it checks that the access comes from that person's safe zone. ### How do I add MFA to workstations without a corporate phone? With a method that does not depend on the phone: NFC or RFID card in a reader, USB token with split key between token and workstation, or Ironchip's desktop authenticator. All three can also require access from the workstation's safe zone. ### What happens if an employee's password or passkey is stolen? It does not work for the attacker. In addition to the credential, access requires the registered device and, if policy demands, the radio signature of the place matches a safe zone. A valid credential used from another place is blocked and generates an alert. ### Does Ironchip replace my identity provider? No. Ironchip connects to Active Directory, Entra ID, Google Cloud Identity or LDAP as a user source and protects applications via OIDC, SAML, RADIUS or its API. It can function as an IdP or add its verification to the one you already use. ### Is employee location recorded? Coordinates or movement history are not stored. A place's signature is anonymous, cannot be converted into an address, and is only compared at the moment of access. ### Does it help comply with ENS, NIS2 and DORA? Yes. Ironchip is in the CCN CPSTIC catalog at HIGH level, has LINCE certification and ENS certification in the high category, and logs who accesses, from where, and with what device, with the evidence required by audits. ## Start with a critical application and a group of users. Without replacing your current systems and with measurable results from the first week. [Request a pilot](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20Authentication#hs-demo-form) [Technical documentation](https://docs.ironchip.com) --- # Every fraudulent operation comes from somewhere. > Fraud detection platform for banking and fintech: account takeover, money mules, SIM swapping, authorized push payment fraud and in-session malware. Mobile and web SDK and HTTP API. URL: https://www.ironchip.com/en/fraud-platform Fraud detection platform Ironchip scores every signup, login, and transfer based on location, device, and behavior, and holds the ones that don't fit. For banking and fintech, no extra step for the customer who operates from their usual place. [Talk to an expert](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20AntiFraud#hs-demo-form) See an evaluation _Operations scored in real time._ ## The legitimate operation repeats in the same places. Every customer operation leaves a dot. Our technology learns their usual places and scores each new operation against them: the dot that does not fit is the one that gets held. ### A rules engine that speaks your fraud team's language. Each operation gets a score based on where it comes from, what device it uses, and how it behaves. The rules belong to the bank: you create and adjust them from the console without waiting for a deployment. - Operation originated in a FATF-listed country. - Anonymous network: TOR, commercial VPN, or residential proxy. - Discrepancy between radio signature, GPS, and SIM country. - Spoofed GPS or impossible travel between two operations. - High-risk access provider or blacklisted IP address. - Place where previous attacks were already confirmed. - Known malicious apps on the device. - A debugger attached to the app while operating. - Modified system: root, jailbreak, or emulator. - Device on blacklist or model typical in fraud campaigns. - Operating system without recent security patches. - Roaming that doesn't match the customer's travels. - Virtual eSIM activated just before operating. - System language changes without the device or location changing. - Transfer ordered while a call is in progress or call forwarding is active. - One device operating for more than three customers. - Bursts of connections in windows of just a few minutes. - Sequences that replicate already-identified campaigns. Sign-ups, logins, KYC, each transfer, and any change to data or account settings are scored. ## Anatomy of an evaluation, from signal to decision. Every operation goes through three phases in milliseconds. This is a real engine report, with identifiers changed. 1. **Gather**: The SDK reads the device environment at the moment of operation: GPS position, network, carrier, model and system, language, and app status. 2. **Understand**: The engine contrasts GPS position with the radio signature and IP, and puts it alongside the customer's history: how many times they have operated, from where, with which device, and which network. 3. **Intercept**: Each fraud family adds its score, the result is explained in a sentence, and your system decides: allow, request another factor, or hold. **Transfer**: Mobile banking · 10:42:18 Gather - Terminal **Android 14 · Samsung** - Network **4G · IP 203.0.113.45** - GPS **± 12 m** Understand - Radio signature **Customer's usual area** - GPS **Matches** - IP **Madrid · Hosting VPN** - Customer **312 operations · seen yesterday** - Terminal **New for this customer** - Call in progress **Yes** - App installed **Known remote control** Intercept - Account takeover **70** - Tampering **110** - Money laundering **0** - New account fraud **0** "Vishing with new device: the customer is on a call and is operating from a device they have never used before, with a remote control app installed". ## Each type of fraud, with its own score. The engine doesn't give an opaque number: it separates risk by families so your team knows what's happening and can act accordingly. ### Account takeover Someone who is not the customer operates with their session or convinces them to operate themselves. - Vishing: operation during a call, with a new device or context. - Phishing: a known customer uses a new device that others have already used. - Impossible travel and country or device never seen before. [How to prevent account takeover](https://www.ironchip.com/en/account-takeover-prevention) ### New account fraud Accounts opened to defraud from day one. - Synthetic identities: a new user on a device or place already known. - New accounts on a device already used by other customers. ### Money laundering and money mules Accounts that move money that is not theirs. - Customers operating from places or contexts associated with money mules. - New users who appear in those same places. - Places associated with tax evasion. ### Tampering The device or network lie about who and where. - Root, emulator, automated browser, debugged app, or malware. - Spoofed GPS, TOR, VPN, proxy, hosting, relay, and masked SIM. ### Lists and repeat offending What is already known, applied without delay. - Countries on FATF black and gray lists. - Entity's own blocklists. - When your team confirms fraud, their device, network, and location are marked. ### Operate only from where it should For operations that should only be done from an office, a branch, or an agency. - Operation outside the assigned office. - User not on the agency's list. - Position that cannot be confirmed with the data received. ## Active defense during the session. Detect compromise indicators while validating identity, not just before. And track the campaigns impersonating the bank. Real-time antimalware ### What malware does when the customer is already inside. - **Overlays:** Spoofed overlays to steal credentials and 2FA. - **RATs:** Hidden AnyDesk or TeamViewer operating on behalf of the user. - **Keyloggers:** Capture of PINs, cards, and private keys. - **SIM swapping** and confirmation SMS sniffers. - **Injection and hooking:** Change of destination IBAN at the last second. Antiphishing and smishing ### Continuous internet scanning to locate sites impersonating the bank. - Vulnerability analysis of the attacker's infrastructure. - Real-time capture of credentials being stolen. - Immediate notification to block access and reset credentials. - Detection of compromised cards. - Tracking of channels where stolen information is centralized. ## Built for the daily work of the fraud team. Less time decoding alerts, more time resolving cases. **Case manager and forensics**: Each case with its device, location, and timeline, kept for up to 24 months and exportable as evidence. **The why, in one sentence**: Each flagged operation arrives explained in natural language, without having to read rules or scores. **Fewer false positives**: The platform reviews history in batches and proposes adjustments to the rules that generate the most noise. **Rules proposed, never imposed**: When a new pattern appears, the platform proposes the rule and the analyst accepts it, edits it, or discards it. ## It integrates into your app and your decision engine without changing either. 1. **Datasource SDK in your app**: Library for iOS, Android, and JavaScript. Reads signals when the customer operates, without new screens or extra permissions your customers need to explain. 2. **Fraud Detection API from your backend**: With the operation identifier you request the report over HTTP, or receive it via webhook or WebSocket as soon as it's ready. 3. **Your engine decides**: The score and fraud family enter the BPM, SIEM, or case manager you already use, with the rules you already have. Fraud Detection API response (extract) ``` "intercept": { "score": 180, "account_takeover": { "score": 70, "kind": "Vishing: New device" }, "tampering": { "score": 110, "kind": "Network: VPN" }, "money_laundering": { "score": 0 }, "explanation": "The user is on call and trying to make a transaction with a new device" } ``` Customer story · Abanca ### Abanca detects money mules and SIM swaps without adding a single step for the customer. The entity integrated the Datasource SDK in its app and the Fraud Detection API in its decision engine. The customer notices nothing; the fraud team finally sees where each person operates from. [Read the full case](https://www.ironchip.com/en/customers/abanca) ## Frequently asked questions about fraud detection ### How do you prevent account takeover? By checking, at every login, new payee and transfer, that the operation comes from the customer's usual places, with their device and their usual way of operating. A device or a country never seen before, impossible travel or an operation during a phone call raise the account takeover score, and the operation asks for another factor or is held. [Full account takeover guide](https://www.ironchip.com/en/account-takeover-prevention). ### How is a money mule account detected? By the place and context from which it operates. The engine flags customers operating from places or contexts already associated with money mules, and new users appearing in those same places, even if each operation seems normal on its own. ### How are vishing and authorized push payment fraud stopped? By detecting the conditions in which it occurs: a transfer ordered during an ongoing call, from a new terminal or context, or with a remote control application installed. With those signals, the operation is held before the money leaves. ### How is SIM swapping detected? By comparing the SIM and operator with the terminal's actual location. A change of operator or SIM country that does not match the place's radio signature, or that coincides with a network change, triggers as a risk signal. ### Does it add steps or friction to the end customer? No. The SDK reads signals in the background while the customer operates, without new screens. Only risky operations receive an additional factor or are held; the rest proceeds as always. ### How does it integrate with our decision engine? The Datasource SDK integrates into the iOS, Android or web app, and your backend requests the report for each operation from the Fraud Detection API via HTTP, or receives it via webhook or WebSocket. The score and fraud type enter your current rules. ## Let's analyze your fraud cases with real data. A specialist reviews your scenarios before the call and we show you the platform using your own operations. [Talk to an expert](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20AntiFraud#hs-demo-form) [SDK documentation](https://docs.ironchip.com) --- # Account takeover prevention for banks and fintech. > How to detect and stop account takeover in banking and fintech: phishing, vishing, SIM swapping and malware, through location, device and behavior. URL: https://www.ironchip.com/en/account-takeover-prevention Fraud detection · Account takeover Account takeover is when someone who is not the customer operates with their session, or convinces them to operate themselves. Ironchip detects it through the place, the device and the behavior of each operation, without adding steps for the customer who operates from where they always do. [Talk to an expert](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20AntiFraud#hs-demo-form) [See the fraud platform](https://www.ironchip.com/en/fraud-platform) _Operations scored in real time._ ## Why passwords and SMS codes are not enough. In an account takeover the attacker already has what the bank asks for: the password, the one-time code or even the open session. That is why controls that only check credentials miss it. What the attacker cannot copy is the legitimate customer's context: where they operate from, with which device and how. ### Phishing and credential theft The attacker signs in with the password and code they have captured. - A known customer suddenly uses a device that others have already used. - A country or device never seen before, and impossible travel between two operations. ### Vishing and authorized push payment fraud The customer is talked into operating themselves over the phone. - A transfer ordered during an ongoing call or with call forwarding active. - A new device or context, or a remote control app installed. ### SIM swapping The customer's SIM is duplicated to receive their codes. - A change of carrier or SIM country that does not match the radio signature of the place. - Virtual eSIM activated just before operating. ### Malware and remote control The customer is signed in and someone else drives the session. - Known malicious apps or a debugger attached to the app. - Modified system: root, jailbreak, or emulator. ## Where it is evaluated and how it responds. Sign-up, login, KYC, every transfer and any change to account data or settings are scored. Account takeover has its own score, separate from the other fraud families, and comes explained in one sentence. 1. **Gather**: The SDK reads the device environment at the moment of operation: GPS position, network, carrier, model and system, language, and app status. 2. **Understand**: The engine contrasts GPS position with the radio signature and IP, and puts it alongside the customer's history: how many times they have operated, from where, with which device, and which network. 3. **Intercept**: Your system decides with the score: let it through, ask for another factor or hold it. The customer who operates from where they always do notices nothing. ## It integrates into your app and your decision engine. 1. **Datasource SDK in your app**: Library for iOS, Android and JavaScript. It reads the signals when the customer operates, with no new screens. 2. **Fraud Detection API from your backend**: With the operation identifier you request the report over HTTP, or receive it via webhook or WebSocket as soon as it's ready. 3. **Your engine decides**: The account takeover score goes into the BPM, SIEM or case manager you already use, with the rules you already have. [Real case: how Abanca stops money mules and SIM swaps from their app](https://www.ironchip.com/en/customers/abanca) ## Account takeover FAQ ### What is account takeover? It is when someone other than the customer takes control of the customer's account. The attacker operates with the customer's session, with stolen credentials, or by convincing the customer to carry out the operation themselves, for example a transfer or adding a new payee. ### Why doesn't an SMS code prevent account takeover? Because the attacker can get the code: they ask the customer for it over the phone, receive it with a duplicate SIM, or capture it with a phishing site that relays the session in real time. The code proves that someone has it, not who is operating or from where. ### How does Ironchip detect an account takeover? By comparing each operation with the customer's usual context: their places, their device, their network and their usual way of operating. A device or a country never seen before, impossible travel, a SIM that does not match the radio signature of the place, or a transfer during a phone call raise the account takeover score. ### Does it add steps or friction to the end customer? No. The SDK reads signals in the background while the customer operates, without new screens. Only risky operations receive an additional factor or are held; the rest proceeds as always. ### How does it integrate with our decision engine? The Datasource SDK integrates into the iOS, Android or web app, and your backend requests the report for each operation from the Fraud Detection API via HTTP, or receives it via webhook or WebSocket. The score and fraud type enter your current rules. ## Let's analyze your account takeover cases with real data. A specialist reviews your scenarios before the call and we show you the platform using your own operations. [Talk to an expert](https://www.ironchip.com/en/talk-sales?producto=Location-Based%20AntiFraud#hs-demo-form) [See the fraud platform](https://www.ironchip.com/en/fraud-platform) --- # Privileged access without a single password to share. > Just-in-Time privileged sessions with verified identity, device, and location, approval on connection, and full recording. URL: https://www.ironchip.com/en/privileged-access Product · Privileged access (PAM) Your administrators and vendors access servers, databases, and Kubernetes when needed, with their identity, from their device, and from an authorized location. No VPN, no shared accounts, and every session recorded. Included in Ironchip Premium. [Request a pilot](https://www.ironchip.com/en/talk-sales?producto=PAM#hs-demo-form) See how it works _Example of a privileged access request pending approval._ ## What changes for your team from day one. ### Audits with evidence Each session is recorded with who requested it, who approved it, where it was accessed from, and what was executed. What ENS, NIS2, or DORA require, without screenshots. ### Vendors without shared accounts The external technician accesses with their identity, on their device, and in their time window. When done, access disappears automatically. ### No VPN or open ports Ironchip Connect exits from your network toward Ironchip. Your servers are not published to the internet, not even to us. ### A stolen credential opens nothing Without the registered device, without the authorized location, and without approval, an intercepted username and password are useless. ### Passwords no one knows They are set on login and changed on logout. No one types them, no one copies them, and no one takes them when changing companies. ### On top of what you already have The same directory, the same console, and the same factors that Ironchip already uses to protect your applications. ## The vault protects the secret. We keep it out of the way. No one types or sees a privileged credential. Access is decided at the moment, with context, and what the system needs to connect is stored encrypted and rotated beyond reach. | | Traditional PAM | Ironchip PAM | |---|---|---| | Privileged credentials | Stored in vault, shared by checkout | No one sees them: the broker supplies them at connection time and can rotate them after each session | | Privileges | Permanent or by checkout | Just-in-Time: an approved window that closes on its own | | Remote access | VPN + jump server | Browser or your own client (ssh, psql, kubectl) with a single-use ticket | | If the login is stolen | Access to the vault and everything it contains | Without the device, safe zone, and access factors, it does not open | | Network | Published inbound ports or VPN | Outbound only: Ironchip Connect opens the tunnel from inside | | Deployment | Multi-month project | On top of the IdP, directory, and console you already have | ## A single path to each machine, and Ironchip decides at each step. The person requests access in the console and connects with a single-use ticket. The broker holds the connection while Ironchip checks device, location, risk, and approval; only then does it set the credential and start recording. **Person**: Browser, or their own client: ssh, psql, mysql, RDP, VNC, kubectl. Your network **Ironchip console**: Access, factors, approvals, location, risk, and recordings. The same platform console. Ironchip **Ironchip PAM broker**: The only entry point: holds each connection, supplies the credential, and records the session. Ironchip **Secrets store**: Credentials and secrets encrypted, each company in its own space. The broker reads and keeps no copy. Ironchip **Your machines**: Servers, desktops, databases, and Kubernetes. With Ironchip's agent, optional, which only opens outbound connections. Your network 1. The person requests access in the console, in My access, with a reason if the policy requires it. 2. Connects with a single-use ticket, from the browser or with their own client. 3. The broker holds the connection and asks Ironchip: access, factors, risk, and approval. 4. If approved, the broker reads the credential from the store. The person never sees it. 5. Opens the session and records it from start to finish. 6. The agent reports and receives rules over HTTPS. With Ironchip Connect, your network opens no inbound port. SSH RDP VNC PostgreSQL MySQL Kubernetes From the browser or with your usual client ## Just-in-time approval, at the moment you choose. No one approves their own request or the same one twice, and the window closes automatically. The approval also counts as a factor for your SSO applications. On request: approved once ### One approval opens a window. - requests - approve - window open - connects - connects - connects - closes by itself Within the window the person enters as many times as they want. Each connection still goes through the broker and through factor and risk checking. On connect: each connection asks ### Each connection is held until they decide. - requests - connects: held - approve this connection - enters - another connection: waits The approver sees this person, from this address, right now. It's the mode for machines where each entry counts. ## Each session, with its full history. Screen, commands, and decisions on a single timeline. You can watch it live, stop it instantly, and save it as evidence. Live **prod-db-01** PostgreSQL · external technician · 00:42:18 End session ``` $ psql -h prod-db-01 billing billing=# REINDEX TABLE invoices; REINDEX billing=# \q $ sudo systemctl restart billing-api ⏸ Held by Ironchip: requires approval ✓ Approved by the systems administrator ``` - 10:02 **Connection allowed** Device, safe zone, and risk correct · approved by the systems administrator - 10:05 **Process started** psql, detected by the device agent - 10:31 **sudo held** systemctl restart billing-api, awaiting approval - 10:33 **sudo approved** Logged who authorized it and which rule applied - 10:44 **Session closed** Recording saved · password changed **Linux and macOS: each sudo asks**: It is allowed, denied with a reason, or held until someone approves it. **Windows: permitted programs only**: Rules by program applied with AppLocker during the session, even if renamed. **Live monitoring**: Who is in, which machine, and from where, with the option to terminate the session instantly. ## Ironchip Connect: we reach your machines without opening a single door. A lightweight connector inside each site opens an encrypted outbound tunnel toward Ironchip. Through it, and only through it, arrives the broker. **Your site · Madrid** - server 10.0.0.5 - database 10.0.0.8 Ironchip Connect Outbound only encrypted WireGuard tunnel **Ironchip**: Ironchip PAM broker. Authorizes the networks of each site. Outbound only its own tunnel, no IP conflicts **Another company** - server 10.0.0.5 - desktop 10.0.0.9 Ironchip Connect **No inbound**: Your network publishes no ports. The connector only opens outbound connections. **Your ranges, no conflicts**: Even if another company uses the same private addresses, each site follows its own path. **Direct when possible**: If the network allows it, the tunnel goes direct; if not, it passes through a relay without losing encryption. ## The same vault, also for applications and clouds. ### Applications and pipelines Compatible with the Vault API: your code and CI read its secrets from Ironchip without changing a line, with database credentials that expire automatically. ### Passwords for people A manager for what must be known, like the router at a head office. It's shared by groups and every time someone reveals it, it's recorded. ### AWS, Google Cloud, and Azure consoles Protected with Ironchip's SSO and on-demand temporary credentials, instead of eternal keys distributed across laptops. ## Frequently asked questions about privileged access ### What does a PAM without shared passwords mean? That people enter servers, databases and Kubernetes without knowing or typing the credential. Ironchip supplies it at connect time, can change it when the session ends, and no one takes it when they change companies. ### How do I give access to an external vendor without a VPN? The vendor requests access to a specific machine, an approver approves it, and they enter via the browser or their own client during a time window. The session is recorded and access closes when the window ends. ### Do I need to open firewall ports? No. Ironchip Connect is installed within each site and opens an encrypted outbound tunnel to Ironchip. Servers are not published on the internet. ### Can a session be monitored or terminated in real time? Yes. Terminal and desktop sessions are fully recorded, can be viewed as they happen, and terminated instantly. Each sudo or program executed is on the same timeline. ### What systems does it cover? SSH, RDP, VNC, PostgreSQL, MySQL and Kubernetes, from the browser or with standard clients. The Ironchip agent also controls which commands and programs are executed on Linux, macOS and Windows. ## Start with your 20 most critical accounts. A pilot on the servers and accounts that concern you most, with your existing IdP and directory. [Request a pilot](https://www.ironchip.com/en/talk-sales?producto=PAM#hs-demo-form) [Technical documentation](https://docs.ironchip.com) --- # Stop phishing before it strikes. > Browser protection with 12 detection engines: cloning, AiTM, ClickFix, QR, session hijacking and MFA bypass. URL: https://www.ironchip.com/en/phishing-shield Phishing Shield · Browser protection Browser protection with 12 detection engines. It catches what email filters miss: no configuration and immediate deployment. [Talk to sales](https://www.ironchip.com/en/talk-sales?producto=Phishing%20shield#hs-demo-form) How it works **99.8%** detection rate **<0.05%** false positives **12** detection engines ## Twelve engines, each one built for a different attack. Each engine detects what the others miss. Together they form a defense against the most sophisticated phishing attacks, including those that bypass MFA. ### Content cloning detection Analyzes page structure, DOM elements, and visual design to identify cloned login pages, even perfect copies that bypass URL filters. Powered by its own domain trust database with virtually zero false positives. ### Typosquatting Detects g00gle.com, mircosoft.com, and thousands of similar domains in real time. ### Homoglyph detection Detects Unicode tricks, such as a Cyrillic "a" disguised as a Latin "a" to steal credentials. ### AiTM / reverse proxy Identifies Adversary-in-the-Middle kits: Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine, Greatness. Analyzes headers, timing, and resource patterns in real time. ### ClickFix protection Intercepts clipboard hijacking attacks with Unicode normalization, base64 decoding, and homoglyph detection. Blocks PowerShell, curl, and malicious command injection. ### Form hijacking Detects when a form secretly sends your credentials to an attacker's server using cross-origin action URLs. ### QR phishing Detects quishing attacks: QR codes that lead to credential theft pages. ### VNC attack detection Stops real-time screen sharing attacks where the attacker watches you type. Detects noVNC and WebSocket signatures in the DOM with retry heuristics on MutationObserver. ### Session hijacking protection Continuously monitors token theft even after secure login. Detects cookie and storage mutations with context anomaly scoring. ### MFA bypass detection Alerts when an attacker intercepts your two-factor codes in transit via AiTM token relay. ### Threat intelligence It checks against its own database of over one million trusted domains, curated phishing URL feeds and over 18,000 known malicious IPs, continuously updated. ### Phishing database Blocks known phishing sites before your employees see the page. Queries in real time the aggregated feeds of PhishTank and OpenPhish. ## From download to entire workforce protected in less than an hour. **No network changes**: No proxies or TLS decryption: traffic stays on the device. **Automated distribution**: Via GPO, Microsoft Intune, or any MDM, in minutes. **Chrome, Edge, and Chromium**: A lightweight extension on the browser you already use. **Zero friction**: Works in the background without interrupting browsing. ## Frequently asked questions about Phishing Shield ### How do I protect staff from cloned login pages? With protection that works in the browser, where the page is viewed. Phishing Shield analyzes the structure and appearance of each login page and blocks it if it is a copy, even if the URL is not on any list. ### Does it work against phishing that bypasses MFA? Yes. Several of its engines detect kits placed between the user and the service to steal sessions, relay two-factor codes, and steal tokens after log in. ### Do I need to change the network or install a proxy? No. It's an extension for Chrome, Edge, and Chromium browsers that runs on the device itself, without proxies or TLS decryption. ### How is it deployed across the company? It's distributed via GPO, Microsoft Intune, or any MDM. A full organization can be protected in less than an hour. ### What does the security team see? Blocked attempts and extension activity reach the Ironchip platform for tracking. ## Protect your workforce before the next click. We show you the extension live on a real phishing kit and deploy it to a pilot group. [Talk to sales](https://www.ironchip.com/en/talk-sales?producto=Phishing%20shield#hs-demo-form) sales@ironchip.com --- # The radio environment of each place. > Location-based authentication: how Ironchip turns the radio environment of a place into an anonymous safe zone, with no GPS and no personal data. URL: https://www.ironchip.com/en/location-intelligence Location-based MFA · Location Intelligence Each place has its own radio environment: the WiFi and mobile networks visible from that point, with their intensity and relationship to each other. That pattern of waves is as distinctive as a fingerprint, and it's what Ironchip learns. The fingerprint is neither coordinates nor personal data. GPS is one more signal, which the engine checks against it and detects even when it is spoofed. Ironchip location-based MFA is built on that fingerprint. [Request a demo](https://www.ironchip.com/en/talk-sales) What the device listens to **2G to 5G** visible cell towers and their operator **WiFi** surrounding networks and favorite network **GPS and IP** only as contrast **Latency** network response times **ISP and SIM** provider and SIM actually in use **VPN, TOR, proxy** attempts to spoof the origin ## Same point, always the same signals. The device listens to the surrounding spectrum every time the user operates. An attacker can steal a password, clone a SIM, or spoof coordinates, but cannot reproduce the entire electromagnetic environment of a specific office. ### 1. Capture On each operation the SDK measures the visible spectrum: cell towers, WiFi, GPS, IP, latencies, and ISP. Capture is passive and transparent to the user. ### 2. Signature modeling Our technology groups the repeated captures of the same spot and condenses them into an anonymous signature, with no coordinates and no personal data. ### 3. Comparison on each access Each new access generates its own capture and is measured against the stored signature. If they're similar enough, the location factor is satisfied; if not, the access does not pass. ### 4. Continuous learning The system learns each user's usual places and detects geographic anomalies, overcoming the limitation of static zones. ## What the device listens to. None of these signals identifies the user on their own. It's their combination and how it varies that describes a place. **Mobile networks**: Visible 2G, 3G, 4G, and 5G cell towers and their operator. **Surrounding WiFi**: Surrounding networks and the user's favorite WiFi network. **GPS and IP**: As contrast signals, never as sole proof. **Network latencies**: Geolocation based on response times. **ISP and native SIM**: Contracted provider and SIM actually in use. **Spoofing**: Use of VPN, TOR, or residential proxy to spoof the origin. ## A safe zone is not a point on a map. It's a unique, usual place for each user, and very hard to forge. The common confusion is thinking we're talking about geolocation: we don't track anyone. ### It is An anonymous signature of the radio environment, linked to the device's key. A factor that detects spoofing, VPN, TOR, virtual SIMs, and impossible travel. ### It is not GPS coordinates or a history of the user's movements. Personal information: a street or address cannot be deduced from the signature. ## The same signature across every product. [Identity and access The safe zone is declared as policy: head offices, plants, or remote work homes. A valid credential outside the zone is blocked. See the platform](https://www.ironchip.com/en/identity-platform) [Fraud detection The zone self-learns from customer behavior, and each operation is scored against it in real time. See the platform](https://www.ironchip.com/en/fraud-platform) [Privileged access Administration sessions only open from authorized places to administer. See the platform](https://www.ironchip.com/en/privileged-access) [Phishing Shield When the user clicks and MFA isn't enough, browser protection stops credential and session theft. See the solution](https://www.ironchip.com/en/phishing-shield) ## Frequently asked questions about the technology ### What is location-based authentication? It means using the place you sign in from as an additional factor. Ironchip does not depend on coordinates: it compares the radio signature of the environment, formed by the visible mobile and WiFi networks, with that of the authorized zones. GPS is one more signal, and the engine detects when it is spoofed. ### Does it work inside buildings, where GPS does not reach? Yes. The signature is based on mobile and wifi network signals, which are present indoors. GPS is used only as a contrast. ### Can it be fooled with a VPN or fake GPS? It's very difficult. To spoof a place you would need to reproduce its complete electromagnetic environment. Additionally, the engine detects spoofed GPS, VPNs, TOR, proxies, and inconsistencies between the IP, SIM, and the place signature. ### What data is saved about the place? An anonymous radio signature of the environment, linked to the device key. No addresses or movement history are saved, and the signature cannot be converted to a specific location. ## See how a safe zone is generated with your own users. We show you what the signature of your offices looks like, measured with your own devices. [Request a demo](https://www.ironchip.com/en/talk-sales) [Technical documentation](https://docs.ironchip.com) --- # A use case for each way of working. > Employees with a phone, with a computer, shared workstations, third-party vendors, banking, healthcare, public sector, B2B travel, and NIS2 suppliers. URL: https://www.ironchip.com/en/use-cases Use cases Who signs in, from where and with which device changes in every organization. These are the scenarios we see most often, with the concrete problem, how Ironchip solves it, and who it applies to. ## Four profiles, one platform. 01 ### Employees with a mobile phone Passwordless authentication from the smartphone **1 tap** to approve each access, without typing codes Mobile app · push + biometrics + location #### The problem Employees access Office 365, VPN, or CRM from their phone daily. Phishing and SIM swapping intercept OTPs and SMS, and without location control, any remote access can be fraudulent. #### How Ironchip solves it - Push notification on access attempt, approved with the device's biometrics. - Safe zone verification before granting access. - Provisioning, deprovisioning, and device management from a single console. Sales Remote and hybrid Field technicians Executives Customer support 02 ### Employees with a computer Second factor on desktop, corporate or personal **65%** reuse passwords across their accounts (Google and Harris Poll, 2019) Desktop app · Windows, Linux, macOS #### The problem The workstation is the primary attack vector: reused passwords, Man-in-the-Middle attacks that steal session tokens, and remote work from IT-uncontrolled devices. #### How Ironchip solves it - The desktop app acts as a second factor, without a smartphone. - Factors tied to device and location, very hard to spoof. - Compatible with USB token and NFC card for privileged access. IT and support Development and engineering Finance HR Remote work without corporate mobile 03 ### Shared workstations Individual identity in multi-user environments **100%** adoption using existing cards NFC / RFID card · USB token · OTP token #### The problem Multiple employees operate on the same terminal with the same account. The password is known by the entire shift, rotation increases IT costs, and no one can audit who performed each operation. #### How Ironchip solves it - The access badge they already carry serves as MFA: holding it near the reader is all it takes. - Each session is linked to the person, even if the device is shared. - Reusable tokens across users, no phones to buy. Healthcare Industry and manufacturing Retail and point of sale Logistics Public sector 04 ### Third-party vendor access Third parties without apps or passwords **48%** of breaches involve a third party (Verizon, DBIR 2026) Magic Link · temporary access · brokered privileged access #### The problem Consultancies, maintenance providers and partners access with temporary accounts that are never removed, from devices outside policy and with no record of what they do inside. #### How Ironchip solves it - Single-use link, no installation or passwords required. - Least privilege: access only to assigned resources and only during the project. - Instant revocation and immutable audit log of every session. Maintenance Auditors Consultancies Partners and distributors Independent contractors ## Where access is a regulated risk. 05 ### Banking and fintech Digital channel fraud: money mule, SIM swapping and authorized push payment fraud **0 steps** more for the end customer who operates from where they always do Datasource SDK · Fraud Detection API #### The problem Fraud no longer needs to steal the password: it convinces the customer to authorize the transfer, duplicates their SIM to receive the SMS, or uses their account as a money mule. With valid credentials, the bank sees nothing unusual. #### How Ironchip solves it - Every login, account registration, transfer or account change is scored by location, device and behavior. - In-session malware protection: overlays, RATs like AnyDesk, keyloggers and IBAN changes at the last second. - Detection of VPN, virtual SIM, impossible travel and transfers during a call. [Real case: how Abanca stops money mules and SIM swaps from their app](https://www.ironchip.com/en/customers/abanca) 06 ### Healthcare National Health System Cybersecurity Strategy **54%** of healthcare breaches involve the human element (Verizon, DBIR 2026) Professional NFC card · safe zone per center #### The problem Clinical terminals shared between shifts, sessions that stay open and passwords on sticky notes. The new regulation not only requires protecting data: it requires proving who accessed what, when and from where. #### How Ironchip solves it - Access with professional NFC card, no phone on the plant floor. - Individual audit trail for every access to medical records. - Workstation location as a factor: outside the center, doesn't open. 07 ### Public sector ENS and ITDR compliance **SIEM** each access, correlated with the rest of events Passwordless on USB, NFC card, desktop and mobile #### The problem Citizen data and case files with limited resources and diverse device fleets. And in citizen services, industrialized fraud: money mules, vishing and synthetic identities. #### How Ironchip solves it - Passwordless on USB, NFC card, desktop and mobile, with HIGH level CCN. - Detection of spoofed GPS, impossible travel and hotspots. - Detection of money mules, authorized push payment fraud and synthetic identity registration. [Customer story: how Alcobendas City Council deployed a second factor compliant with ENS across its entire workforce](https://www.ironchip.com/en/customers/alcobendas) 08 ### B2B travel Fraud through impersonation on booking platforms **API** integration on top of the booking platform Fraud Detection API · contextual identity per booking #### The problem Attackers impersonate legitimate agencies to launch fake bookings on tour operators and B2B platforms, causing direct financial loss and reputational damage. #### How Ironchip solves it - Contextual identity in every booking: location, device and behavior. - Blocking proxies, VPN and spoofed GPS before closing the transaction. - API layer on top of the existing platform, without slowing operations. 09 ### NIS2 suppliers Supply chain in critical sectors **NIS2**: Directive (EU) 2022/2555 Phishing-resistant MFA · access reports and audit trail #### The problem If your customer is energy, banking, transport, healthcare or water, NIS2 requires them to demand security from their vendors. Even if you're not regulated, the requirement reaches you by contract. #### How Ironchip solves it - Phishing-resistant MFA for all staff who touch the customer's systems. - Access reports and audit trail ready for customer audit. - Fast deployment on the existing IdP and directory. ## Tell us your scenario and we'll test it with your users. A pilot with a group of users and one critical application, on your IdP and directory. [Request a pilot](https://www.ironchip.com/en/talk-sales) [See customer stories](https://www.ironchip.com/en/#casos) --- # Abanca. Money mule and SIM swapping, detected without impacting customer experience. > Abanca: location joins mobile banking fraud prevention. Location-based fraud prevention, in production at a Galician bank. URL: https://www.ironchip.com/en/customers/abanca Banking · Spain Abanca **+8,000** employees Banking Sector Fraud detection by behavior, location, and device Deployment ## The challenge Abanca was facing growing complexity of banking fraud, with threats like money mule and SIM swapping difficult to detect with traditional systems. Lack of visibility into location, device and behavior limited real-time anomaly detection and made it hard to distinguish legitimate from fraudulent access in critical operations. Security needed to be strengthened without affecting the user experience. ## The solution Continuous analysis of user behavior incorporating location and device as identity factors. Every operation is scored in real time against the customer's usual places and the bank's rules, transparently for the end user. - Fraud detection platform - Datasource SDK - Fraud Detection API ## Results **Detection of multiple fraud cases such as money mule and SIM swapping.** **Real-time identification of anomalous access by behavior, location, and device.** **Greater ability to distinguish between legitimate users and fraudulent activities.** > Ironchip implements its product at a critical authentication point in a straightforward and cost-effective way, with a user experience difficult to find today. > > Fátima Cereijo, Fraud Control and Privacy Manager, Abanca ## Test the location-based fraud detection in your organization. On your own operations and with your fraud team, before touching your customers' app. [Request a pilot](https://www.ironchip.com/en/talk-sales) [See other cases](https://www.ironchip.com/en/use-cases) --- # Alcobendas City Council. ENS-compliant MFA for more than 1,000 employees, with the mobile phone as the key. > Alcobendas City Council: a second factor for an entire municipal workforce, at the level the ENS requires. The local administration that moved to MFA without complaints from staff. URL: https://www.ironchip.com/en/customers/alcobendas Public sector · Spain **Alcobendas City Council** **+1,000** employees Administration Sector Mobile app with SIEM monitoring Deployment ## The challenge Critical access with multiple users and devices, without centralized visibility of who accessed what, from where and with which device, and with the requirement to comply with the National Security Framework in access control and audit trail. ## The solution Passwordless authentication with the Ironchip mobile app, safe zones for municipal offices and sending every access event to the city council's SIEM for correlation. - Identity and access (IAM) - Mobile app - SIEM integration ## Results **Early detection of anomalous access.** **Real-time event correlation.** **Automated response to suspicious activity.** > We usually encounter user resistance to change, but in this case it is being very well received due to the good user experience. > > José Luis Miguel, Security Manager, Alcobendas City Council ## Bring ENS to your entire workforce. We start with one department and one application, and measure adoption from day one. [Request a pilot](https://www.ironchip.com/en/talk-sales) [See other cases](https://www.ironchip.com/en/use-cases) --- # GHI Smart Furnaces. Identity split between person and device, without relying on the mobile phone. > GHI Smart Furnaces: a phone-free industrial plant, protected with a USB token. Plant-floor MFA with a physical token and a split key. URL: https://www.ironchip.com/en/customers/ghi Industry · Spain **GHI Smart Furnaces** **+200** employees Industry Sector Identity split in physical token Deployment ## The challenge Protect sensitive information on corporate devices without relying on mobile devices, in an industrial environment where not all workstations have a corporate phone or can use biometrics. ## The solution USB token with split key between the device and the user, so that neither one works alone, with the plant as a safe zone and centralized management from the Ironchip console. - Identity and access (IAM) - USB token - safe zones ## Results **Identity distributed between user and device.** **More control and visibility for IT.** **Frictionless daily authentication.** > A notable alternative that combines security and simplicity for MFA authentication across very different applications. > > Edorta Guerrero, IT Systems Administrator, GHI Smart Furnaces ## Protect your plant even if there are no mobile devices. USB token, card, or desktop: we choose the method per workstation and test it on a line. [Request a pilot](https://www.ironchip.com/en/talk-sales) [See other cases](https://www.ironchip.com/en/use-cases) --- # Take location-based identity to your customers. > System integrators and managed service providers who deploy Ironchip's identity, fraud, and privileged access platform at their customers. URL: https://www.ironchip.com/en/partner-program Partner program For system integrators, consultancies, and managed service providers who want to offer passwordless authentication, fraud detection, privileged access, and phishing protection with a Spanish manufacturer certified by CCN. [Talk to the channel team](https://www.ironchip.com/en/talk-sales) [Partner portal](https://docs.ironchip.com/partner-portal) - **Partner console**: All your customer companies and their licenses, in one place. - **CPSTIC HIGH level**: Product qualified for the public sector and regulated sectors. - **Four products, one platform**: Identity, fraud, privileged access, and Phishing Shield. ## What you have as a partner. ### Multi-customer management A partner console to register customer companies, distribute licenses, and manage each organization separately, including those with multiple Entra ID. ### Training Courses at Ironchip Academy so your technical team can deploy and operate the platform independently. ### Documentation and portal Complete technical documentation and a partner portal with resources for pre-sales and implementation. ### Pre-sales support Joint demos and pilots on your customer's environment, with their IdP, their applications, and their real risks. ### A product that opens doors ENS certification in high category, HIGH level in the CPSTIC catalog, LINCE, and ISO 27001 and 27701: arguments that carry weight in tenders and regulated sectors. ### Easy to integrate It relies on the directory and applications the customer already has, with open standards and an agentless option. ## Who the program is for. **System integrators and consultancies**: Who implement identity, MFA, and Zero Trust in enterprise and the public sector. **Managed service providers**: Who operate security for multiple customers and need a multi-customer console. **Banking and fintech specialists**: Who integrate fraud detection in digital channels and understand the customer's decision engine. ## Let's talk about your customer portfolio. Tell us which customers you target and we'll prepare the first joint demo with you. [Talk to the channel team](https://www.ironchip.com/en/talk-sales) sales@ironchip.com --- # La identidad que nadie puede robar. > Autenticación sin contraseñas, acceso privilegiado y detección de fraude que usan el lugar como prueba de identidad. Para banca, administración pública e industria. URL: https://www.ironchip.com/ Autenticación sin contraseñas y detección de fraude que verifican persona, dispositivo y lugar. Una credencial válida usada fuera de su zona segura se bloquea. Solicitar un piloto Ver cómo funciona Protegen sus accesos con Ironchip - Banco Santander - Gobierno Vasco - Ibercaja - Abanca - Arquia Banca - ULMA ## Un acceso, cuatro comprobaciones. El mismo motor evalúa a un empleado, a un proveedor, a una máquina o a un cliente de banca. Cambia el escenario, no la lógica. ## El ataque casi nunca ocurre donde está el usuario. Una identidad legítima se repite en un puñado de lugares de confianza. El fraude llega desde fuera, y también se repite. Ese contexto físico es una señal que la contraseña, el OTP y la passkey no tienen. **92 %** de los ataques se producen de forma remota, desde una ubicación en la que el usuario nunca ha estado. **99 %** de los estafadores cometen fraude desde la misma ubicación al menos dos veces. ## Cómo un lugar se convierte en una prueba de identidad. No depende del GPS: es una firma anónima e irrepetible del lugar, sin coordenadas ni datos personales, vinculada a la clave del dispositivo. El GPS cuenta como una señal más, y se detecta cuando se falsifica. ### 1. Señales del entorno El dispositivo mide las antenas 2G a 5G, las redes WiFi visibles, la latencia, la IP y la SIM realmente en uso. Nada sale del equipo todavía. ### 2. Firma de ubicación Nuestra tecnología convierte esas señales en una firma anónima del lugar. Sin coordenadas, sin datos personales, imposible de reproducir desde otro sitio. ### 3. Vínculo con el dispositivo La firma se liga a la clave privada del equipo, que nunca sale de él. El resultado es un factor que no se puede copiar ni suplantar. ### 4. Zona segura y decisión La zona se declara por política o se aprende del comportamiento. Si la firma coincide, el acceso se concede. Si no, se bloquea, se alerta y queda registrado como evidencia. ### Dispositivo Clave privada que nunca sale del equipo. ### Persona Biometría del propio dispositivo, sin plantilla en servidor. ### Lugar Firma de ubicación de la zona segura autorizada. ### Un solo gesto Acceso resistente a phishing, malware y SIM swapping. Sin contraseña que recordar ni código que teclear. ## La localización alimenta el antifraude. El antifraude decide cada acceso. Tres capas sobre un mismo núcleo. La misma inteligencia que detecta un money mule decide si un empleado, un proveedor, una máquina o un agente de IA pueden entrar. la puntuación de riesgo decide el acceso la firma del lugar alimenta el riesgo ### Una firma del lugar que no se puede copiar. El entorno radioeléctrico se convierte en una firma anónima vinculada a la clave del dispositivo. Las zonas seguras se declaran por política o se aprenden del comportamiento. - **Zonas seguras** declaradas (sedes, plantas, teletrabajo) o aprendidas del uso habitual. - **Detección de suplantación:** VPN, TOR, proxy residencial, SIM virtual y viajes imposibles. - **Sin coordenadas ni datos personales:** la firma no se puede revertir a una dirección. ### Cada acceso y cada operación, puntuados en tiempo real. Ubicación, dispositivo, red y comportamiento se combinan con reglas propias de cada cliente. El resultado es una puntuación de riesgo viva, no un sí o un no en el primer segundo. - **Motor de reglas adaptativo** con políticas por escenario y por entidad. - **Integridad del dispositivo:** root, malware, RAT, overlays e inyección. - **Comportamiento** y patrones consistentes con campañas conocidas. - **Caso, análisis forense** y exportación de evidencias. ### La puntuación decide quién entra, cómo y con qué privilegio. Riesgo bajo: acceso directo. Medio: un factor más o la aprobación de un responsable. Alto: bloqueo y alerta. Lo mismo para una persona, un dispositivo, un servicio o un agente de IA. - **Aprobaciones y mínimo privilegio** por perfil, recurso y momento. - **Identidades de personas, dispositivos y máquinas,** también entre máquinas. - **Bots y agentes de IA** detectados por ritmo, origen y patrón de llamadas. - **Aplicaciones web y de escritorio,** además de RDP, SSH, VPN y APIs. **Personas**: Empleados, clientes, proveedores y terceros. **Dispositivos**: Móvil, escritorio, USB, tarjeta NFC y passkeys. **Máquinas y servicios**: Identidades de máquina, APIs y tráfico entre servicios. **Bots y agentes de IA**: Las automatizaciones legítimas pasan. Las que salen de patrón, no. **Infraestructura**: RDP, SSH, VPN y RADIUS, no solo aplicaciones web. **Aplicaciones**: Estándares abiertos: OIDC, SAML y SCIM. ## Así se ve. Consola para el administrador, un gesto para el usuario. La consola de Ironchip gestionando un acceso privilegiado: solicitud, aprobación, conexión retenida, sesión grabada. Y en el móvil, lo único que ve el usuario. Consola de Ironchip _Pantalla de la app de Ironchip pidiendo confirmar un acceso._ **Consola:** acceso privilegiado, aprobaciones, sesiones en directo y grabaciones. **App:** una notificación, la biometría del móvil y la ubicación verificada en segundo plano. ## Plataforma de identidad y accesos. Un gesto para entrar y ninguna contraseña que robar. Si la credencial correcta llega desde el lugar equivocado, no abre. Todo sobre el IdP, el directorio y las aplicaciones que ya usas. Zonas seguras ### La ubicación como política de acceso Se define la zona sobre el mapa, se elige el nivel de verificación y queda aplicada a las aplicaciones y grupos que decidas. - Varias zonas por política: sedes, plantas o domicilios de teletrabajo declarados. - Modo estricto: exige señales GPS y electromagnéticas para máxima garantía. - Aplicable a recursos críticos y a accesos remotos por RDP o SSH. - De listas blancas de IP al análisis contextual de múltiples ubicaciones. Consola única ### Identidades, dispositivos y políticas en un solo sitio Qué credencial tiene cada persona y en qué equipo. Reglas por aplicación, grupo y zona, con registro de cada cambio y de cada intento de acceso. - **Directorio e inventario**: Usuarios, grupos, móvil, escritorio, USB, RFID y passkeys SCIM - **Políticas y auditoría**: Por aplicación, grupo y zona segura, con histórico Zero Trust - **Panel en tiempo real**: Accesos, dispositivos y eventos, exportables al SIEM Syslog y API - Active Directory, Entra ID, Google Cloud Identity y LDAP como fuente de identidad. - Flujos de autenticación con el diseño corporativo, también en el inicio de sesión del sistema operativo. Zero Trust ### Accesos condicionales Por dispositivo, ubicación, identidad, rol y riesgo. Reglas complejas por perfil sin desplegar nada. Passkeys y FIDO2 ### Resistentes a phishing Passkeys sincronizadas o llaves físicas. Con ubicación, una passkey robada es inútil fuera de la zona. Inicio de sesión ### MFA en el logon de Windows El segundo factor y la zona segura también al iniciar sesión en el equipo, con RADIUS para VPN y red. Máquinas y terceros ### Identidades no humanas Servicios, tráfico entre máquinas y proveedores con enlace de un solo uso, con el mismo contexto. ### Un método para cada puesto. También sin móvil. Incluidos los escenarios donde no hay teléfono disponible o no se puede instalar software. ### App móvil Móvil corporativo o BYOD. Aprobación con un gesto. Push + biometría + ubicación ### App de escritorio Puestos sin móvil disponible. Clave del equipo + OTP + ubicación ### Passkeys y FIDO2 Acceso web estándar y llaves de seguridad. WebAuthn + biometría del dispositivo ### Reconocimiento facial Accesos móviles y de escritorio sin tocar nada. Rostro + dispositivo + ubicación ### Token USB Entornos sin móvil ni biometría. Clave partida equipo + token ### Tarjeta NFC / RFID Planta, turnos y puestos compartidos. Tarjeta física + lector ### Magic link y SMS Proveedores y terceros externos. Enlace de un solo uso o código ### Sin agentes Equipos donde no se puede instalar software. Contexto de red + credencial existente ## Tu marca en cada pantalla. La app, el inicio de sesión del IdP y las notificaciones llevan tu logo y tus colores. Cada empresa configura su look and feel desde la consola, también en el inicio de sesión del sistema operativo. Ironchip desaparece. Tu marca se queda. _Página de inicio de sesión del proveedor de identidad con la marca del cliente._ _App móvil con la marca del cliente._ ## Acceso privilegiado que pregunta en el momento de conectar. Un broker transparente para SSH, RDP, VNC, Kubernetes, HTTPS, MySQL y PostgreSQL. Sin cliente, sin VPN y sin que nadie vea una contraseña. Dispositivo, zona segura, ITDR y aprobación se comprueban cada vez que alguien se conecta, no solo cuando se le dio acceso. - **Puerta de aprobación en la conexión**: El broker retiene la sesión mientras Ironchip evalúa dispositivo, zona segura e ITDR y pide el sí a los aprobadores. Políticas con uno o varios aprobadores y ventanas que caducan solas. Ni un ticket se la salta. - **Sesiones grabadas y en directo**: Terminal SSH y escritorios RDP y VNC desde la consola o con el cliente nativo. Grabación completa, visionado en directo y tickets de un solo uso para quien prefiere su propia terminal. - **Control de comandos en la máquina**: El agente decide qué puede ejecutar cada persona con sudo y aplica AppLocker en Windows. Un comando fuera de política se retiene hasta que los aprobadores dicen sí, y queda registrado qué corrió y quién lo lanzó. - **Secretos fuera de la base de datos**: Las credenciales de los sistemas viven en un almacén de secretos (OpenBao o cualquier API compatible con Vault). El broker las lee por referencia y no guarda copia. - **Contraseñas gestionadas y rotación**: Ironchip gestiona la contraseña del sistema y la rota a diario y después de cada sesión: cuentas locales al estilo LAPS, bases de datos y cuentas de dominio en Active Directory, LDAP o Entra ID. Checkout y rotura de cristal con registro de quién la tomó. - **Credenciales efímeras para aplicaciones y máquinas**: Credenciales de corta duración en AWS, Google Cloud, Azure y bases de datos, y una API compatible con Vault para que las aplicaciones lean sus secretos. Inventario de cuentas en cada máquina. ## El fraude también tiene una ubicación. Nosotros la vemos. Money mule, SIM swapping, fraude autorizado y suplantación de ubicación en banca y fintech. Se integra por SDK móvil o web y API HTTP, sin fricción para el cliente final. **82 %** de los usuarios se registran en una aplicación desde lugares habituales. **74 %** de las compras se realizan desde lugares habituales. **66 %** de los inicios de sesión se realizan desde lugares habituales. **+90 %** de las transacciones de alto importe ocurren desde lugares habituales. Caso real · Money mule ### Cinco minutos de España a Benín. Cuatro señales que por separado parecen ruido y juntas describen un intento de fraude. 1. **Uso repentino de VPN.**: Primera conexión a través de NordVPN, una desviación clara del comportamiento habitual. 2. **Cambio de operador de SIM.**: La SIM pasa de un operador español a MTN Benín manteniendo la ubicación declarada en España. 3. **Viaje imposible.**: Un salto de ubicación logísticamente imposible en ese intervalo sin manipulación tecnológica. 4. **Cambio de ISP.**: El proveedor cambia a NordVPN en el mismo momento en que aparece la SIM de Benín. Operación retenida y caso abierto con toda la evidencia. Motor de reglas propio de cada entidad, antimalware en sesión, antiphishing, SDK y API. [Ver la plataforma antifraude](https://www.ironchip.com/fraude) ITDR · Detección y respuesta ante amenazas de identidad ### El acceso no se decide una vez: se vigila toda la sesión. Cada acceso lleva una puntuación de riesgo viva. Un contexto que cambia, un dispositivo que se degrada o una credencial que empieza a comportarse como si fuera de otra persona disparan la respuesta. **Detectar** - Ubicación fuera de las zonas habituales - Dispositivo nuevo, con root o sin parchear - VPN, TOR o proxy residencial - Viajes imposibles y sesiones simultáneas - Recursos que ese rol no suele tocar **Decidir** - Riesgo bajo: acceso directo - Riesgo medio: un factor más o modo estricto - Riesgo alto: se deniega y se corta la sesión - Mínimo privilegio por perfil, recurso y momento **Responder** - Bloqueo y alerta inmediata al administrador - Evento normalizado al SIEM por syslog o API - Pestaña forense con dispositivo y contexto - Exportación de evidencias para auditoría o uso legal Integraciones y directorios ### Una sola fuente de verdad para identidades locales y cloud. Cada cambio de rol o baja se propaga al instante. Despliegue on-premise, en nube o híbrido, con opción de acceso sin agentes. OIDC SAML LDAP RADIUS SCIM HTTPS SDK - **Active Directory on-premise**: ADConnect - **Entra ID / Azure AD**: SCIM - **Google Cloud Identity**: SCIM / OIDC - **Usuarios locales y terceros**: Importación CSV - **Más de 5.000 aplicaciones, RDP y SSH**: OIDC, SAML, RADIUS, SDK [Documentación técnica](https://docs.ironchip.com) ## Lo que un MFA tradicional no puede comprobar. Cada método resiste unas amenazas y cede ante otras. Solo uno sabe desde dónde se usa la credencial. | Amenaza o escenario | Contraseña + OTP por SMS o app | Push MFA aprobar en el móvil | Passkey / FIDO2 WebAuthn | Ironchip persona + dispositivo + lugar | |---|---|---|---|---| | Phishing en tiempo real (adversario en medio) | Vulnerable | Vulnerable | Resistente | Resistente | | SIM swapping | Vulnerable | Resistente | Resistente | Resistente | | Fatiga de notificaciones (push bombing) | No aplica | Vulnerable | Resistente | Resistente | | Malware o RAT durante la sesión | Vulnerable | Vulnerable | Vulnerable | Resistente | | Credencial válida usada desde otro lugar | Vulnerable | Vulnerable | Parcial | Resistente | | Puestos sin móvil ni biometría | No lo cubre | No lo cubre | Parcial | Lo cubre | | Evidencia del lugar físico para auditoría | No lo cubre | No lo cubre | No lo cubre | Lo cubre | ## Calcula tu superficie expuesta. Cuatro datos que ya conoces. Una estimación de lo que un atacante puede usar hoy desde cualquier lugar y de lo que cambia con la ubicación como factor. ## Certificado para los entornos más exigentes. Certificación LINCE del Centro Criptológico Nacional e inclusión con nivel ALTO en el catálogo CPSTIC del CCN-CERT, con procedimiento de empleo seguro publicado (CCN-STIC 1633). Certificados en ENS categoría alta, ISO 27001 e ISO 27701. Alineado con PSD2, DORA y NIS2. - Producto STIC cualificado, nivel alto, CCN CPSTIC · Nivel ALTO - Certificación LINCE del Centro Criptológico Nacional LINCE · CCN - Certificación de conformidad con el ENS, categoría alta ENS · Categoría alta - Certificado ISO 27001 ISO 27001 - Certificado ISO 27701 ISO 27701 **2017** Fundación, capital español. El Gobierno de España participa como inversor. **ALTO** Nivel en el catálogo CPSTIC del CCN-CERT. **4** Sectores críticos desplegados: banca, administración pública, industria y energía. **0** Credenciales almacenadas. No hay contraseñas que exfiltrar. Respaldados por - Google for Startups - ENISA - INCIBE, Instituto Nacional de Ciberseguridad - Emprendedor XXI, CaixaBank ## Tres despliegues, tres restricciones distintas. Banca con fraude sofisticado, administración pública bajo el ENS e industria sin móviles en planta. El mismo núcleo, tres respuestas. [Banca Abanca La ubicación entra en el antifraude de la banca móvil. Leer el caso](https://www.ironchip.com/casos/abanca) [Administración pública Ayuntamiento de Alcobendas Segundo factor para toda una plantilla municipal, con el nivel que pide el ENS. Leer el caso](https://www.ironchip.com/casos/alcobendas) [Industria GHI Smart Furnaces Una planta industrial sin móviles, protegida con token USB. Leer el caso](https://www.ironchip.com/casos/ghi) ## La plataforma, ahora mismo. Datos agregados y anónimos del motor antifraude de Ironchip en producción. Ninguna operación concreta, ningún cliente identificable. **2.293.000** operaciones evaluadas hoy, cada una con su ubicación, su dispositivo y su comportamiento. **2.293.000** en las últimas 24 horas **69,7 M** en los últimos 30 días **157.036** pico por hora, a las 09:00 UTC Cifras estimadas a partir de los volúmenes diarios de los motores antifraude y de autenticación de Ironchip; el reparto por horas es real. Actualizado el 7 de octubre de 2026, 11:08 UTC. ## Empieza con un piloto. Un grupo de usuarios y una aplicación crítica. Sin sustituir tus sistemas actuales y con resultados medibles desde la primera semana. Te contactamos en 24 horas laborables. [Documentación técnica](https://docs.ironchip.com) sales@ironchip.com --- # Plataforma de identidad sin contraseñas. > Autenticación sin contraseña y MFA por ubicación para toda la empresa: zonas seguras, ITDR, reglas dinámicas y un método para cada puesto, también sin móvil. URL: https://www.ironchip.com/identidad Producto · Identidad y accesos Cada acceso comprueba quién eres, con qué equipo entras y desde dónde. Sin contraseñas que filtrar ni códigos que interceptar, y encima del directorio y del IdP que tu equipo ya administra. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20Authentication#hs-demo-form) Ver los métodos _Evaluación de contexto en tiempo real._ ## Seis pilares sobre un mismo núcleo tecnológico. ### Inteligencia de localización Análisis del entorno electromagnético para determinar si el usuario está dentro de una zona segura. Detecta la suplantación de ubicación y bloquea accesos fuera de contexto. ### Identidad y acceso sin contraseñas Autenticación en el dispositivo (ordenador, móvil, USB, smartcard) con protocolos estándar para integrarse en los sistemas existentes. ### Detección de fraude por comportamiento Monitorización de comportamiento, análisis de transacciones y correlación de ubicaciones para identificar anomalías en tiempo real. ### Seguridad avanzada y cumplimiento Autenticación mutua, cifrado y auditoría alineados con PSD2, DORA, NIS2 y ENS. ### Centralización de la identidad Usuarios, dispositivos, políticas y monitorización en una sola consola, integrando Active Directory, Entra ID, Google Cloud Identity o LDAP. ### Facilidad y usabilidad Integración sencilla, incluso sin agentes. Despliegue on-premise, en nube o híbrido, y mantenimiento mínimo. ## Qué comprueba cada método, puesto por puesto. La misma política sirve para el que lleva móvil, el que comparte terminal en planta y el proveedor que entra una vez al mes. | Método | Para quién | Cómo se verifica | Ubicación | |---|---|---|---| | App móvil | Plantilla con teléfono propio o de empresa | Notificación en el móvil, huella o cara y la firma del lugar, en un solo toque | Con firma de ubicación | | App de escritorio | Oficinas donde el móvil no está permitido | Clave guardada en el propio ordenador más un código temporal | Con firma de ubicación | | Passkeys y FIDO2 | Servicios web y equipos con llave física | Credencial criptográfica que no viaja al servidor, con la biometría del equipo | Con firma de ubicación | | Reconocimiento facial | Puestos donde no se quiere tocar nada | La cámara del equipo o del móvil, ligada a ese dispositivo concreto | Con firma de ubicación | | Token USB | Salas limpias, planta y entornos sin biometría | La clave se parte entre el token y el equipo: hacen falta los dos | Con firma de ubicación | | Tarjeta NFC / RFID | Turnos y terminales compartidos | La misma tarjeta de fichar, acercada a un lector | Con firma de ubicación | | Magic Link / SMS | Colaboradores que entran de forma puntual | Enlace o código que caduca tras un uso | Ubicación opcional | | Sin agentes | Servidores y equipos que no admiten instalaciones | La red de origen y la credencial que ya usaban, evaluadas en el servidor | Con firma de ubicación | Geofencing corporativo ### Una sede, un CPD o una casa: cada zona con su nivel de exigencia Las zonas se agrupan en políticas y cada política se asigna a aplicaciones, grupos o recursos. Quien administra decide qué se puede hacer dentro y qué pasa fuera. - Edificios completos o una sola planta, el centro de datos y los domicilios desde los que se teletrabaja. - Verificación estándar con señales de red o estricta con GPS y entorno electromagnético a la vez. - Válida para escritorios remotos, servidores por SSH y aplicaciones web por igual. - En Premium, además, los lugares habituales de cada persona se aprenden solos. ITDR en cada acceso ### La credencial correcta desde el sitio equivocado ya es una alerta Autenticar resuelve el primer segundo. El ITDR de Ironchip puntúa cada intento de acceso con su contexto (lugar, red, dispositivo y comportamiento) y responde en caliente, antes de que una identidad comprometida se convierta en un incidente. - **Riesgo por cada acceso**: Limpio, sospechoso o fraude, con la puntuación que lo justifica - **Ubicación y red**: Coordenadas, IP, VPN, TOR, proxy y los lugares habituales del usuario - **Integridad del dispositivo**: Root, jailbreak, emulador, depuración activa y malware detectado - **Respuesta y SIEM**: Bloqueo automático, alerta al administrador y evento correlacionable ## Más allá del navegador: el equipo, la red y tus propias aplicaciones. La misma política protege el inicio de sesión del ordenador, la VPN y las aplicaciones que habéis desarrollado vosotros, no solo el portal web. _Ejemplo de inicio de sesión de Windows protegido con Ironchip._ **Inicio de sesión del equipo**: Segundo factor al encender el ordenador en Windows, Linux y macOS. En Windows, también sin contraseña con certificados sobre Kerberos. **Autenticadores de escritorio**: El autenticador de Ironchip para Windows, Linux y macOS, y el lector RFID para puestos compartidos. **VPN y acceso a red**: RADIUS y NPS, también sin contraseña, LDAP y ADFS: el mismo control para la VPN, el wifi corporativo y la electrónica de red. **Aplicaciones propias**: Claves de API y MFA por HTTP para añadir la verificación de Ironchip a cualquier aplicación interna. **La contraseña del directorio, como un factor más**: Se comprueba en el momento contra Active Directory o LDAP y se combina con el resto, para migrar sin cortes. **Recuperación de cuenta**: Si alguien pierde o cambia el móvil o la llave FIDO2, recupera el acceso sin que soporte tenga que resetear nada a mano. ## Reglas dinámicas: tú decides qué es una amenaza. El administrador define qué cuenta como amenaza, cuánto pesa y qué pasa cuando se detecta. Sin tocar código y sin esperar a una versión nueva. **Condiciones combinables**: Varias condiciones y grupos sobre red, dispositivo, ubicación y comportamiento. **Riesgo graduable**: De Clear 0 a Fraude 100. El acceso toma el riesgo más alto, nunca la suma. **Acción automática**: Denegar en caliente y, si procede, bloquear al usuario hasta que alguien lo revise. **Informe para el analista**: Categoría, etiqueta y la frase que leerá quien investigue el evento. **Ruleset**: 8 de 8 reglas activas · Toda la compañía Añadir detección | Regla | Detecta | Riesgo | Acción | |---|---|---|---| | Red Tor | la conexión llega desde la red Tor | Fraude · 100 | Denegar | | IPs en países distintos | las conexiones vienen de países diferentes | Alto · 50 | Factor adicional | | Red VPN | la conexión pasa por una VPN, un proxy o un hosting | Bajo · 10 | Registrar | | Dispositivo manipulado | el teléfono tiene root o jailbreak | Fraude · 100 | Denegar | | Dispositivo conocido | el teléfono ya está registrado para el usuario | Clear · 0 | Permitir | | Ubicación habitual | al menos 10 operaciones previas desde este lugar | Clear · 0 | Permitir | | En llamada | el usuario está en una llamada telefónica | Alto · 50 | Factor adicional | | GPS falseado | la ubicación está siendo manipulada | Fraude · 100 | Denegar | Ejemplo de ruleset en la consola de Ironchip. Reglas ilimitadas y personalizables por compañía; motor adaptativo y capacidad forense en la edición Premium. Regla · Acceso desde red anónima fuera de zona - Red es VPN, TOR o proxy - y ubicación fuera de las zonas del usuario - y aplicación con nivel crítico Riesgo **85 · Sospechoso** **Acción**: Denegar el acceso y bloquear al usuario. **Informe**: «Acceso crítico desde red anónima y lugar no habitual». Regla · Dispositivo nuevo fuera de horario - Dispositivo no registrado para el usuario - y acceso entre las 22:00 y las 06:00 - y ubicación dentro de la zona habitual Riesgo **40 · Medio** **Acción**: Pedir un factor adicional y avisar al administrador. **Informe**: «Primer acceso desde un dispositivo nuevo fuera del horario habitual». Dos reglas creadas desde el editor con las mismas piezas: condiciones, riesgo, acción e informe. ### Y cuando salta una alerta **Feed de amenazas en tiempo real**: Intentos confirmados y sospechosos, con VPN, Tor, redes de hosting y malware ya identificados. **Investigación y casos**: Análisis forense del acceso y gestor de casos para seguir cada incidente hasta cerrarlo. **Comportamiento explicado**: Por qué un usuario o un dispositivo se considera sospechoso, contado en lenguaje natural, y reglas recomendadas a partir de la actividad de tu organización. Caso de uso · Terceros y proveedores ### El proveedor entra a tu infraestructura crítica. Sabes quién es, desde dónde y hasta cuándo. Mantenimiento, integradores, soporte remoto, consultoras: los terceros son hoy la puerta de entrada más habitual. Usan sus propios equipos, no tienen móvil corporativo y sus cuentas se quedan activas cuando termina el contrato. NIS2 y DORA ya exigen controlar ese riesgo de cadena de suministro. - **Sin instalar nada en su equipo.** Magic Link de un solo uso, SMS o acceso sin agentes. - **Solo desde donde debe estar.** Su oficina o tu planta como zona segura; una credencial robada no sirve desde otro lugar. - **Acceso con fecha de caducidad.** Permisos por recurso y ventana de tiempo; al terminar, se cierra solo. - **RDP, SSH y VPN también.** La política cubre servidores y OT, no solo aplicaciones web. - **Cada acción, nominativa.** Nada de cuentas compartidas: cada técnico con su identidad y su evento en el SIEM. - **Evidencia para auditoría.** Quién entró, desde dónde, a qué y cuánto tiempo, listo para NIS2, DORA, ENS e ISO 27001. Caso de uso · Tarjeta NFC / RFID ### Planta industrial o planta de hospital: turnos, puestos compartidos y ningún móvil. En fábrica y en planta hospitalaria no hay móvil corporativo, los guantes impiden la biometría y tres turnos comparten el mismo terminal. La contraseña acaba en un pósit y nadie sabe quién hizo qué. - **La tarjeta que ya llevan**: La credencial del control de accesos sirve para entrar al sistema: acercarla al lector es el gesto completo - **La planta es la zona segura**: Una tarjeta perdida o clonada no vale fuera del recinto - **Trazabilidad por persona**: Cada acceso con su usuario nominativo, aunque el terminal sea compartido El mismo patrón resuelve retail, logística y atención al público. Cuando tampoco hay lector, el token USB con clave partida entre equipo y usuario cubre el escenario. ## Se conecta al directorio que ya tienes y a las aplicaciones que ya usas. Altas, bajas y cambios de rol llegan desde tu directorio sin pasos manuales. Se despliega en tus servidores, en la nube o en ambos, y puede proteger equipos en los que no se instala nada. | Fuente de identidad | Mecanismo | Qué resuelve | |---|---|---| | Active Directory on-premise | ADConnect | Integración segura y automática del directorio local, con sincronización en tiempo real | | Entra ID / Azure AD | SCIM | Aprovisionamiento y desaprovisionamiento inmediato desde el IdP cloud | | Google Cloud Identity | SCIM / OIDC | Identidad unificada para organizaciones con stack Google | | Usuarios locales | Importación CSV | Altas puntuales, colectivos sin directorio y terceros | | Aplicaciones y servicios | OIDC, SAML, RADIUS, SDK | Más de 5.000 aplicaciones empresariales, servicios cloud y herramientas de productividad; también RDP y SSH | ## Pensada para quien la administra cada día. **Varias organizaciones a la vez**: Varios Entra ID en la misma organización y una consola de partner para gestionar empresas cliente con sus licencias. **Permisos por rol**: Cada administrador ve y cambia solo lo suyo, y la consola puede limitarse a las IP de tu red. **Registro y métricas**: Cada autenticación y cada cambio, con métricas de uso y envío de eventos al SIEM. **Políticas reutilizables**: Políticas de dispositivo, de zona segura y de contraseña que se combinan por aplicación y grupo. ## Basic, Enterprise y Premium. Cada paquete incluye el anterior. Son un punto de partida: cualquier módulo se puede activar y configurar para tu organización. | Módulo | Basic | Enterprise | Premium | |---|---|---|---| | **Autenticación** | | | | | App Ironchip sin contraseña, con ubicación | Incluido | Incluido | Incluido | | SMS, email y magic link | Incluido | Incluido | Incluido | | Códigos OTP | Incluido | Incluido | Incluido | | Llaves FIDO2 y passkeys | Incluido | Incluido | Incluido | | Recuperación de cuenta | Incluido | Incluido | Incluido | | Reconocimiento facial | No incluido | Incluido | Incluido | | Contraseña de directorio como factor | No incluido | Incluido | Incluido | | Llaves USB y tarjetas RFID | No incluido | Incluido | Incluido | | Zonas seguras | No incluido | Incluido | Incluido | | Políticas de acceso | Incluido | Incluido | Incluido | | **Integraciones** | | | | | SSO con OIDC y SAML | Incluido | Incluido | Incluido | | Inicio de sesión en Windows, Linux y macOS | Incluido | Incluido | Incluido | | Autenticadores de escritorio y RFID | No incluido | Incluido | Incluido | | RADIUS, LDAP y ADFS | No incluido | Incluido | Incluido | | API y MFA por HTTP | No incluido | Incluido | Incluido | | **Directorio y operación** | | | | | Usuarios, grupos y dispositivos | Incluido | Incluido | Incluido | | Aprovisionamiento desde Entra ID, SCIM y AD Connect | No incluido | Incluido | Incluido | | Multiorganización y consola de partner | No incluido | Incluido | Incluido | | Roles, lista blanca de IP y marca propia | Incluido | Incluido | Incluido | | Registro y métricas | Incluido | Incluido | Incluido | | Envío al SIEM | No incluido | Incluido | Incluido | | **Detección y respuesta (ITDR)** | | | | | Feed de amenazas y fraude de identidad | No incluido | No incluido | Incluido | | Editor de reglas | No incluido | No incluido | Incluido | | Investigación forense y casos | No incluido | No incluido | Incluido | | Comportamiento explicado y reglas recomendadas | No incluido | No incluido | Incluido | | **Otros productos** | | | | | Phishing Shield | No incluido | No incluido | Incluido | | Acceso privilegiado (PAM) | No incluido | No incluido | Incluido | Licencia por usuario nominativo: una persona puede tener varios alias, dispositivos y aplicaciones sin contar como usuario adicional. Premium incluye soporte 24/7 dedicado. ## Preguntas frecuentes sobre la plataforma de identidad ### ¿Qué es la autenticación sin contraseña? Es entrar en una aplicación sin escribir una contraseña: la identidad se demuestra con algo que la persona tiene, como su móvil, una tarjeta o un token, y con un gesto o su biometría. Así no hay contraseña que robar, reutilizar o capturar con phishing. Ironchip añade el lugar: además del dispositivo, comprueba que el acceso llega desde una zona segura de esa persona. ### ¿Cómo pongo MFA en puestos donde no hay móvil corporativo? Con un método que no dependa del teléfono: tarjeta NFC o RFID en un lector, token USB con la clave partida entre el token y el equipo, o el autenticador de escritorio de Ironchip. Los tres pueden exigir además que el acceso se haga desde la zona segura del puesto. ### ¿Qué pasa si roban la contraseña o la passkey de un empleado? Que no le sirve al atacante. Además de la credencial, el acceso exige el dispositivo registrado y, si la política lo pide, que la firma radioeléctrica del lugar coincida con una zona segura. Una credencial válida usada desde otro sitio se bloquea y genera una alerta. ### ¿Ironchip sustituye a mi proveedor de identidad? No hace falta. Ironchip se conecta a Active Directory, Entra ID, Google Cloud Identity o LDAP como fuente de usuarios y protege las aplicaciones por OIDC, SAML, RADIUS o su API. Puede funcionar como IdP o añadir su verificación al que ya usáis. ### ¿La ubicación de los empleados queda registrada? No se guardan coordenadas ni un historial de movimientos. La firma de un lugar es anónima, no se puede convertir en una dirección y solo se compara en el momento del acceso. ### ¿Ayuda a cumplir ENS, NIS2 y DORA? Sí. Ironchip está en el catálogo CPSTIC del CCN con nivel ALTO, tiene la certificación LINCE y la del ENS en categoría alta, y registra quién accede, desde dónde y con qué dispositivo, con la evidencia que piden las auditorías. ## Empieza por una aplicación crítica y un grupo de usuarios. Sin sustituir tus sistemas actuales y con resultados medibles desde la primera semana. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20Authentication#hs-demo-form) [Documentación técnica](https://docs.ironchip.com) --- # Cada operación fraudulenta llega desde algún sitio. > Plataforma antifraude para banca y fintech: account takeover, money mule, SIM swapping, fraude autorizado y malware en sesión. SDK móvil y web y API HTTP. URL: https://www.ironchip.com/fraude Plataforma de detección de fraude Ironchip puntúa cada alta, login y transferencia según el lugar, el terminal y el comportamiento, y retiene las que no encajan. Para banca y fintech, sin un paso más para el cliente que opera desde donde siempre. [Hablar con un experto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20AntiFraud#hs-demo-form) Ver una evaluación _Operaciones puntuadas en tiempo real._ ## La operación legítima se repite en los mismos lugares. Cada operación del cliente deja un punto. Nuestra tecnología aprende sus lugares habituales y puntúa cada nueva operación contra ellos: el punto que no encaja es el que se retiene. ### Un motor de reglas que habla el idioma de tu equipo de fraude. Cada operación recibe una puntuación según de dónde llega, con qué dispositivo y cómo se comporta. Las reglas son de la entidad: se crean y se ajustan desde la consola, sin esperar a un despliegue. - Operación originada en un país de la lista GAFI. - Red anónima: TOR, VPN comercial o proxy residencial. - Discrepancia entre la firma radioeléctrica, el GPS y el país de la SIM. - GPS falseado o un desplazamiento imposible entre dos operaciones. - Proveedor de acceso de alto riesgo o dirección IP en lista negra. - Lugar desde el que ya se confirmaron ataques anteriores. - Aplicaciones maliciosas conocidas en el terminal. - Un depurador enganchado a la app mientras se opera. - Sistema modificado: root, jailbreak o emulador. - Terminal en lista negra o modelo habitual en campañas de fraude. - Sistema operativo sin parches de seguridad recientes. - Itinerancia que no casa con los viajes del cliente. - eSIM virtual activada justo antes de operar. - El idioma del sistema cambia sin que cambien el terminal ni el lugar. - Transferencia ordenada mientras hay una llamada en curso o un desvío activo. - Un mismo terminal operando para más de tres clientes. - Ráfagas de conexiones en ventanas de pocos minutos. - Secuencias que calcan campañas ya identificadas. Se puntúan el alta, el login, el KYC, cada transferencia y cualquier cambio de datos o de configuración de la cuenta. ## Anatomía de una evaluación, de la señal a la decisión. Cada operación pasa por tres fases en milisegundos. Este es un informe real del motor, con los identificadores cambiados. 1. **Recoger**: El SDK lee el entorno del terminal en el momento de operar: posición GPS, red, operador, modelo y sistema, idioma y estado de la app. 2. **Entender**: El motor contrasta la posición GPS con la firma radioeléctrica y con la IP, y la pone junto al historial del cliente: cuántas veces ha operado, desde dónde, con qué terminal y con qué red. 3. **Interceptar**: Cada familia de fraude suma su puntuación, el resultado se explica en una frase y tu sistema decide: dejar pasar, pedir otro factor o retener. **Transferencia**: Banca móvil · 10:42:18 Recoger - Terminal **Android 14 · Samsung** - Red **4G · IP 203.0.113.45** - GPS **± 12 m** Entender - Firma radioeléctrica **Zona habitual del cliente** - GPS **Coincide** - IP **Madrid · VPN de hosting** - Cliente **312 operaciones · visto ayer** - Terminal **Nuevo para este cliente** - Llamada en curso **Sí** - App instalada **Control remoto conocida** Interceptar - Toma de cuenta **70** - Manipulación **110** - Blanqueo **0** - Alta fraudulenta **0** «Vishing con terminal nuevo: el cliente está en una llamada y opera desde un dispositivo que nunca había usado, con una app de control remoto instalada». ## Cada tipo de fraude, con su propia puntuación. El motor no da un número opaco: separa el riesgo por familias para que tu equipo sepa qué está pasando y actúe en consecuencia. ### Toma de cuenta (account takeover) Alguien que no es el cliente opera con su sesión o le convence para que opere él. - Vishing: operación durante una llamada, con terminal o contexto nuevos. - Phishing: un cliente conocido estrena un terminal que ya han usado otros. - Viaje imposible y país o terminal nunca vistos. [Cómo se previene el account takeover](https://www.ironchip.com/account-takeover) ### Altas fraudulentas Cuentas abiertas para defraudar desde el primer día. - Identidades sintéticas: un usuario nuevo sobre un terminal o un lugar ya conocidos. - Cuentas nuevas sobre un terminal que ya usan otros clientes. ### Blanqueo y mulas Cuentas que mueven dinero que no es suyo. - Clientes que operan desde lugares o contextos asociados a mulas. - Usuarios nuevos que aparecen en esos mismos lugares. - Lugares asociados a evasión fiscal. ### Manipulación El terminal o la red mienten sobre quién y dónde. - Root, emulador, navegador automatizado, app depurada o malware. - GPS falseado, TOR, VPN, proxy, hosting, relay y SIM enmascarada. ### Listas y reincidencia Lo que ya se sabe, aplicado sin esperar. - Países de las listas negra y gris del GAFI. - Listas de bloqueo propias de la entidad. - Cuando tu equipo confirma un fraude, su terminal, su red y su lugar quedan marcados. ### Operar solo desde donde toca Para operativas que solo deben hacerse desde una oficina, una sucursal o una agencia. - Operación fuera de la oficina asignada. - Usuario que no figura en la lista de la agencia. - Posición que no se puede garantizar con los datos recibidos. ## Defensa activa durante la sesión. Detectar indicadores de compromiso mientras se valida la identidad, no solo antes. Y seguir el rastro de las campañas que suplantan a la entidad. Antimalware en tiempo real ### Lo que el malware hace cuando el cliente ya está dentro. - **Overlays:** pantallas falsas superpuestas para robar credenciales y 2FA. - **RATs:** AnyDesk o TeamViewer ocultos operando en nombre del usuario. - **Keyloggers:** captura de PIN, tarjetas y claves privadas. - **SIM swapping** y sniffers de SMS de confirmación. - **Inyección y hooking:** cambio del IBAN destino en el último segundo. Antiphishing y smishing ### Escaneo continuo de internet para localizar los sites que suplantan a la entidad. - Análisis de vulnerabilidades de la infraestructura del atacante. - Captura en tiempo real de las credenciales que intentan robar. - Notificación inmediata para bloquear accesos y restablecer claves. - Detección de tarjetas comprometidas. - Rastreo de los canales donde se centraliza la información robada. ## Hecho para el día a día del equipo de fraude. Menos tiempo descifrando alertas, más tiempo resolviendo casos. **Gestor de casos y forense**: Cada caso con su terminal, su ubicación y su cronología, conservado hasta 24 meses y exportable como evidencia. **El porqué, en una frase**: Cada operación marcada llega explicada en lenguaje natural, sin tener que leer reglas ni puntuaciones. **Menos falsos positivos**: La plataforma revisa el histórico por lotes y propone ajustes a las reglas que más ruido generan. **Reglas propuestas, nunca impuestas**: Ante un patrón nuevo, la plataforma propone la regla y el analista la acepta, la edita o la descarta. ## Se integra en tu app y en tu motor de decisión, sin cambiar ninguno. 1. **Datasource SDK en tu app**: Librería para iOS, Android y JavaScript. Lee las señales cuando el cliente opera, sin pantallas nuevas ni permisos extra que expliquen tus clientes. 2. **Fraud Detection API desde tu backend**: Con el identificador de la operación pides el informe por HTTP, o lo recibes por webhook o WebSocket en cuanto está listo. 3. **Tu motor decide**: La puntuación y la familia de fraude entran en el BPM, el SIEM o el gestor de casos que ya usáis, con las reglas que ya tenéis. Respuesta de la Fraud Detection API (extracto) ``` "intercept": { "score": 180, "account_takeover": { "score": 70, "kind": "Vishing: New device" }, "tampering": { "score": 110, "kind": "Network: VPN" }, "money_laundering": { "score": 0 }, "explanation": "The user is on call and trying to make a transaction with a new device" } ``` Caso de éxito · Abanca ### Abanca detecta mulas y duplicados de SIM sin añadir un solo paso al cliente. La entidad integró el Datasource SDK en su app y la Fraud Detection API en su motor de decisión. El cliente no nota nada; el equipo de fraude ve, por fin, desde dónde opera cada uno. [Leer el caso completo](https://www.ironchip.com/casos/abanca) ## Preguntas frecuentes sobre la detección de fraude ### ¿Cómo se previene el account takeover? Comprobando, en cada login, alta de beneficiario y transferencia, que la operación llega desde los lugares habituales del cliente, con su terminal y con su forma de operar. Un terminal o un país nunca vistos, un viaje imposible o una operación durante una llamada suben la puntuación de toma de cuenta y la operación pide otro factor o se retiene. [Guía completa de account takeover](https://www.ironchip.com/account-takeover). ### ¿Cómo se detecta una cuenta mula? Por el lugar y el contexto desde los que opera. El motor marca a los clientes que operan desde lugares o contextos ya asociados a mulas, y a los usuarios nuevos que aparecen en esos mismos lugares, aunque cada operación por separado parezca normal. ### ¿Cómo se frena el vishing y el fraude autorizado? Detectando las condiciones en las que ocurre: una transferencia ordenada durante una llamada en curso, desde un terminal o un contexto nuevos, o con una aplicación de control remoto instalada. Con esas señales la operación se retiene antes de que el dinero salga. ### ¿Cómo se detecta un SIM swapping? Comparando la SIM y el operador con la ubicación real del terminal. Un cambio de operador o de país de la SIM que no encaja con la firma radioeléctrica del lugar, o que coincide con un cambio de red, salta como señal de riesgo. ### ¿Añade pasos o fricción al cliente final? No. El SDK lee las señales en segundo plano mientras el cliente opera, sin pantallas nuevas. Solo las operaciones de riesgo reciben un factor adicional o se retienen; el resto pasa como siempre. ### ¿Cómo se integra con nuestro motor de decisión? El Datasource SDK se integra en la app iOS, Android o web, y vuestro backend pide el informe de cada operación a la Fraud Detection API por HTTP, o lo recibe por webhook o WebSocket. La puntuación y el tipo de fraude entran en vuestras reglas actuales. ## Analicemos tus casos de fraude con datos reales. Un especialista revisa tus escenarios antes de la llamada y te enseñamos la plataforma sobre tus propias operaciones. [Hablar con un experto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20AntiFraud#hs-demo-form) [Documentación del SDK](https://docs.ironchip.com) --- # Prevención de account takeover en banca y fintech. > Cómo detectar y frenar el account takeover en banca y fintech: phishing, vishing, SIM swapping y malware, por ubicación, terminal y comportamiento. URL: https://www.ironchip.com/account-takeover Detección de fraude · Account takeover El account takeover, o toma de cuenta, es cuando alguien que no es el cliente opera con su sesión, o le convence para que opere él. Ironchip lo detecta por el lugar, el terminal y el comportamiento de cada operación, sin añadir pasos al cliente que opera desde donde siempre. [Hablar con un experto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20AntiFraud#hs-demo-form) [Ver la plataforma de fraude](https://www.ironchip.com/fraude) _Operaciones puntuadas en tiempo real._ ## Por qué la contraseña y el código por SMS no bastan. En una toma de cuenta el atacante ya tiene lo que la entidad pide: la contraseña, el código de un solo uso o incluso la sesión abierta. Por eso los controles que solo comprueban credenciales no la ven. Lo que no puede copiar es el contexto del cliente legítimo: desde dónde opera, con qué terminal y cómo lo hace. ### Phishing y robo de credenciales El atacante entra con la contraseña y el código que ha capturado. - Un cliente conocido estrena un terminal que ya han usado otros. - País o terminal nunca vistos y viaje imposible entre dos operaciones. ### Vishing y fraude autorizado Convencen al cliente por teléfono para que opere él. - Transferencia ordenada durante una llamada en curso o con un desvío activo. - Terminal o contexto nuevos, o una aplicación de control remoto instalada. ### SIM swapping Duplican la SIM del cliente para recibir sus códigos. - Cambio de operador o de país de la SIM que no encaja con la firma radioeléctrica del lugar. - eSIM virtual activada justo antes de operar. ### Malware y control remoto El cliente está dentro y otro maneja la sesión. - Aplicaciones maliciosas conocidas o un depurador enganchado a la app. - Sistema modificado: root, jailbreak o emulador. ## Dónde se evalúa y cómo responde. Se puntúan el alta, el login, el KYC, cada transferencia y cualquier cambio de datos o de configuración de la cuenta. La toma de cuenta tiene su propia puntuación, separada de las demás familias de fraude, y llega explicada en una frase. 1. **Recoger**: El SDK lee el entorno del terminal en el momento de operar: posición GPS, red, operador, modelo y sistema, idioma y estado de la app. 2. **Entender**: El motor contrasta la posición GPS con la firma radioeléctrica y con la IP, y la pone junto al historial del cliente: cuántas veces ha operado, desde dónde, con qué terminal y con qué red. 3. **Interceptar**: Tu sistema decide con la puntuación: dejar pasar, pedir otro factor o retener. El cliente que opera desde donde siempre no nota nada. ## Se integra en tu app y en tu motor de decisión. 1. **Datasource SDK en tu app**: Librería para iOS, Android y JavaScript. Lee las señales cuando el cliente opera, sin pantallas nuevas. 2. **Fraud Detection API desde tu backend**: Con el identificador de la operación pides el informe por HTTP, o lo recibes por webhook o WebSocket en cuanto está listo. 3. **Tu motor decide**: La puntuación de toma de cuenta entra en el BPM, el SIEM o el gestor de casos que ya usáis, con las reglas que ya tenéis. [Caso real: cómo Abanca frena mulas y duplicados de SIM desde su app](https://www.ironchip.com/casos/abanca) ## Preguntas frecuentes sobre el account takeover ### ¿Qué es el account takeover? Es la toma de control de la cuenta de un cliente por alguien que no es él. El atacante opera con la sesión del cliente, con sus credenciales robadas o convenciéndole para que haga él la operación, por ejemplo una transferencia o el alta de un beneficiario. ### ¿Por qué el código por SMS no evita el account takeover? Porque el atacante puede conseguir el código: se lo pide al propio cliente por teléfono, lo recibe con un duplicado de la SIM o lo captura una web de phishing que reenvía la sesión en tiempo real. El código demuestra que alguien lo tiene, no quién opera ni desde dónde. ### ¿Cómo detecta Ironchip una toma de cuenta? Comparando cada operación con el contexto habitual del cliente: sus lugares, su terminal, su red y su forma de operar. Un terminal o un país nunca vistos, un viaje imposible, una SIM que no encaja con la firma radioeléctrica del lugar o una transferencia durante una llamada suben la puntuación de toma de cuenta. ### ¿Añade pasos o fricción al cliente final? No. El SDK lee las señales en segundo plano mientras el cliente opera, sin pantallas nuevas. Solo las operaciones de riesgo reciben un factor adicional o se retienen; el resto pasa como siempre. ### ¿Cómo se integra con nuestro motor de decisión? El Datasource SDK se integra en la app iOS, Android o web, y vuestro backend pide el informe de cada operación a la Fraud Detection API por HTTP, o lo recibe por webhook o WebSocket. La puntuación y el tipo de fraude entran en vuestras reglas actuales. ## Analicemos tus casos de toma de cuenta con datos reales. Un especialista revisa tus escenarios antes de la llamada y te enseñamos la plataforma sobre tus propias operaciones. [Hablar con un experto](https://www.ironchip.com/solicitar-demo?producto=Location-Based%20AntiFraud#hs-demo-form) [Ver la plataforma de fraude](https://www.ironchip.com/fraude) --- # Acceso privilegiado sin una sola contraseña que compartir. > Sesiones privilegiadas Just-in-Time con identidad, dispositivo y ubicación verificados, aprobación en la conexión y grabación completa. URL: https://www.ironchip.com/pam Producto · Acceso privilegiado (PAM) Tus administradores y proveedores entran a servidores, bases de datos y Kubernetes cuando toca, con su identidad, desde su equipo y desde un lugar autorizado. Sin VPN, sin cuentas compartidas y con cada sesión grabada. Incluido en Ironchip Premium. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo?producto=PAM#hs-demo-form) Ver cómo funciona _Ejemplo de solicitud de acceso privilegiado pendiente de aprobación._ ## Lo que cambia para tu equipo desde el primer día. ### Auditorías con evidencia Cada sesión queda grabada con quién la pidió, quién la aprobó, desde dónde se conectó y qué ejecutó. Lo que piden ENS, NIS2 o DORA, sin capturas de pantalla. ### Proveedores sin cuentas compartidas El técnico externo entra con su identidad, a su máquina y en su ventana. Cuando termina, el acceso desaparece solo. ### Sin VPN ni puertos abiertos Ironchip Connect sale desde tu red hacia Ironchip. Tus servidores no se publican en internet, ni siquiera para nosotros. ### Una credencial robada no abre nada Sin el equipo registrado, sin el lugar autorizado y sin la aprobación, un usuario y una contraseña interceptados no sirven. ### Contraseñas que nadie conoce Se ponen al conectar y se cambian al salir. Nadie las teclea, nadie las copia y nadie se las lleva cuando cambia de empresa. ### Sobre lo que ya tienes El mismo directorio, la misma consola y los mismos factores con los que Ironchip ya protege tus aplicaciones. ## La bóveda protege el secreto. Nosotros lo apartamos del camino. Nadie teclea ni ve una credencial privilegiada. El acceso se decide en el momento, con contexto, y lo que el sistema necesita para conectar se guarda cifrado y se rota fuera del alcance de las personas. | | PAM tradicional | Ironchip PAM | |---|---|---| | Credenciales privilegiadas | Guardadas en bóveda, compartidas por check-out | Nadie las ve: el broker las pone al conectar y puede rotarlas después de cada sesión | | Privilegios | Permanentes o por check-out | Just-in-Time: una ventana aprobada que se cierra sola | | Acceso remoto | VPN + jump server | Navegador o tu propio cliente (ssh, psql, kubectl) con un ticket de un solo uso | | Si roban el login | Acceso a la bóveda y a todo lo que custodia | Sin el dispositivo, la zona segura y los factores del acceso, no abre | | Red | Puertos de entrada publicados o VPN | Solo salidas: Ironchip Connect abre el túnel desde dentro | | Despliegue | Proyecto de meses | Sobre el IdP, el directorio y la consola que ya tienes | ## Un único camino hasta cada máquina, y Ironchip decide en cada paso. La persona pide acceso en la consola y conecta con un ticket que solo sirve una vez. El broker retiene la conexión mientras Ironchip comprueba equipo, lugar, riesgo y aprobación; solo entonces pone la credencial y empieza a grabar. **Persona**: Navegador, o su propio cliente: ssh, psql, mysql, RDP, VNC, kubectl. Tu red **Consola de Ironchip**: Accesos, factores, aprobaciones, ubicación, riesgo y grabaciones. La misma consola de la plataforma. Ironchip **Broker de Ironchip PAM**: El único punto de entrada: retiene cada conexión, pone la credencial y graba la sesión. Ironchip **Almacén de secretos**: Credenciales y secretos cifrados, cada empresa en su propio espacio. El broker lee y no se queda copia. Ironchip **Tus máquinas**: Servidores, escritorios, bases de datos y Kubernetes. Con el agente de Ironchip, opcional, que solo abre conexiones salientes. Tu red 1. La persona pide acceso en la consola, en My access, con un motivo si la política lo exige. 2. Conecta con un ticket de un solo uso, desde el navegador o con su propio cliente. 3. El broker retiene la conexión y pregunta a Ironchip: acceso, factores, riesgo y aprobación. 4. Admitida, el broker lee la credencial del almacén. La persona nunca la ve. 5. Abre la sesión y la graba de principio a fin. 6. El agente informa y recibe reglas por HTTPS. Con Ironchip Connect, tu red no abre ningún puerto de entrada. SSH RDP VNC PostgreSQL MySQL Kubernetes Desde el navegador o con el cliente de siempre ## Aprobación justo a tiempo, en el momento que tú elijas. Nadie aprueba su propia solicitud ni la misma dos veces, y la ventana se cierra sola. La aprobación también vale como factor para tus aplicaciones SSO. Al solicitar · se aprueba una vez ### Una aprobación abre una ventana. - pide - aprueban - ventana abierta - conecta - conecta - conecta - se cierra sola Dentro de la ventana la persona entra cuantas veces quiera. Cada conexión sigue pasando por el broker y por la comprobación de factores y riesgo. Al conectar · cada conexión pregunta ### Cada conexión queda retenida hasta que deciden. - pide - conecta: retenida - aprueban esta conexión - entra - otra conexión: espera El aprobador ve a esta persona, desde esta dirección, ahora. Es el modo para las máquinas donde cada entrada cuenta. ## Cada sesión, con su historia completa. Pantalla, comandos y decisiones en una sola línea de tiempo. Se puede ver en directo, cortar en el momento y guardar como evidencia. En directo **prod-db-01** PostgreSQL · técnico externo · 00:42:18 Terminar sesión ``` $ psql -h prod-db-01 billing billing=# REINDEX TABLE invoices; REINDEX billing=# \q $ sudo systemctl restart billing-api ⏸ Retenido por Ironchip: requiere aprobación ✓ Aprobado por el responsable de sistemas ``` - 10:02 **Conexión admitida** Equipo, zona segura y riesgo correctos · aprobó el responsable de sistemas - 10:05 **Proceso iniciado** psql, detectado por el agente de la máquina - 10:31 **sudo retenido** systemctl restart billing-api, a la espera de aprobación - 10:33 **sudo aprobado** Queda registrado quién lo autorizó y por qué regla - 10:44 **Sesión cerrada** Grabación guardada · contraseña cambiada **Linux y macOS: cada sudo pregunta**: Se permite, se rechaza explicando el motivo o se retiene hasta que alguien lo aprueba. **Windows: solo los programas permitidos**: Reglas por programa aplicadas con AppLocker mientras dura la sesión, aunque lo renombren. **Supervisión en directo**: Quién está dentro, en qué máquina y desde dónde, con la opción de terminar la sesión al instante. ## Ironchip Connect: llegamos a tus máquinas sin abrir ni una puerta. Un conector ligero dentro de cada sitio abre un túnel cifrado de salida hacia Ironchip. Por ahí, y solo por ahí, llega el broker. **Tu sitio · Madrid** - servidor 10.0.0.5 - base de datos 10.0.0.8 Ironchip Connect Solo salida túnel WireGuard cifrado **Ironchip**: Broker de Ironchip PAM. Autoriza las redes de cada sitio. Solo salida su propio túnel, sin choques de IP **Otra empresa** - servidor 10.0.0.5 - escritorio 10.0.0.9 Ironchip Connect **Nada de entrada**: Tu red no publica ningún puerto. El conector solo abre conexiones salientes. **Tus rangos, sin conflictos**: Aunque otra empresa use las mismas direcciones privadas, cada sitio va por su propio camino. **Directo cuando se puede**: Si la red lo permite, el túnel va directo; si no, pasa por un relé sin perder el cifrado. ## El mismo almacén, también para aplicaciones y nubes. ### Aplicaciones y pipelines Compatible con la API de Vault: tu código y tu CI leen sus secretos de Ironchip sin cambiar una línea, con credenciales de base de datos que caducan solas. ### Contraseñas para personas Un gestor para lo que sí hay que conocer, como el router de una sede. Se comparte por grupos y cada vez que alguien la revela queda registrado. ### Consolas de AWS, Google Cloud y Azure Protegidas con el SSO de Ironchip y con credenciales temporales bajo demanda, en lugar de claves eternas repartidas por portátiles. ## Preguntas frecuentes sobre el acceso privilegiado ### ¿Qué significa un PAM sin contraseñas compartidas? Que las personas entran en servidores, bases de datos y Kubernetes sin conocer ni teclear la credencial. Ironchip la pone en el momento de conectar, puede cambiarla al terminar la sesión y nadie se la lleva al cambiar de empresa. ### ¿Cómo doy acceso a un proveedor externo sin VPN? El proveedor pide acceso a una máquina concreta, un responsable lo aprueba y entra desde el navegador o con su propio cliente durante una ventana de tiempo. La sesión se graba y el acceso se cierra solo al terminar la ventana. ### ¿Hay que abrir puertos en el firewall? No. Ironchip Connect se instala dentro de cada sitio y abre un túnel cifrado de salida hacia Ironchip. Los servidores no se publican en internet. ### ¿Se puede ver o cortar una sesión en directo? Sí. Las sesiones de terminal y de escritorio se graban completas, se pueden ver mientras ocurren y terminar al instante. Cada sudo o programa ejecutado queda en la misma línea de tiempo. ### ¿Qué sistemas cubre? SSH, RDP, VNC, PostgreSQL, MySQL y Kubernetes, desde el navegador o con los clientes habituales. El agente de Ironchip controla además qué comandos y programas se ejecutan en Linux, macOS y Windows. ## Empieza por tus 20 cuentas más críticas. Un piloto sobre los servidores y las cuentas que más te preocupan, con el IdP y el directorio que ya tienes. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo?producto=PAM#hs-demo-form) [Documentación técnica](https://docs.ironchip.com) --- # Frena el phishing antes de que ataque. > Protección del navegador con 12 motores de detección: clonado, AiTM, ClickFix, QR, secuestro de sesión y bypass de MFA. URL: https://www.ironchip.com/phishing-shield Phishing Shield · Protección del navegador Protección del navegador con 12 motores de detección. Detecta lo que los filtros de correo no ven: sin configuración y con despliegue inmediato. [Hablar con ventas](https://www.ironchip.com/solicitar-demo?producto=Phishing%20shield#hs-demo-form) Cómo funciona **99,8%** tasa de detección **<0,05%** falsos positivos **12** motores de detección ## Doce motores, cada uno para un ataque distinto. Cada motor detecta lo que los demás no ven. Juntos forman una defensa frente a los ataques de phishing más sofisticados, incluidos los que esquivan el MFA. ### Detección de clonado de contenido Analiza la estructura de la página, los elementos del DOM y el diseño visual para identificar páginas de login clonadas, incluso copias perfectas que esquivan los filtros por URL. Impulsado por una base de datos propia de confianza de dominios, con falsos positivos casi nulos. ### Typosquatting Detecta g00gle.com, mircosoft.com y miles de dominios parecidos en tiempo real. ### Detección de homoglifos Detecta trucos Unicode, como una «a» cirílica que se hace pasar por una «a» latina para robar credenciales. ### AiTM / proxy inverso Identifica kits Adversary-in-the-Middle: Tycoon2FA, EvilProxy, Sneaky2FA, Evilginx, Modlishka, Caffeine, Greatness. Analiza cabeceras, tiempos y patrones de recursos en tiempo real. ### Protección ClickFix Intercepta ataques de secuestro del portapapeles con normalización Unicode, decodificación base64 y detección de homoglifos. Bloquea PowerShell, curl e inyecciones de comandos maliciosas. ### Form hijacking Detecta cuando un formulario envía en secreto tus credenciales al servidor de un atacante mediante action URLs cross-origin. ### Phishing por QR Detecta ataques de quishing: códigos QR que llevan a páginas de robo de credenciales. ### Detección de ataques VNC Frena los ataques de pantalla compartida en tiempo real en los que el atacante te ve escribir. Detecta firmas noVNC y WebSocket en el DOM con heurística de reintento sobre MutationObserver. ### Protección contra secuestro de sesión Vigila de forma continua el robo de tokens incluso después de haber iniciado sesión con seguridad. Observa mutaciones de cookies y almacenamiento con puntuación de anomalías de contexto. ### Detección de bypass de MFA Alerta cuando un atacante intercepta tus códigos de doble factor en tránsito mediante relay de tokens AiTM. ### Inteligencia de amenazas Cruza una base de datos propia de más de un millón de dominios de confianza, feeds curados de URLs de phishing y más de 18.000 IPs maliciosas conocidas, actualizada de forma continua. ### Base de datos de phishing Bloquea los sitios de phishing conocidos antes de que tus empleados vean la página. Consulta en tiempo real los feeds agregados de PhishTank y OpenPhish. ## De la descarga a toda la plantilla protegida en menos de una hora. **Sin cambios de red**: Sin proxies ni descifrado TLS: el tráfico no sale del dispositivo. **Distribución automatizada**: Por GPO, Microsoft Intune o cualquier MDM, en minutos. **Chrome, Edge y Chromium**: Una extensión ligera sobre el navegador que ya usáis. **Cero fricción**: Funciona en segundo plano sin interrumpir la navegación. ## Preguntas frecuentes sobre Phishing Shield ### ¿Cómo protejo a la plantilla de páginas de login clonadas? Con una protección que actúe en el navegador, donde se ve la página. Phishing Shield analiza la estructura y el aspecto de cada página de acceso y la bloquea si es una copia, aunque la URL no esté en ninguna lista. ### ¿Sirve contra el phishing que se salta el MFA? Sí. Varios de sus motores detectan los kits que se colocan entre el usuario y el servicio para robar la sesión, el relay de códigos de doble factor y el robo de tokens después de iniciar sesión. ### ¿Hace falta cambiar la red o instalar un proxy? No. Es una extensión para Chrome, Edge y navegadores Chromium que trabaja en el propio equipo, sin proxies ni descifrado TLS. ### ¿Cómo se despliega en toda la empresa? Se distribuye por GPO, Microsoft Intune o cualquier MDM. Una plantilla completa puede quedar protegida en menos de una hora. ### ¿Qué ve el equipo de seguridad? Los intentos bloqueados y la actividad de la extensión llegan a la plataforma de Ironchip para su seguimiento. ## Protege a tu plantilla antes del próximo clic. Te enseñamos la extensión en vivo sobre un kit de phishing real y la desplegamos en un grupo piloto. [Hablar con ventas](https://www.ironchip.com/solicitar-demo?producto=Phishing%20shield#hs-demo-form) sales@ironchip.com --- # La huella radioeléctrica de cada lugar. > Autenticación basada en ubicación: cómo Ironchip convierte el entorno radioeléctrico de un lugar en una zona segura anónima, sin GPS ni datos personales. URL: https://www.ironchip.com/tecnologia MFA basado en ubicación · Location Intelligence Cada lugar tiene un entorno radioeléctrico propio: las redes WiFi y móviles que se ven desde ese punto, con su intensidad y su relación entre ellas. Ese patrón de ondas es tan característico como una huella, y es lo que Ironchip aprende. La huella no son coordenadas ni un dato personal. El GPS es una señal más, que el motor contrasta con ella y que detecta aunque se falsifique. Sobre esa huella se construye el MFA basado en ubicación de Ironchip. [Solicitar demo](https://www.ironchip.com/solicitar-demo) Qué escucha el dispositivo **2G a 5G** antenas visibles y su operador **WiFi** redes alrededor y red favorita **GPS e IP** solo como contraste **Latencia** tiempos de respuesta de red **ISP y SIM** proveedor y SIM realmente en uso **VPN, TOR, proxy** intentos de falsear el origen ## Un mismo punto, siempre las mismas señales. El dispositivo escucha el espectro que le rodea cada vez que el usuario opera. Un atacante puede robar una contraseña, clonar una SIM o falsear unas coordenadas, pero no puede reproducir el entorno electromagnético completo de un despacho concreto. ### 1. Captura En cada operación el SDK mide el espectro visible: antenas, WiFi, GPS, IP, latencias e ISP. La captura es pasiva y transparente para el usuario. ### 2. Modelado de la firma Nuestra tecnología agrupa las capturas repetidas de un mismo punto y las condensa en una firma anónima, sin coordenadas ni datos personales. ### 3. Comparación en cada acceso Cada nuevo acceso genera su propia captura y se mide contra la firma guardada. Si se parecen lo suficiente, el factor de ubicación se cumple; si no, el acceso no pasa. ### 4. Aprendizaje continuo El sistema aprende los lugares habituales de cada usuario y detecta anomalías geográficas, superando la limitación de las zonas estáticas. ## Qué escucha el dispositivo. Ninguna de estas señales identifica al usuario por sí sola. Es su combinación, y cómo varía, lo que describe un lugar. **Redes móviles**: Antenas 2G, 3G, 4G y 5G visibles y su operador. **WiFi del entorno**: Redes alrededor y red WiFi favorita del usuario. **GPS e IP**: Como señales de contraste, nunca como prueba única. **Latencias de red**: Geolocalización basada en tiempos de respuesta. **ISP y SIM nativa**: Proveedor contratado y SIM realmente en uso. **Suplantación**: Uso de VPN, TOR o proxy residencial para falsear el origen. ## Una zona segura no es un punto en un mapa. Es un lugar único y habitual para cada usuario, y muy difícil de falsificar. La confusión habitual es pensar que hablamos de geolocalización: no rastreamos a nadie. ### Sí es Una firma anónima del entorno radioeléctrico, vinculada a la clave del dispositivo. Un factor que detecta spoofing, VPN, TOR, SIM virtuales y viajes imposibles. ### No es Coordenadas GPS ni un histórico de movimientos del usuario. Información personal: de la firma no se puede deducir una calle ni un portal. ## La misma firma, en cada producto. [Identidad y accesos La zona segura se declara como política: sedes, plantas o domicilios de teletrabajo. Una credencial válida fuera de zona se bloquea. Ver la plataforma](https://www.ironchip.com/identidad) [Detección de fraude La zona se aprende sola a partir del comportamiento del cliente, y cada operación se puntúa contra ella en tiempo real. Ver la plataforma](https://www.ironchip.com/fraude) [Acceso privilegiado Las sesiones de administración solo se abren desde los lugares autorizados para administrar. Ver la plataforma](https://www.ironchip.com/pam) [Phishing Shield Cuando el usuario pincha y el MFA no basta, la protección en el navegador detiene el robo de credenciales y sesiones. Ver la solución](https://www.ironchip.com/phishing-shield) ## Preguntas frecuentes sobre la tecnología ### ¿Qué es la autenticación por ubicación? Es usar el lugar desde el que se accede como un factor más. Ironchip no depende de las coordenadas: compara la firma radioeléctrica del entorno, formada por las redes móviles y wifi visibles, con la de las zonas autorizadas. El GPS es una señal más, y el motor detecta cuándo se falsifica. ### ¿Funciona dentro de edificios, donde no llega el GPS? Sí. La firma se basa en las señales de redes móviles y wifi, que están presentes en interiores. El GPS se usa solo como contraste. ### ¿Se puede engañar con una VPN o un GPS falso? Es muy difícil. Para suplantar un lugar habría que reproducir su entorno electromagnético completo. Además, el motor detecta el GPS falseado, las VPN, TOR, los proxies y las incoherencias entre la IP, la SIM y la firma del lugar. ### ¿Qué datos se guardan del lugar? Una firma anónima del entorno radioeléctrico, vinculada a la clave del dispositivo. No se guardan direcciones ni un historial de movimientos, y la firma no se puede convertir en una ubicación concreta. ## Ver cómo se genera una zona segura con tus propios usuarios. Te enseñamos cómo queda la firma de tus oficinas, medida con tus propios equipos. [Solicitar demo](https://www.ironchip.com/solicitar-demo) [Documentación técnica](https://docs.ironchip.com) --- # Un caso de uso para cada forma de trabajar. > Empleados con móvil, con ordenador, puestos compartidos, proveedores, banca, sanidad, administración pública, turismo B2B y proveedores NIS2. URL: https://www.ironchip.com/casos-de-uso Casos de uso Quién accede, desde dónde y con qué cambia en cada organización. Estos son los escenarios que más vemos, con el problema concreto, cómo lo resuelve Ironchip y a quién aplica. ## Cuatro perfiles, una misma plataforma. 01 ### Empleados con teléfono móvil Autenticación sin contraseñas desde el smartphone **1 toque** para aprobar cada acceso, sin teclear códigos App móvil · push + biometría + ubicación #### El problema Los empleados acceden a Office 365, la VPN o el CRM desde su móvil a diario. El phishing y el SIM swapping interceptan OTPs y SMS, y sin control de localización cualquier acceso remoto puede ser fraudulento. #### Cómo lo resuelve Ironchip - Notificación push al intentar el acceso, aprobada con la biometría del dispositivo. - Verificación de la zona segura antes de conceder. - Altas, bajas y dispositivos gestionados desde una única consola. Comerciales Remoto e híbrido Técnicos de campo Directivos Atención al cliente 02 ### Empleados con ordenador Segundo factor en el escritorio, corporativo o propio **65%** reutiliza contraseñas entre sus cuentas (Google y Harris Poll, 2019) App de escritorio · Windows, Linux, macOS #### El problema El puesto de trabajo es el principal vector de ataque: contraseñas reutilizadas, ataques Man-in-the-Middle que roban tokens de sesión y teletrabajo desde equipos que IT no controla. #### Cómo lo resuelve Ironchip - La app de escritorio actúa como segundo factor, sin smartphone. - Factores ligados al dispositivo y a la ubicación, muy difíciles de suplantar. - Compatible con token USB y tarjeta NFC para acceso privilegiado. IT y soporte Desarrollo e ingeniería Finanzas RRHH Teletrabajo sin móvil corporativo 03 ### Puestos de trabajo compartidos Identidad individual en entornos multiusuario **100%** de adopción usando las tarjetas existentes Tarjeta NFC / RFID · token USB · token OTP #### El problema Varios empleados operan en el mismo terminal con la misma cuenta. La contraseña la conoce todo el turno, la rotación dispara el coste de IT y nadie puede auditar quién hizo cada operación. #### Cómo lo resuelve Ironchip - La tarjeta de fichaje que ya llevan sirve de MFA: acercarla al lector es todo el gesto. - Cada sesión queda vinculada a la persona, aunque el equipo sea compartido. - Tokens reutilizables entre usuarios, sin comprar móviles. Sanidad Industria y fábricas Retail y TPV Logística Administración pública 04 ### Acceso de proveedores externos Terceros sin app ni contraseñas **48%** de las brechas implica a un tercero (Verizon, DBIR 2026) Magic Link · acceso temporal · acceso privilegiado brokerizado #### El problema Consultoras, mantenimiento y partners acceden con cuentas temporales que nadie da de baja, desde equipos fuera de política y sin registro de lo que hacen dentro. #### Cómo lo resuelve Ironchip - Enlace de un solo uso, sin instalar nada ni crear contraseñas. - Acceso mínimo: solo a los recursos asignados y solo durante el proyecto. - Revocación instantánea y registro inmutable de cada sesión. Mantenimiento Auditores Consultoras Partners y distribuidores Autónomos ## Donde el acceso es un riesgo regulado. 05 ### Banca y fintech Fraude en canales digitales: money mule, SIM swapping y fraude autorizado **0 pasos** más para el cliente final que opera desde donde siempre Datasource SDK · Fraud Detection API #### El problema El fraude ya no necesita robar la contraseña: convence al cliente para que autorice la transferencia, duplica su SIM para recibir el SMS o usa su cuenta como mula. Con credenciales válidas, el banco no ve nada raro. #### Cómo lo resuelve Ironchip - Cada login, alta, transferencia o cambio de cuenta se puntúa por ubicación, dispositivo y comportamiento. - Antimalware en sesión: overlays, RATs como AnyDesk, keyloggers y cambio de IBAN en el último segundo. - Detección de VPN, SIM virtual, viajes imposibles y transferencias durante una llamada. [Caso real: cómo Abanca frena mulas y duplicados de SIM desde su app](https://www.ironchip.com/casos/abanca) 06 ### Sanidad Estrategia de Ciberseguridad del Sistema Nacional de Salud **54%** de las brechas en sanidad tiene un componente humano (Verizon, DBIR 2026) Tarjeta NFC del profesional · zona segura por centro #### El problema Terminales clínicos compartidos entre turnos, sesiones que se quedan abiertas y contraseñas en un pósit. La nueva normativa no solo exige proteger los datos: exige demostrar quién accedió a qué, cuándo y desde dónde. #### Cómo lo resuelve Ironchip - Acceso con tarjeta NFC del profesional, sin móvil en planta. - Trazabilidad individual de cada acceso a la historia clínica. - Ubicación del puesto como factor: fuera del centro, no abre. 07 ### Administración pública Cumplimiento ENS e ITDR **SIEM** cada acceso, correlacionado con el resto de eventos Passwordless en USB, tarjeta NFC, escritorio y móvil #### El problema Datos de ciudadanos y expedientes con recursos limitados y parques de equipos muy diversos. Y en los servicios al ciudadano, fraude industrializado: mulas, vishing e identidades sintéticas. #### Cómo lo resuelve Ironchip - Passwordless en USB, tarjeta NFC, escritorio y móvil, con nivel ALTO del CCN. - Detección de GPS manipulado, viajes imposibles y puntos calientes. - Detección de mulas, fraude autorizado y alta de identidades sintéticas. [Caso real: cómo Alcobendas puso un segundo factor conforme al ENS a toda su plantilla](https://www.ironchip.com/casos/alcobendas) 08 ### Turismo B2B Fraude por suplantación en plataformas de reservas **API** integración sobre la plataforma de reservas Fraud Detection API · identidad contextual por reserva #### El problema Los atacantes se hacen pasar por agencias legítimas para lanzar reservas falsas en turoperadores y plataformas B2B, con pérdida económica directa y daño reputacional. #### Cómo lo resuelve Ironchip - Identidad contextual en cada reserva: ubicación, dispositivo y comportamiento. - Bloqueo de proxies, VPN y GPS falseado antes de cerrar la transacción. - Capa vía API sobre la plataforma existente, sin frenar la operativa. 09 ### Proveedores de entidades NIS2 Cadena de suministro en sectores críticos **NIS2**: Directiva (UE) 2022/2555 MFA resistente a phishing · informes de acceso y trazabilidad #### El problema Si tu cliente es energía, banca, transporte, sanidad o agua, NIS2 le obliga a exigir seguridad a sus proveedores. Aunque no estés regulado, el requisito te llega por contrato. #### Cómo lo resuelve Ironchip - MFA resistente a phishing para todo el personal que toca sistemas del cliente. - Informes de acceso y trazabilidad listos para la auditoría del cliente. - Despliegue rápido sobre el IdP y el directorio existentes. ## Cuéntanos tu escenario y lo probamos con tus usuarios. Un piloto con un grupo de usuarios y una aplicación crítica, sobre tu IdP y tu directorio. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo) [Ver los casos de éxito](https://www.ironchip.com/#casos) --- # Abanca. Money mule y SIM swapping, detectados sin tocar la experiencia del cliente. > Abanca: la ubicación entra en el antifraude de la banca móvil. El antifraude por ubicación, en producción en una entidad gallega. URL: https://www.ironchip.com/casos/abanca Banca · España Abanca **+8.000** empleados Banca Sector Detección de fraude por comportamiento, ubicación y dispositivo Despliegue ## El reto Abanca se enfrentaba a una complejidad creciente del fraude bancario, con amenazas como money mule y SIM swapping difíciles de detectar con sistemas tradicionales. La falta de visibilidad sobre ubicación, dispositivo y comportamiento limitaba la identificación de anomalías en tiempo real y dificultaba distinguir accesos legítimos de fraudulentos en operaciones críticas. Había que reforzar la seguridad sin afectar a la experiencia del usuario. ## La solución Análisis continuo del comportamiento del usuario incorporando la ubicación y el dispositivo como factores de identidad. Cada operación se puntúa en tiempo real contra los lugares habituales del cliente y las reglas de la entidad, de forma transparente para el usuario final. - Plataforma de detección de fraude - Datasource SDK - Fraud Detection API ## Resultados **Detección de múltiples casos de fraude como money mule y SIM swapping.** **Identificación en tiempo real de accesos anómalos por comportamiento, ubicación y dispositivo.** **Mayor capacidad para diferenciar entre usuarios legítimos y actividades fraudulentas.** > Ironchip implementa su producto en un punto clave de la autenticación de forma sencilla y rentable, con una experiencia de usuario difícil de encontrar hoy en día. > > Fátima Cereijo, Fraud Control and Privacy Manager, Abanca ## Prueba el antifraude por ubicación en tu entidad. Sobre tus propias operaciones y con tu equipo de fraude, antes de tocar la app de tus clientes. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo) [Ver otros casos](https://www.ironchip.com/casos-de-uso) --- # Ayuntamiento de Alcobendas. MFA conforme al ENS para más de 1.000 empleados, con el móvil como llave. > Ayuntamiento de Alcobendas: segundo factor para toda una plantilla municipal, con el nivel que pide el ENS. La administración local que pasó a MFA sin quejas de la plantilla. URL: https://www.ironchip.com/casos/alcobendas Administración pública · España **Ayuntamiento de Alcobendas** **+1.000** empleados Administración Sector App móvil con monitorización en el SIEM Despliegue ## El reto Accesos críticos con múltiples usuarios y dispositivos, sin una visibilidad centralizada de quién entraba, desde dónde y con qué equipo, y con la obligación de cumplir el Esquema Nacional de Seguridad en el control de acceso y la trazabilidad. ## La solución Autenticación sin contraseñas con la app móvil de Ironchip, zonas seguras para las sedes municipales y envío de cada evento de acceso al SIEM del ayuntamiento para su correlación. - Identidad y accesos (IAM) - App móvil - Integración con SIEM ## Resultados **Detección temprana de accesos anómalos.** **Correlación de eventos en tiempo real.** **Respuesta automatizada ante sospechas.** > Solemos tener resistencia a los cambios por parte de los usuarios y, en este caso, está siendo muy bien aceptado dada la buena experiencia de usuario. > > José Luis Miguel, Responsable de Seguridad, Ayuntamiento de Alcobendas ## Lleva el ENS a toda tu plantilla. Empezamos por un departamento y una aplicación, y medimos la adopción desde el primer día. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo) [Ver otros casos](https://www.ironchip.com/casos-de-uso) --- # GHI Smart Furnaces. Identidad partida entre la persona y el equipo, sin depender del móvil. > GHI Smart Furnaces: una planta industrial sin móviles, protegida con token USB. MFA en planta con token físico y clave partida. URL: https://www.ironchip.com/casos/ghi Industria · España **GHI Smart Furnaces** **+200** empleados Industria Sector Identidad partida en token físico Despliegue ## El reto Proteger información sensible en equipos corporativos sin apoyarse en dispositivos móviles, en un entorno industrial donde no todos los puestos disponen de teléfono corporativo ni pueden usar la biometría. ## La solución Token USB con la clave partida entre el equipo y el usuario, de modo que ninguno de los dos sirve por separado, con la planta como zona segura y gestión centralizada desde la consola de Ironchip. - Identidad y accesos (IAM) - Token USB - Zonas seguras ## Resultados **Identidad repartida entre usuario y equipo.** **Más control y visibilidad para TI.** **Autenticación sin fricción diaria.** > Una alternativa notable que combina seguridad y simplicidad para autenticar con MFA en aplicaciones muy distintas. > > Edorta Guerrero, IT Systems Administrator, GHI Smart Furnaces ## Protege tu planta aunque no haya móviles. Token USB, tarjeta o escritorio: elegimos el método por puesto y lo probamos en una línea. [Solicitar un piloto](https://www.ironchip.com/solicitar-demo) [Ver otros casos](https://www.ironchip.com/casos-de-uso) --- # Lleva la identidad basada en ubicación a tus clientes. > Integradores y proveedores de servicios gestionados que despliegan la plataforma de identidad, fraude y acceso privilegiado de Ironchip en sus clientes. URL: https://www.ironchip.com/partners Programa de partners Para integradores, consultoras y proveedores de servicios gestionados que quieren ofrecer autenticación sin contraseñas, detección de fraude, acceso privilegiado y protección frente al phishing con un fabricante español certificado por el CCN. [Hablar con el equipo de canal](https://www.ironchip.com/solicitar-demo) [Portal de partners](https://docs.ironchip.com/partner-portal) - **Consola de partner**: Todas tus empresas cliente y sus licencias, en un solo sitio. - **CPSTIC nivel ALTO**: Producto cualificado para administración pública y sectores regulados. - **Cuatro productos, una plataforma**: Identidad, fraude, acceso privilegiado y Phishing Shield. ## Lo que tienes como partner. ### Gestión multicliente Una consola de partner para dar de alta empresas cliente, repartir licencias y administrar cada organización por separado, incluidas las que tienen varios Entra ID. ### Formación Cursos en Ironchip Academy para que tu equipo técnico despliegue y opere la plataforma con autonomía. ### Documentación y portal Documentación técnica completa y un portal de partners con los recursos para preventa e implantación. ### Apoyo en preventa Demos y pilotos conjuntos sobre el entorno de tu cliente, con su IdP, sus aplicaciones y sus riesgos reales. ### Un producto que abre puertas Certificación ENS en categoría alta, nivel ALTO en el catálogo CPSTIC, LINCE e ISO 27001 y 27701: argumentos que pesan en concursos y en sectores regulados. ### Fácil de integrar Se apoya en el directorio y las aplicaciones que el cliente ya tiene, con estándares abiertos y opción sin agentes. ## Para quién es el programa. **Integradores y consultoras**: Que implantan identidad, MFA y Zero Trust en empresa y administración pública. **Proveedores de servicios gestionados**: Que operan la seguridad de varios clientes y necesitan una consola multicliente. **Especialistas en banca y fintech**: Que integran antifraude en canales digitales y conocen el motor de decisión del cliente. ## Hablemos de tu cartera de clientes. Cuéntanos a qué clientes te diriges y preparamos contigo la primera demo conjunta. [Hablar con el equipo de canal](https://www.ironchip.com/solicitar-demo) sales@ironchip.com