En la era de la IA, una sola selfie o nota de voz basta como material de partida para crear un deepfake. Cada foto y cada vídeo que publicas alimenta silenciosamente una base de datos que los estafadores utilizan para clonar tu rostro y tu voz. Pero hay un dato biométrico que no pueden extraer de tus redes sociales: el que tienes en la yema de los dedos. Por eso, la biometría dactilar resiste los deepfakes y la suplantación biométrica de una forma que el reconocimiento facial cada vez es menos capaz de hacer.
Cómo los «deepfakes» burlan la biometría facial y vocal
El rostro y la voz son los datos biométricos más fáciles de obtener, ya que los difundimos constantemente. Bastan unos segundos de vídeo público para clonar una voz; unas pocas fotos bastan para generar un rostro sintético convincente. Los estafadores no necesitan acceder ilegalmente a una base de datos: simplemente recopilan lo que ya es de dominio público.
Esto convierte la verificación remota de rostro y voz en una superficie de ataque expuesta. El resultado es una categoría en rápido crecimiento de fraude de identidad impulsado por la IA, y todo un mercado de software de detección de deepfakes diseñado para detectarlo a posteriori. La detección ayuda, pero es una carrera contra generadores que mejoran cada mes. La solución más duradera consiste en verificar mediante un rasgo que, para empezar, no pueda ser falsificado mediante deepfakes. (Para profundizar en cómo los medios sintéticos se centran en la verificación, consulta cómo los deepfakes se centran en la verificación biométrica).
Huella dactilar frente al reconocimiento facial: lo que los estafadores no pueden robar
Esta es la diferencia clave. Tu rostro y tu voz se hacen públicos; tus huellas dactilares, no. No publicas huellas en alta resolución como si fueran selfies, por lo que no existe una base de datos pública que un atacante pueda rastrear ni un modelo con el que entrenar.
Para casi todo el mundo, las huellas dactilares son diez identificadores únicos, cada uno de los cuales refuerza la verificación en los servicios financieros, administrativos y cotidianos. Ya constituyen una base de confianza: las huellas dactilares sustentan los sistemas de identificación oficial y de pasaportes en todo el mundo. Para atacar uno de ellos, un estafador necesita acceso físico o una brecha en una base de datos segura, lo cual es mucho más difícil que generar un rostro sintético o una voz clonada a partir de contenido que ya se encuentra en Internet.
¿Qué es la suplantación biométrica y por qué las huellas dactilares son resistentes a ella?
La suplantación biométrica consiste en presentar un rasgo falso para engañar a un sistema: una foto impresa o una reproducción de pantalla en el caso del rostro, un vídeo «deepfake», un fragmento de audio clonado en el caso de la voz, o una huella copiada en el caso de las huellas dactilares. El esfuerzo que debe realizar el atacante varía enormemente según la modalidad. Un rostro o una voz pueden suplantarse de forma remota, a gran escala, a partir de datos públicos. Una huella dactilar solo puede falsificarse con un artefacto físico creado a partir de una huella que el atacante debe obtener previamente.
Además, la captura de huellas dactilares sin contacto se combina con la detección de vida —detección de ataques de presentación (PAD)—, que distingue un dedo real de uno falsificado. El mismo principio protege los sistemas faciales mediante la detección de vida facial, pero en el caso de las huellas dactilares, el vector de ataque remoto que aprovechan los deepfakes simplemente no existe.
Lector de huellas dactilares sin contacto integrado en el dispositivo: protección contra la suplantación de identidad incorporada de diseño
La tecnología de huellas dactilares sin contacto de Identy.io captura huellas nítidas y de alta calidad con nada más que la cámara estándar de un smartphone y el flash LED, sin necesidad de hardware específico ni contacto físico. Y lo más importante: procesa toda la información del usuario en el propio dispositivo de este. No existe un «honeypot» biométrico central que pueda ser objeto de una brecha de seguridad, y los usuarios mantienen el control total sobre sus datos personales.
La seguridad se valida, no se afirma: las soluciones de Identy.io cumplen con las normas del Instituto Nacional de Estándares y Tecnología (NIST) y con la norma ISO/IEC 30107-3 sobre la verificación de la vitalidad. Si está evaluando a los proveedores en cuanto a su resistencia a los ataques de presentación, nuestra guía para compradores sobre el nivel 2 de PAD de la norma ISO/IEC 30107-3 desglosa lo que realmente significa la certificación. Y, dado que el procesamiento se realiza en el propio dispositivo, la solución funciona con poca o ninguna conectividad, y se integra en una estructura más amplia de verificación de identidad contra los deepfakes.
La biometría al servicio del bien: una breve nota
La misma tecnología sin contacto que combate los «deepfakes» también protege a los más vulnerables. Gracias a colaboraciones como las de My Family ID y The Exodus Road, las fuerzas del orden pueden identificar a un menor desaparecido, a una persona mayor o a una víctima de la trata de personas —personas que a menudo se ven obligadas a utilizar documentos de identidad falsos o robados— utilizando únicamente un smartphone. Con más de 50 millones de personas víctimas de la explotación mediante la trata de personas, esto es muy importante. Tratamos este tema en profundidad en el artículo «Cómo la biometría combate la trata de personas».
El enfoque de Identy.io
Las huellas dactilares constituyen la base resistente a los «deepfakes» para una identidad digital segura: no se publican en Internet, son difíciles de falsificar físicamente y se pueden verificar mediante la detección de vida en cualquier smartphone. Identy.io captura datos de alta calidad directamente en el dispositivo, sin depender de infraestructuras de terceros ni del procesamiento en la nube, lo que reduce los costes y elimina la base de datos central a la que se dirigen los estafadores.
Si estás desarrollando un sistema de verificación que la IA no pueda falsificar, empieza por la biometría que nunca ha estado conectada a Internet. Descubre el SDK de huellas dactilares sin contacto o ponte en contacto con nuestro equipo.
Preguntas frecuentes
¿Se pueden falsificar las huellas dactilares mediante deepfake, igual que los rostros y las voces?
No. Los «deepfakes» se crean a partir de imágenes y audio recopilados en Internet, y rara vez se publican huellas dactilares de alta resolución de la misma forma en que se publican selfies y vídeos. Para falsificar una huella dactilar, un estafador necesita una copia física, lo cual es mucho más difícil que generar un rostro sintético o clonar una voz.
¿Qué es la suplantación biométrica y cómo la contrarrestan las huellas dactilares?
La suplantación biométrica consiste en presentar un rasgo falso —un rostro «deepfake», una voz clonada o una huella copiada— para engañar a un sistema. La captura de huellas dactilares sin contacto se combina con la detección de vida (detección de ataques de presentación), que distingue un dedo real de una suplantación, bloqueando así los ataques físicos que los «deepfakes» ni siquiera pueden intentar.
¿Es la autenticación mediante huella dactilar más segura que el reconocimiento facial?
Cada una tiene sus pros y sus contras, pero las huellas dactilares presentan una ventaja decisiva frente al fraude basado en la IA: no se publican en Internet, por lo que no pueden ser objeto de «deepfakes» a gran escala. En combinación con el procesamiento en el propio dispositivo y la verificación de vitalidad certificada por PAD, la biometría de huellas dactilares elimina la vulnerabilidad a los ataques remotos que dejan abierta la biometría facial y la de voz.
Referencias
- Organización Internacional del Trabajo (OIT), Walk Free y Organización Internacional para las Migraciones (OIM). Estimaciones mundiales sobre la esclavitud moderna: trabajo forzoso y matrimonio forzado (2022). ilo.org
- ISO/IEC. ISO/IEC 30107-3:2023 — Tecnología de la información — Detección de ataques de presentación biométrica — Parte 3: Ensayos y elaboración de informes. Organización Internacional de Normalización. iso.org
- Instituto Nacional de Estándares y Tecnología (NIST). Directrices sobre identidad digital (serie SP 800-63). Departamento de Comercio de EE. UU. pages.nist.gov
