Por Jesús Aragón, director ejecutivo y cofundador de Identy.io
Los servicios digitales han cambiado la forma en que las personas interactúan con las administraciones públicas, las entidades financieras y las empresas, pero la forma en que demostramos nuestra identidad en Internet no siempre ha avanzado al mismo ritmo. En muchos casos, la verificación de la identidad sigue consistiendo en hacer una foto de un documento de identidad físico, subirla a un servicio digital y asociarla a una imagen facial.
Cada vez que alguien envía una copia de un documento de identidad, puede estar revelando su nombre, dirección, fecha de nacimiento y número de identificación, incluso cuando solo sea necesario verificar una pequeña parte de esa información. Una vez compartida esa copia, las personas tampoco tienen un control claro sobre dónde se almacena ni cómo puede utilizarse.
Este modelo resulta cada vez más difícil de garantizar a medida que cambia el panorama del fraude. Los avances en inteligencia artificial facilitan la creación de documentos, imágenes y vídeos sintéticos muy convincentes, mientras que se pueden introducir nuevos métodos de ataque en el propio proceso de verificación de la identidad. Estos riesgos son cada vez más evidentes, ya que los intentos de fraude mediante «deepfakes» han aumentado más del 2.000 % en los últimos tres años. Las organizaciones deben ir más allá de la simple digitalización de los documentos de identificación existentes y plantearse cómo se puede verificar la identidad de forma segura desde el principio.
El fraude de identidad a distancia está cambiando
La seguridad biométrica tradicional se ha centrado principalmente en los ataques de presentación, en los que alguien intenta engañar a un sistema utilizando un objeto físico, como una máscara, una fotografía impresa o un vídeo reproducido. Sin embargo, el fraude mediante deepfakes puede afectar a los sistemas de identificación de diferentes maneras.
En un ataque de presentación, se puede mostrar contenido manipulado a la cámara, como un «deepfake» que se visualiza en otra pantalla. En un ataque de inyección, el contenido manipulado o pregrabado se introduce directamente en el proceso de verificación de identidad, eludiendo la captura habitual de la cámara. Un sistema que se centre únicamente en determinar si una presentación física es auténtica puede pasar por alto ataques dirigidos a otras partes del proceso de verificación.
Dado que la inteligencia artificial facilita la imitación del aspecto físico de una persona, las organizaciones necesitan medidas de protección adicionales en torno al proceso de captura. La biometría multimodal, la detección pasiva de vida, la detección de ataques de presentación e inyección, los controles de captura y la verificación biométrica contribuyen a determinar si la persona que se registra de forma remota es quien dice ser.
Las pruebas independientes también son fundamentales para comprender cómo se comportan estos sistemas ante ataques reales. En el DHS Remote Identity Validation Rally (DHS RIVR) de 2025, Identy.io logró un 0 % de aceptación de ataques en todas las clases de ataques de presentación evaluadas, al tiempo que obtuvo la puntuación más alta en satisfacción de los usuarios.
Por qué es importante la biometría multimodal
El reconocimiento facial sigue siendo una herramienta importante para la verificación de identidad a distancia, ya que es intuitivo y está disponible en la mayoría de los smartphones modernos. Las imágenes faciales se pueden encontrar fácilmente en Internet, lo que supone un punto de partida cada vez más accesible para los atacantes que utilizan IA generativa.
La biometría multimodal puede reforzar la inscripción a distancia al exigir más de una característica biométrica. En lugar de basarse en un documento de identidad y una imagen facial, se puede utilizar un smartphone para capturar tanto el rostro como las huellas dactilares mediante tecnología sin contacto, vinculándolas a una misma identidad sin necesidad de contacto físico ni de equipos de escaneo especializados. Este enfoque sitúa a la persona en el centro del proceso de verificación, utilizando sus características biométricas únicas en lugar de basarse en documentos físicos.
Las huellas dactilares aportan un factor adicional importante, ya que no es tan fácil conseguir imágenes de huellas dactilares de alta calidad como fotografías faciales. La combinación de ambos factores dificulta los ataques, ya que el hecho de que se vea comprometida una de las características biométricas no compromete automáticamente todo el proceso de registro.
En Identy.io, aplicamos este enfoque multimodal al proceso de registro a distancia, combinando el reconocimiento facial y la captura de huellas dactilares sin contacto en el smartphone. Todo ello se complementa con la detección de deepfakes y de inyecciones, así como con la comparación de datos en el propio dispositivo, para proteger el proceso de verificación de identidad desde el principio.
Al reunir estas capacidades en un dispositivo que la gente utiliza a diario, el objetivo es ofrecer una verificación de identidad más sólida de forma remota sin necesidad de incorporar hardware biométrico especializado en el proceso de registro. Esto hace que el registro biométrico seguro sea más accesible para los usuarios en una amplia variedad de dispositivos y entornos, lo que les permite crear y vincular su identidad digital mediante un smartphone.
De la inscripción a una identidad digital reutilizable
Una vez que una persona ha acreditado su identidad ante una autoridad de confianza, no debería tener que volver a iniciar el proceso cada vez que acceda a otro servicio digital. El registro biométrico a distancia puede sentar las bases para la emisión de una credencial digital reutilizable vinculada a los datos biométricos de la persona. A continuación, los datos biométricos pueden utilizarse como factor de autenticación cuando se vuelva a presentar la credencial, mientras que las firmas criptográficas protegen la integridad y la autenticidad de la misma.
Esto supone un enfoque diferente de la identidad digital. Al establecer una identidad fiable una sola vez, las personas pueden utilizar sus credenciales digitales verificadas en múltiples servicios e interacciones sin tener que presentar repetidamente copias de documentos físicos. Para las organizaciones, esto supone una oportunidad para ofrecer servicios digitales sin tener que recurrir cada vez al mismo proceso de verificación basado en documentos.
Los sistemas de identificación a distancia deben adaptarse a unas técnicas de fraude cada vez más sofisticadas. La siguiente fase de la inscripción a distancia consistirá en combinar la captura móvil segura, la biometría multimodal y las medidas de protección contra ataques ya conocidos y otros emergentes.
Una mayor seguridad no debería ir en detrimento de la facilidad de uso ni del control individual. Introduce los datos una sola vez. Verifica con confianza. Reutiliza con control.
