La verificación remota de la identidad se basa ahora en la captura de documentos, la verificación mediante selfies y la comparación facial automatizada a gran escala. Los procesos tradicionales de «conozca a su cliente» (KYC) y la comparación facial básica se diseñaron para confirmar el parecido y la validez de los documentos, no para demostrar que la transmisión de la cámara es auténtica o que los archivos enviados no han sido alterados sintéticamente. El NIST advierte ahora de que la verificación remota es vulnerable a la inyección digital y a los archivos falsificados, y señala explícitamente que la comparación biométrica por sí sola no previene estos ataques. Al mismo tiempo, un estudio del Gobierno británico apunta a una creciente demanda de controles contra los deepfakes en los casos de fraude de identidad, apropiación de cuentas y fraude de identidad sintética en los servicios financieros. Por eso, una solución de verificación de identidad contra los deepfakes ha pasado de ser una característica de seguridad a convertirse en un requisito operativo.
Los deepfakes son cada vez más sofisticados, lo que aumenta el riesgo de fraude y manipulación de la identidad en entornos digitales. Descargue nuestra guía de 10 pasos para aprender a detectar amenazas de forma temprana y proteger su organización con prácticas recomendadas de eficacia probada.
Cómo los ataques modernos vulneran las estructuras de incorporación deficientes
La ENISA identifica los ataques con fotografías, la reproducción de vídeos, las máscaras 3D y los ataques deepfake como riesgos importantes en la verificación de identidad a distancia. Los materiales del NIST sobre métodos de inyección añaden otra verdad incómoda: los atacantes pueden utilizar cámaras virtuales, emuladores de dispositivos, la interceptación de funciones o la sustitución del flujo de la cámara mediante un ataque de «hombre en el medio», de modo que el verificador reciba contenidos multimedia manipulados que parecen proceder de un sensor real. Una vez que esto ocurre, la suplantación de identidad se vuelve escalable. El ataque ya no se dirige únicamente al comparador, sino a la propia cadena de transmisión de medios.
¿Qué distingue a una solución eficaz contra los deepfakes?
Una solución fiable combina la detección de deepfakes para la verificación de identidad con la detección biométrica de vida, la detección de ataques de presentación conforme a la norma ISO/IEC 30107-3 y una resistencia explícita a los ataques de inyección. En el marco de la norma ISO PAD, lo importante es determinar si se aceptan erróneamente presentaciones fraudulentas y se rechaza erróneamente a usuarios legítimos, más que si un proveedor afirma que su IA tiene una «alta precisión». En la práctica, el software de detección de vida facial debería someterse a pruebas independientes, funcionar durante la sesión de verificación y resistir tanto los ataques de presentación frente a la cámara como los medios inyectados digitalmente detrás de ella. Las últimas directrices del NIST también prevén controles que aumenten la confianza en que los medios proceden de un sensor auténtico, incluyendo comprobaciones de cámaras virtuales, emuladores y dispositivos con jailbreak.
Obtenga una demostración personalizada de nuestra plataforma biométrica sin contacto y compruebe cómo se adapta a su caso de uso específico.
Garantía pasiva, control activo cuando el riesgo es mayor
La ENISA distingue entre la detección de vida pasiva y activa. Los controles pasivos no requieren ninguna acción por parte del usuario y analizan indicios involuntarios o artefactos de deepfake, mientras que los controles activos introducen movimientos o interacciones aleatorias para dificultar la reproducción y la suplantación de identidad de baja complejidad. En el caso de los procesos de incorporación a plataformas fintech, en los que la conversión es un factor clave, esta disyuntiva es importante. Las comprobaciones pasivas suelen ser la mejor opción por defecto, ya que reducen la fricción.
La arquitectura y la privacidad determinan si la seguridad es escalable
La calidad de la detección es solo la mitad de la decisión. Los flujos de incorporación de gran volumen también requieren una baja latencia, unos costes operativos predecibles y un modelo de privacidad capaz de superar el escrutinio normativo. Las directrices oficiales del Reino Unido establecen que los datos biométricos utilizados para identificar de forma única a una persona constituyen datos de categoría especial, lo que significa que las organizaciones necesitan una base legal, una condición específica para su tratamiento y medidas de seguridad reforzadas. El Comité Europeo de Protección de Datos también subraya que la privacidad desde el diseño es obligatoria y ha señalado que los modelos de almacenamiento biométrico son más defendibles cuando los datos permanecen en manos del individuo o cuando solo este controla la clave. Esto hace que el procesamiento en el dispositivo resulte estratégicamente atractivo: puede reducir la dependencia de los servidores, limitar la exposición de los datos y reducir los costes de infraestructura al mismo tiempo.
Conclusiones estratégicas para el sector fintech, la banca y la administración pública
Una solución de verificación de identidad contra el deepfake ya no se define únicamente por su precisión en la detección. Lo que realmente la distingue es su capacidad para integrar de forma eficaz la seguridad, la escalabilidad y la experiencia del usuario en un único modelo operativo.
Es aquí donde plataformas como Identy.io ponen de manifiesto la dirección que está tomando el sector.
Al combinar la seguridad de la verificación de identidad basada en la inteligencia artificial con el procesamiento biométrico en el propio dispositivo, Identy aborda varios retos estructurales de los sistemas de identidad modernos:
- Superficie de ataque reducida: el procesamiento de los datos biométricos directamente en el dispositivo del usuario minimiza la exposición a ataques de inyección, violaciones de seguridad en los servidores y manipulaciones de tipo «man-in-the-middle».
- Detección de deepfakes y de la presencia del sujeto en tiempo real: el software integrado de detección biométrica y de la presencia del sujeto en la imagen funciona durante el proceso de captura, lo que permite detectar de forma inmediata los ataques de presentación e inyección sin necesidad de recurrir al posprocesamiento.
- Menor latencia y mayor tasa de conversión: la eliminación de las dependencias del lado del servidor reduce los retrasos en los procesos de registro, lo que repercute directamente en las tasas de finalización de los usuarios en el sector fintech y los servicios digitales.
- Infraestructura escalable: una arquitectura sin servidores elimina la necesidad de un procesamiento intensivo en el backend, lo que permite a las organizaciones ampliar la verificación de identidad sin que ello suponga un aumento proporcional de los costes de infraestructura.
- Cumplimiento del principio de «privacidad desde el diseño»: el almacenamiento de los datos biométricos en el propio dispositivo se ajusta a los principios del RGPD y reduce el riesgo normativo, especialmente cuando se manejan identificadores biométricos sensibles.
En consonancia con normas como la ISO/IEC 30107-3, las Directrices sobre identidad digital del NIST y los marcos de trabajo de la FIDO, este enfoque refleja un cambio más amplio: los sistemas de verificación de identidad deben garantizar ahora no solo la identidad en sí misma, sino también la integridad de todo el proceso de captura y tratamiento de datos.
Para los responsables de la toma de decisiones, las implicaciones son claras. La cuestión ya no es si se debe implementar la detección de deepfakes para la verificación de identidad, sino cómo implementarla de manera que se preserve la experiencia del usuario, se garantice el cumplimiento normativo y se pueda ampliar de forma sostenible.
Obtenga una demostración personalizada de nuestra plataforma biométrica sin contacto y compruebe cómo se adapta a su caso de uso específico.
Bibliografía
- NIST – https://www.nist.gov
- ENISA – https://www.enisa.europa.eu
- Comité Europeo de Protección de Datos – https://www.edpb.europa.eu
- ICO – https://ico.org.uk
- Alianza FIDO – https://fidoalliance.org
