5 desafíos en la verificación de identidad y cómo abordarlos

La FTC registró más de 1.1 millones de denuncias por robo de identidad en 2024, y las pérdidas totales por fraude alcanzaron los 12.5 millones de dólares, un 25 % más que en 2023. Ambas cifras reflejan el mismo problema subyacente: los sistemas de verificación son demasiado débiles para detectar fraudes sofisticados o demasiado rígidos para permitir el acceso a clientes legítimos sin interrumpir el proceso. Estos cinco desafíos explican dónde falla con mayor frecuencia la verificación de identidad y cuál es el coste práctico de cada fallo.

1. Fraude documental que supera la detección estándar.

Documentos falsificados Las falsificaciones siempre han sido un problema, pero la barrera para producir documentos falsos convincentes ha disminuido drásticamente. Las herramientas de IA generativa ahora permiten a los ciberdelincuentes crear réplicas de identificación plausibles sin necesidad de equipos especializados, y el software de edición específico puede producir documentos que superan escaneos OCR de baja calidad sin necesidad de imprimirlos. Los documentos nacionales de identidad son los más atacados porque varían mucho en formato entre los países emisores, lo que significa que los sistemas de verificación suelen encontrar tipos de documentos para los que no han sido entrenados.

Las empresas que verifican clientes en múltiples mercados se enfrentan a una capa adicional de exposición. Un pasaporte de un país puede contener características de seguridad integradas ausentes en un documento nacional de identidad emitido el mismo año en una jurisdicción diferente. Proceso de verificación KYC Lo que funciona para una base de clientes nacional a menudo pasa por alto casos excepcionales cuando se aplica globalmente, y cubrir miles de formatos de documentos en cientos de países exige una inteligencia documental continuamente actualizada. Los equipos que utilizan modelos de documentos estáticos trabajan con datos forenses que los estafadores ya han estudiado. Para obtener una visión más detallada de la situación actual de las técnicas de falsificación, consulte esta guía sobre lucha contra la falsificación de documentos En 2025 se elaborará un mapa detallado de la superficie de ataque actual.

2. Ataques de deepfake y suplantación biométrica

Detección de vida Fue diseñado para bloquear a alguien que sostuviera una foto impresa frente a una cámara. Esa amenaza aún existe, pero ha sido superada por ataques que los sistemas antiguos no estaban preparados para manejar. Los videos deepfake ahora pueden pasar controles de vitalidad pasivos que se basan en señales de movimiento o análisis de texturas, y los ataques de inyección envían una secuencia de video sintético directamente a la API de la cámara, eludiendo por completo la vitalidad activa. El Informe Anual 2025 del Centro de Denuncias de Delitos en Internet del FBI registró más de 22,000 denuncias de fraude asistido por IA ese año, con pérdidas que superaron los $893 millones, y la suplantación de identidad impulsó una gran parte de esos casos.

El problema principal para los equipos de verificación es la deriva del modelo. Una capa biométrica implementada hace dos años se calibró con vectores de ataque de hace dos años. Los estafadores actualizan sus herramientas más rápido de lo que la mayoría de los proveedores lanzan parches, por lo que una fracción creciente de rostros sintéticos eludirá los modelos de detección que no se han reentrenado contra las técnicas de suplantación actuales. verificación biométrica Es necesario un reentrenamiento continuo con datos de ataques reales, no solo con puntos de referencia de validación, y el sistema necesita una monitorización activa para detectar ataques de inyección que nunca llegan a utilizar físicamente una cámara.

3. Fragmentación regulatoria en los distintos mercados.

Orientación del GAFI La normativa sobre identidad digital recomienda un enfoque de verificación basado en el riesgo, pero los distintos organismos reguladores interpretan y aplican este principio de forma diferente. Una empresa fintech que opera en la UE, el Reino Unido, Singapur y los Emiratos Árabes Unidos se enfrenta a cuatro regímenes de verificación distintos, cada uno con sus propios requisitos de documentación, normas de consentimiento biométrico y límites de retención de datos. GDPR Limita la forma en que se almacenan y procesan los datos biométricos en los estados miembros de la UE. Las directrices de la Autoridad Monetaria de Singapur (MAS) definen sus propios estándares de incorporación. El Banco Central de los Emiratos Árabes Unidos (CBUAE) añade requisitos específicos para la incorporación remota de clientes.

Para las empresas que se expanden internacionalmente, el costo de cumplimiento que implica adaptar un flujo de trabajo de verificación a cada jurisdicción es considerable. Una secuencia de verificación que cumple con las normas de un regulador puede entrar en conflicto con las de otro, y el seguimiento manual de estos requisitos genera riesgos de auditoría debido a los cambios en la normativa. Las actualizaciones regulatorias suelen otorgar a las empresas entre 90 y 180 días para adaptarse, y aquellas que utilizan sistemas de verificación rígidos y desarrollados internamente tienden a ser las últimas en responder. Las herramientas de cumplimiento que monitorean los cambios regulatorios en tiempo real y las plataformas de verificación diseñadas para ejecutar flujos específicos de cada jurisdicción sin necesidad de modificar el código son lo que distingue a las empresas que se adaptan rápidamente de aquellas que se ven obligadas a adaptarse a cada transición.

4. Fricción en el proceso de incorporación y abandono del cliente

La etapa de verificación es donde más clientes nuevos abandonan el proceso de incorporación. Un proceso que solicita más documentos de los necesarios, que agota el tiempo de espera por una calidad de imagen deficiente o que devuelve un mensaje de rechazo genérico sin ninguna guía, deja al usuario sin una solución clara. La mayoría cierra la sesión y no regresa.

La fricción no se trata solo de cuántos pasos requiere un proceso. También se trata de qué sucede cuando algo sale mal. Un usuario que fotografía una identificación ligeramente borrosa y recibe un error poco útil puede no darse cuenta de que debe volver a tomarla. Alguien que completa un formulario con etiquetas de campo que no coinciden con la terminología de sus documentos puede abandonarlo incluso antes de que comience la verificación de documentos. Dedicado servicios de verificación de identidad Reduzca estos puntos de fallo mediante la incorporación de tecnología de captura automática y una guía de usuario clara, elementos que suelen faltar en la mayoría de los flujos de trabajo internos. Un cliente que abandona el proceso en la etapa de verificación es aquel que mostró interés e intención, pero que nunca llegó a realizar la compra.

5. Fraude de identidad sintética

Fraude de identidad sintética Se sitúa en el extremo más difícil del espectro de detección porque la identidad que se verifica contiene datos reales. Una identidad sintética combina un número de identificación nacional o un número de la Seguridad Social auténticos con un nombre, una dirección y una fecha de nacimiento inventados. Las comprobaciones cruzadas en bases de datos que detectarían una identidad totalmente inventada suelen arrojar una coincidencia parcial en lugar de un fallo total, y esa ambigüedad permite que la identidad sintética supere la verificación de incorporación.

El problema se agrava con el tiempo. Muchas identidades sintéticas se construyen a lo largo de meses o años antes de que se produzca cualquier transacción fraudulenta. Para cuando se activan, tienen un historial que parece legítimo. Procesos KYC impulsados ​​por IA Los sistemas que monitorean las señales de comportamiento a lo largo del ciclo de vida del cliente, cotejan los metadatos de los documentos con patrones sintéticos conocidos e identifican grupos de identidades relacionadas, proporcionan una capa de detección más sólida que una simple verificación puntual durante el proceso de incorporación. El monitoreo continuo, y no la verificación única, es lo que permite detectar el fraude sintético antes de que se acumulen las pérdidas.