Gestión de la identidad digital

Cada vez que accedemos a nuestra banca online, compramos en una tienda digital o simplemente iniciamos sesión en cualquier plataforma, estamos participando en un acto de confianza que determina si somos realmente quienes decimos ser.

Esto cobra aún más importancia en plena irrupción de los agentes IA, con interacciones remotas y automatizadas en las que no existe intervención humana directa.

En cualquier caso, no todas las interacciones digitales requieren el mismo grado de seguridad. Según las guías del estadounidense NIST (National Institute of Standards and Technology), existen diferentes niveles de garantía de identidad (IAL1, IAL2, IAL3) que deben alinearse con el riesgo de cada operación.

La verificación de identidad ya no es un evento que ocurre una sola vez al registrarse en un servicio. Se ha transformado en un proceso continuo que abarca tres capas fundamentales:

• Resolución de identidad (identity resolution). Recopilar evidencias de los atributos de identidad de la persona. Por ejemplo, cuando abres una cuenta bancaria no solo tomas una foto de tu DNI, sino que él detecta si ha sido manipulada digitalmente y verifica que corresponde a un documento oficial.
• Verificación de identidad (identity verification). Evaluar la autenticidad y validez de esas evidencias a través de tecnologías avanzadas, analizando desde la textura del papel del documento hasta los patrones biométricos únicos de cada persona.
• Validación de identidad (identity validation). Confirmar que esas evidencias corresponden realmente a la persona que las presenta, construyendo un patrón de identidad único que incluye desde el tipo de dispositivo usado hasta la forma particular de escribir en el teclado táctil.

Identidad digital en marcha

Nos encontramos ante un proceso irreversible. De hecho, la Unión Europea implementará las credenciales verificables a finales de 2026 con el EU Digital Identity Wallet and Trust Framework. Esto significa que pronto podrás usar tu identidad digital oficial europea como factor de autenticación en servicios privados. Este paso supone pasar de capturar un ID físico a ID digitales, lo que afecta al proceso de validación de la identidad en todo tipo de procesos.

De este modo, por ejemplo, acceder a tu perfil de una red social podría requerir un nivel básico de verificación, pero una transferencia bancaria de miles de euros necesitaría el máximo nivel de seguridad. En el sector financiero ya se aplican estos procedimientos de modo obligatorio: las regulaciones KYC (Know Your Customer) y AML (Anti-Money Laundering) ya exigen los más altos estándares para prevenir el fraude y el lavado de dinero.

La verificación de identidad busca recopilar evidencias, validar la autenticidad y confirmar que todo ello corresponde a quien las presenta

Lo mismo ocurre cuando hablamos de los proveedores. En el caso de Facephi, nos respaldan los principales organismos de estandarización y regulación a nivel global: NIST, RGPD, SEPBLAC, SOC2, ISO, iBeta Level 2, ENS alto, alineados con la EBA, etc.

¿Por qué es importante todo esto? Salta a la vista que el panorama criminal ha evolucionado drásticamente. Ya no hablamos de hackers solitarios operando desde sótanos, sino de verdaderas organizaciones criminales que ofrecen fraud as a service.

Estas organizaciones proporcionan herramientas sofisticadas de suplantación de identidad a cambio de una suscripción mensual, lo que coloca el ciberdelito al alcance de todos los bolsillos. Un solo ejemplo: se estima que solo el foro de ciberdelincuencia Cracked generó ingresos de cuatro millones de dólares antes de ser desmantelado.

Sumemos a lo anterior los avances en IA, que han amplificado exponencialmente las amenazas. Por ejemplo, los atacantes están utilizan inteligencia artificial para crear campañas de phishing hiperpersonalizadas. Analizan redes sociales, historial público y otros datos para construir mensajes extremadamente convincentes dirigidos a víctimas específicas.

Para contrarrestarlo, se están adoptando métodos de autenticación denominados phishing-resistant (PSD3) como es el caso de passkeys (credenciales criptográficas que no pueden ser robadas por phishing tradicional o el uso de credenciales verificables basadas en infraestructura de clave pública (PKI), que elimina el riesgo de robo de credenciales.

Además, está el hecho de que nuestro smartphone se ha convertido en el principal punto de acceso a servicios digitales, lo que multiplica tanto las oportunidades para los atacantes como las señales disponibles para detectarlos. Cada movimiento, cada presión de tecla, cada patrón de navegación genera datos que pueden utilizarse.

Tres niveles de seguridad

La propuesta de Facephi frente a este avance del fraude online es el desarrollo de una protección integral basada en tres niveles que combina múltiples capas de seguridad, se adapta a las amenazas más complejas y evoluciona frente a técnicas cada vez más sofisticadas de fraude:

• Suplantación de identidad. En este primer nivel se validan documentos oficiales y se contrasta la biometría facial del usuario mediante pruebas de vida pasivas, capaces de detectar fotos, vídeos o deepfakes. La verificación se efectúa en procesos de alta digital o autenticación recurrente. Productos como Facephi Onboarding y Authentication permiten vincular a la persona con un documento legítimo, asegurando que quien inicia la relación es realmente quien dice ser.
• El segundo nivel aborda el fraude no autorizado, que ocurre cuando un atacante usa credenciales válidas o accede a un dispositivo legítimo. En estos casos, la clave está en nuestra solución de biometría de comportamiento, capaz de analizar cómo teclea un usuario, cómo desliza el dedo por la pantalla o la velocidad con la que interactúa. Estos patrones son únicos y difíciles de imitar, por lo que permiten detectar accesos remotos, inyecciones de vídeo o manipulaciones de la sesión.
• El tercer nivel se enfoca en el fraude autorizado, es decir, cuando un cliente legítimo utiliza su cuenta para fines ilícitos, como es el caso de las cuentas mulas que reciben y redistribuyen dinero de origen sospechoso sin que muchas veces el usuario sea consciente de ello. Este nivel combina análisis transaccional en tiempo real con modelos de riesgo y grafos de relación entre cuentas.

La clave está en el usuario

Pero no olvidemos que evitar el fraude también está en nuestra mano. Frenar la ingeniería social requiere una cultura de concienciación continua que refuerce la capacidad de los usuarios y las organizaciones para identificar, anticipar y neutralizar tácticas de manipulación cada vez más sofisticadas. Como individuos, no podemos dar por cierto todo lo que vemos; la verificación rigurosa de la información y de las identidades es clave para protegernos frente al fraude y la manipulación.

La identidad digital representa la convergencia entre seguridad, innovación y responsabilidad social. Es la tecnología que permite construir una sociedad digital donde la confianza es un derecho accesible. En este paradigma, las organizaciones que adopten estas soluciones no solo protegen sus intereses o se adaptan a la regulación, sino que contribuyen activamente a un futuro digital más justo.