Considerado durante mucho tiempo la forma más económica de demostrar que una persona es real en la web, CAPTCHA podría estar dejando atrás los controles deslizantes y los acertijos para adoptar comprobaciones más avanzadas de tipo biométrico. El nuevo reCAPTCHA de Google Cloud Fraud Defense solicitará permiso para acceder a la cámara, analizará un video de la mano del usuario y extraerá las coordenadas de 21 articulaciones de la mano para filtrar bots y agentes de IA.
Aunque Google afirma que está desarrollando alternativas adicionales y que los videos de las manos se eliminan inmediatamente, el método sigue planteando interrogantes sobre privacidad, consentimiento y accesibilidad.
En este breve análisis, preguntamos a nuestros expertos qué revela esta novedad sobre la siguiente etapa de las comprobaciones antibots y qué otros métodos pueden utilizarse para hacer frente al abuso más amplio de los agentes de IA.
No creo que la cuestión aquí sea si los gestos de las manos se convertirán en la próxima gran señal de identidad, ya que lo más probable es que no sea así. Lo que me parece más interesante es cómo la protección antibots básica podría estar volviéndose mucho más sofisticada y qué implica esto para el sector en su conjunto.
Reciba publicaciones como esta en su bandeja de entrada con el resumen quincenal del blog de Regula
Por qué reCAPTCHA está adoptando características biométricas
reCAPTCHA siempre se ha basado en la diferencia de capacidades entre las personas y las máquinas. Sin embargo, en los últimos años, esa diferencia se ha ido reduciendo, ya que los agentes de IA ahora pueden completar tareas en línea de varios pasos de una manera muy similar a la humana.
Además, observamos claramente que cada vez más personas consideran a los agentes de IA como amenazas reales para la identidad. Según nuestro estudio más reciente, el 26 % de las organizaciones reconoció que el software de IA basado en agentes representa un peligro para sus procesos de identidad. Por sí sola, esta cifra puede no parecer alarmante, pero en realidad no está muy lejos de los deepfakes, considerados la amenaza más formidable de la IA, que fueron mencionados por el 35% de los encuestados.
De hecho, la propia Google ha declarado que su solución Cloud Fraud Defense fue diseñada para la “web de agentes”, donde los agentes autónomos de IA pueden razonar, planificar y completar transacciones complejas en línea. En este contexto, el nuevo reCAPTCHA podría indicar que la protección antibots está entrando en la misma carrera tecnológica contra los agentes de IA que ya preocupa a los equipos de identidad.
Es una reacción bastante natural del sector, porque los agentes de IA ahora pueden completar formularios, volver a intentarlo, hacer clic, comparar y realizar tareas en línea de varios pasos con gran eficacia. La clave estará en los detalles, porque todo depende de cómo se implemente.
Por qué un gesto de la mano es una solución ingeniosa, pero imperfecta
Un gesto de la mano es una elección interesante y un compromiso razonable: revela menos información sobre la identidad que un escaneo facial, pero es más difícil de falsificar mediante una automatización sencilla que una casilla de verificación o una cuadrícula de imágenes. Aun así, no es una solución ideal.
Utilizar una cámara de esta manera introduce fricciones para los usuarios. Una iluminación deficiente, por sí sola, puede impedir el acceso a usuarios legítimos y, por supuesto, deben existir alternativas para las personas con discapacidades que afectan a las manos desde el momento en que se lance la función, no después.
En cuanto a la privacidad, las garantías de conservación de datos de Google reducen el riesgo: la empresa afirma que los videos de las manos se eliminan después de la verificación, no se vinculan con la identidad, no se utilizan para entrenamiento y se graban sin audio. Al mismo tiempo, existe una lección más amplia para el mercado: una vez que las comprobaciones antibots comienzan a utilizar señales derivadas del cuerpo humano, cada organización que las implemente necesita reglas claras y accesibles.
Idealmente, esas reglas deberían incluir:
- una explicación clara y sencilla del propósito del uso de la cámara;
- la eliminación de los videos de forma predeterminada, con excepciones breves y documentadas únicamente para revisiones de seguridad;
- la prohibición del entrenamiento o uso secundario de los datos, salvo que el usuario otorgue un consentimiento independiente;
- alternativas accesibles ofrecidas antes de que los usuarios queden atrapados en ciclos de intentos fallidos;
- pruebas de resistencia frente a cámaras virtuales, reproducción de grabaciones, emuladores e inyección de señales;
- registros que permitan demostrar cómo se gestionaron los permisos, la eliminación de datos y el origen de las muestras.
Por qué los gestos de las manos no son suficientes para una verificación de identidad completa
Si un defraudador consigue engañar a la cámara con una mano sintética, un video reproducido o contenido generado que se transmite a través de un dispositivo virtual, la interfaz puede parecer convincente, aunque las evidencias sean poco fiables. Por eso, este nuevo método no debería considerarse una opción sólida para la verificación de identidad: la prueba de vida por sí sola no constituye una defensa completa.
La prueba de vida facial, por ejemplo, lleva años enfrentándose a este problema mediante mecanismos de defensa contra máscaras, reproducción de videos en pantallas, deepfakes, emuladores e inyección de señales. También se ha generalizado porque el rostro proporciona más evidencias que una mano: textura de la piel, movimiento, expresión, línea de nacimiento del cabello y coherencia entre fotogramas.
Incluso una prueba de vida sólida siempre deja una segunda tarea pendiente: comparar al usuario real con una referencia confiable. Si el objetivo es realizar una verificación de identidad completa en lugar de una comprobación antibots, deben combinarse varias defensas, como la huella digital del dispositivo, los tiempos de la sesión, las comprobaciones del origen de la señal de la cámara, las evidencias documentales y otras.
Aquí es donde debe establecerse una distinción: las comprobaciones antibots, las pruebas de vida y la verificación de identidad completa resuelven problemas diferentes. El movimiento de la palma o de la mano es una forma razonable de desafiar a los sistemas automatizados, pero no demuestra la identidad. En cambio, el rostro resulta más útil cuando el proceso empresarial debe reconocer a una persona específica y no simplemente confirmar la presencia de un participante real.
Cómo facilitar una verificación de identidad que respete la privacidad
Para concluir, me gustaría señalar que la proporcionalidad es fundamental en este caso. Una comprobación basada en gestos de la mano es una solución interesante para situaciones específicas de reCAPTCHA, pero presenta limitaciones claras y plantea preocupaciones sobre la privacidad. Si un sistema captura accidentalmente su rostro durante una comprobación antibots e incluso lo almacena, esto resulta excesivo.
Algunas personas podrían argumentar que esto es excesivo incluso para una verificación de identidad completa, y precisamente por eso la biometría debe utilizarse de manera muy selectiva y conforme a la normativa vigente.
Cuando se requiere una verificación de identidad completa, el objetivo no debería ser recopilar más datos de forma predeterminada, sino obtener las evidencias adecuadas para el riesgo específico.
Por ejemplo, soluciones como la plataforma de verificación de identidad de Regula se basan en este principio y reúnen los elementos más importantes cuando es necesario demostrar la identidad. Como plataforma de orquestación de identidad de ciclo completo, permite:
-
Resistencia al fraude y a los ataques de presentación: la verificación puede reforzarse frente a ataques de presentación, inyección de señales de cámara, intentos de reproducción, emuladores, contenido sintético y otras técnicas de evasión.
-
Verificación biométrica: el usuario real puede compararse con una foto de referencia confiable procedente de un documento de identidad u otra fuente de referencia aprobada.
-
Prueba de vida: el sistema ayuda a confirmar que la muestra biométrica procede de una persona real y viva, y no de una imagen estática, una grabación reproducida, una máscara o un sustituto generado artificialmente.
-
Verificación de documentos: se comprueba la autenticidad y coherencia de los documentos de identidad para que la decisión se base en evidencias confiables.
-
Proceso de verificación configurable: las empresas pueden elegir qué comprobaciones incluir, desde la verificación de documentos y la biometría hasta la revisión manual.
-
Implementación y control de acceso que respetan la privacidad: las opciones de implementación local y en nube privada, junto con el control de acceso basado en roles y atributos, ayudan a los clientes a mantener protegidos los datos sensibles.
-
Evidencias preparadas para auditorías: los registros del sistema ayudan a los equipos a rastrear quién accedió a los datos, por qué se solicitó la información y cómo se tomó la decisión de verificación.
¿Le interesa saber cómo la plataforma de verificación de identidad de Regula puede mejorar su proceso de verificación de identidad? Hablemos.
