En breve: La verificación de identidad sólida en el sector salud combina varias capas: coherencia de los datos de paciente, verificación de los documentos de identidad emitidos por el gobierno, comparación facial, pruebas de vida, autenticación multifactor (MFA), compramaciones avanzadas y revisión manual cuando sea necesario.
Los portales de pacientes se han convertido en la puerta de entrada a la atención médica. A través de ellos se gestionan las citas, los resultados de laboratorio, las solicitudes de recetas, los datos del seguro, la facturación y el acceso a los historiales médicos. Cada una de estas acciones se basa en una suposición: la persona que figura en la cuenta es el paciente legítimo. Si los controles de identidad son deficientes, el portal puede convertirse en una vía para el robo de identidad médica, la apropiación de cuentas, el uso indebido de recetas o el fraude en las reclamaciones.
La verificación de identidad en el sector salud conecta a la persona que solicita acceso, atención médica, recetas o prestaciones del seguro con la identidad y el historial médico correctos del paciente, al tiempo que aplica controles más rigurosos únicamente cuando la acción conlleva un riesgo real.
Un mapa de riesgo para la verificación de identidad en sector salud
Los proveedores de salud manejan información médica protegida: historiales médicos, diagnósticos, recetas, resultados de laboratorio, datos de facturación, datos del seguro y otros datos sanitarios que permiten identificar a una persona.
En Estados Unidos, la Regla de Privacidad HIPAA establece normativas nacionales para proteger historiales médicos y otra información médica protegida, mientras que la Regla de Seguridad exige medidas de seguridad administrativas, físicas y técnicas para información médica protegida en formato electrónico.
En Europa y en otras jurisdicciones en las que se aplica el RGPD, los datos médicos se consideran una categoría especial de datos personales, por lo que las plataformas de atención médica deben contar con las garantías adecuadas y controlar quién puede acceder a ellos o procesarlos.
Esto convierte la identidad en una cuestión práctica de cumplimiento normativo: antes de que una plataforma conceda a alguien acceso a un portal de pacientes, debe contar con controles razonables para confirmar que dicho acceso se otorga a la persona adecuada.
Al mismo tiempo, la verificación de identidad en el sector salud no se limita a un único control en el momento del registro. Es importante en cualquier situación en la que una persona no autorizada pueda acceder a la atención médica, revisar historiales médicos, solicitar medicamentos, modificar datos de perfil, utilizar las prestaciones del seguro o acceder a la información de los pacientes como miembro del personal. Cada flujo de trabajo conlleva una combinación diferente de riesgos clínicos, financieros, de privacidad y de cumplimiento.
| Flujo de trabajo | Amenaza potencial | Implicaciones empresariales |
|---|---|---|
| Registro en el portal de pacientes | Alguien crea una cuenta utilizando la identidad de otra persona | Robo de identidad médica, exposición de privacidad, riesgo de incumplimiento |
| Inicio de sesión en una cuenta existente | Las credenciales robadas permiten a los estafadores acceder a los historiales médicos | Apropiación de cuenta, exposición de datos, daño reputacional |
| Acceso a los resultados de pruebas o al historial médico | Datos médicos sensibles se han mostrado a una persona no autorizada | Brecha de privacidad, riesgo de incumplimiento, pérdida de confianza de pacientes |
| Solicitud de receta o renovación de receta | La solicitud de medicamentos la realiza un impostor o un usuario que no cumple los requisitos | Uso indebido de recetas, riesgos para seguridad de pacientes, exposición regulatoria |
| Flujo de trabajo de seguros o reclamaciones | Alguien utiliza las prestaciones de otra persona o presenta reclamaciones fraudulentas | Fraude de reclamaciones, pérdidas financieras, riesgo de auditoría, daño reputacional |
| Modificaciones de perfil | Un estafador cambia nombre, fecha de nacimiento, número de teléfono o datos de seguro | Apropiación persistente de cuentas, corrupción de registros, errores de facturación |
| Acceso del personal a los datos de pacientes | El acceso no autorizado o comprometido a las cuentas del personal afecta a los registros | Uso indebido de información privilegiada, brecha de privacidad, sanciones por incumplimiento |
Reciba publicaciones como esta en su bandeja de entrada con el resumen quincenal del blog de Regula
¿Cómo funciona la verificación de identidad en el sector salud?
La verificación de identidad en el sector salud no sigue un patrón único. El proceso depende del país, el tipo de servicio, el sistema sanitario y el nivel de acceso que necesite el paciente. No obstante, la mayoría de los controles de identidad en el sector salud sigue la misma lógica básica:
-
El paciente introduce sus datos personales, tales como el nombre, la fecha de nacimiento, la dirección, el número de teléfono, el correo electrónico o el identificador del sistema sanitario.
-
El sistema comprueba si esos datos pueden cotejarse con un historial de paciente ya existente, una fuente de identidad fiable o un requisito de elegibilidad para el servicio.
-
Si la coincidencia es suficiente para el caso de uso, la verificación puede detenerse ahí.
-
Si se necesita una garantía mayor, se le puede pedir al paciente que presente un documento de identidad emitido por el gobierno, como un pasaporte, un documento nacional de identidad o una licencia de conducir.
-
El proveedor también puede solicitar una selfie, un escaneo facial o un breve vídeo para comparar a la persona con el retrato del documento de identidad.
-
Las comprobaciones de contacto, las contraseñas de un solo uso, la verificación por correo electrónico, la MFA y las señales de dispositivo o sesión pueden reforzar la seguridad de la cuenta, pero suelen demostrar el control de la cuenta más que la identidad legal.
-
Si la comprobación automatizada falla o el proceso presenta un alto riesgo, es posible que se soliciten al paciente documentos adicionales o que se le derive a una revisión manual.
-
Una vez verificado, el paciente puede acceder al servicio correspondiente: acceso completo al portal, citas, recetas, historiales médicos, flujos de trabajo relacionados con el seguro o cambios en el perfil.
Veamos algunos casos de uso reales.
Ejemplo 1: Servicio nacional de salud
Inicio de sesión de NHS es un servicio reutilizable de inicio de sesión y verificación de identidad para los servicios digitales de salud y atención médica del Reino Unido. Los pacientes pueden utilizarlo para acceder a la aplicación del NHS y a las aplicaciones o sitios web de socios autorizados con una sola cuenta, en lugar de tener que seguir procesos de registro distintos para cada proveedor.
En el modelo de inicio de sesión del NHS, el nivel de verificación determina qué información tiene el servicio sobre el usuario y a qué puede acceder este:
-
Verificación de nivel bajo: El usuario se registra con una dirección de correo electrónico y un número de teléfono. La identidad del usuario no se verifica. En este nivel, los usuarios pueden acceder a servicios limitados, como reservas de citas, sin poder verlas ni gestionarlas.
-
Verificación de nivel medio: El servicio verifica correo electrónico y número de teléfono, después comprueba tales datos como fecha de nacimiento, número NHS, nombre, apellido y código de consulta médica de cabecera contra el Servicio de Datos Demográficos del NHS. Los usuarios no pueden acceder a los historiales médicos ni a la información personal, pero pueden realizar consultas en línea, registrar datos como las lecturas de la tensión arterial o ponerse en contacto con su médico de cabecera.
-
Verificación de nivel alto: El servicio autentifica completamente la identidad del usuario y verifica correo electrónico, teléfono, fecha de nacimiento, número NHS, nombre e información médica de cabecera. En este nivel, los usuarios pueden leer historiales médicos, ver su número de NHS, solicitar renovación de recetas, gestionar citas y mucho más.
Proceso de "Prove your identity (PYI)" en el NHS.
Ejemplo 2: Portales de proveedores conectados
MyChart es un portal de pacientes utilizado por muchas organizaciones del sector salud en los Estados Unidos. Los pacientes lo utilizan para consultar los resultados de las pruebas, gestionar las citas, solicitar la renovación de recetas y acceder a otros servicios específicos de cada proveedor.
A diferencia del inicio de sesión de NHS, MyChart no es un modelo de identidad nacional único. Se trata de un portal utilizado por diferentes organizaciones sanitarias, por lo que el proceso exacto de verificación de identidad depende de cada proveedor.
Normalmente, el acceso a MyChart se inicia de una de estas tres maneras:
-
Código de activación concedido por el proveedor: El paciente recibe un código del proveedor de salud. El código permite vincular la cuenta en línea a un historial de paciente ya existente.
-
Autoregistro en línea con cotejo de datos: Algunos proveedores permiten a los pacientes solicitar el acceso en línea introduciendo datos personales, como el nombre, la fecha de nacimiento, la información de contacto o los cuatro últimos dígitos de su número de la seguridad social. El sistema intenta cotejar esos datos con los registros del proveedor antes de enviar o conceder un código de activación.
-
Autoregistro en línea con verificación de identidad por parte de terceros: Algunos proveedores añaden un paso de verificación externo. El usuario introduce sus datos personales y, a continuación, responde a una serie de preguntas generadas por un sistema de verificación externo antes de que se cree la cuenta de MyChart.
Las preguntas de seguridad de MyChart se basan en el historial crediticio de los pacientes.
Ejemplo 3: Proveedores de servicios de telemedicina
Los proveedores de telemedicina a menudo apoyan más de una vía de verificación de identidad. El flujo concreto depende del país, el estado o la provincia, y herramientas de identidad digital disponibles.
El proveedor letón Medon, por ejemplo, ofrece varias opciones de verificación, incluyendo el envío de un documento de identidad o la autenticación a través de servicios de terceros como bancos o plataformas de identidad digital. Los nuevos usuarios pueden verificar su identidad mediante opciones como Smart-ID, aplicaciones bancarias protegidas con datos biométricos o la verificación de identidad estándar. Este modelo funciona bien en mercados en los que los pacientes ya están familiarizados con la autenticación bancaria o con las herramientas nacionales de identidad digital.
Los nuevos usuarios pueden verificar su identidad mediante opciones como un número personal (Smart-ID), aplicaciones bancarias protegidas con datos biométricos o la verificación de identidad estándar.
Maple, un proveedor canadiense de telemedicina, presenta un flujo más orientado al tratamiento. En Ontario, Maple pide a los pacientes que verifiquen su identidad con un documento de identidad válido emitido por el gobierno cuando envían una solicitud de consulta con un médico o un enfermero especializado. El paciente selecciona el tipo de documento, como una tarjeta sanitaria, y a continuación toma o sube fotos nítidas del anverso y el reverso del mismo. Una vez verificado el documento, el paciente pasa a la sala de espera.
En otras provincias canadienses, los proveedores también pueden solicitar un documento de identidad válido con fotografía emitido por el gobierno para expedir recetas o subir los resultados de los análisis de laboratorio después de la visita del paciente.
¿Cómo aprovechan los estafadores los controles de identidad deficientes en el sector salud?
Los controles de identidad deficientes en el sector salud pueden permitir que un impostor acceda al portal de pacientes, reciba atención médica a nombre de otra persona, solicite medicamentos y manipule los procesos del seguro.
Los ejemplos que se muestran a continuación ilustran por qué la verificación de la identidad en el sector salud no debe limitarse a la simple creación de una cuenta. La señal de identidad debe seguir siendo fiable en todo el proceso, desde el acceso al portal hasta el tratamiento, las recetas, las reclamaciones y los flujos de trabajo dirigidos a los proveedores.
Robo de identidad médica
Debido a que muchos proveedores de salud remota ofrecen consultas sin video, los estafadores pueden aprovechar esta brecha utilizando identidades robadas o documentos falsificados para registrarse y acceder a servicios médicos. Las fuentes más comunes de datos personales en estos casos son filtraciones en sistemas de salud, correos electrónicos de phishing, mensajes y llamadas.
Como resultado, los pacientes reales pueden terminar pagando tratamientos que nunca recibieron. Además, sus historiales médicos pueden verse comprometidos, mezclándose con los datos del impostor, lo que podría derivar en diagnósticos erróneos y tratamientos inadecuados.
Caso real
En 2024, una mujer de Arizona, EE. UU., recibió facturas por cientos de miles de dólares después de que un estafador usara su identidad para recibir atención médica de varios proveedores, incluyendo consultas, pruebas y tratamientos.
Debido a la ausencia de un sistema centralizado de registros médicos en EE. UU., detectar a los impostores sigue siendo un reto para instituciones de salud y autoridades. En este caso, no se logró identificar al culpable y la investigación fue cerrada.
Fraude en seguros médicos
En países con sistemas de salud basados en seguros, los estafadores pueden utilizar identidades robadas o fabricadas para cometer fraude. Tácticas comunes incluyen presentar reclamos falsos usando el seguro de otra persona o registrarse en múltiples planes con documentos falsos para maximizar beneficios.
Este tipo de fraude impacta directamente a aseguradoras y proveedores médicos, causando pérdidas financieras y daño reputacional.
Caso real
Un gestor de facturación médica de Nueva York recibió una condena de 12 años de prisión y una orden de restitución por $336 millones tras organizar un esquema multimillonario de fraude. Entre sus tácticas, suplantaba a pacientes y sus familiares en miles de llamadas a aseguradoras, presionando para revertir rechazos o aumentar pagos de reclamos aprobados.
Fraude con deepfakes e identidades sintéticas
Los deepfakes no son ajenos al sector salud. Según un estudio de Regula, las empresas del sector han enfrentado deepfakes de audio (43 %) y video (41 %). Estos incidentes pueden causar daños a la reputación, interrupciones operativas y costos legales.
Al generar identidades sintéticas completamente falsas o parcialmente auténticas, los estafadores pueden suplantar a pacientes reales o incluso a profesionales de la salud vinculados con servicios legítimos. Esto les permite acceder de forma no autorizada a historiales médicos, obtener recetas de medicamentos restringidos o aprovechar beneficios del seguro médico del paciente para recibir consultas gratuitas.
Caso real
En 2024, una campaña de video deepfake en Facebook suplantó a un experto del Instituto Baker de Corazón y Diabetes en Melbourne, Australia. En el anuncio falso, el "doctor" promovía suplementos dietéticos como tratamiento para la diabetes tipo 2, desacreditando tratamientos aprobados legalmente.
Como resultado, tanto la organización como el experto tuvieron que emitir un comunicado oficial aclarando que el video había sido generado con inteligencia artificial y advirtiendo a los pacientes sobre la estafa. Aun así, muchos comenzaron a llamar al consultorio preguntando por el falso tratamiento.
¿Cómo fortalecer la verificación de identidad en el sector salud?
Los estafadores suelen aprovechar dos puntos débiles en la verificación de identidad de pacientes: el registro de nuevos usuarios y la autenticación de pacientes recurrentes. Por eso, para construir un sistema fiable, los proveedores de salud deben implementar procesos sólidos de validación de identidad en el onboarding y autenticaciones seguras para los usuarios ya registrados.
Las siguientes medidas pueden ayudar a combatir las amenazas relacionadas con la identidad:
1. Verificación de documentos: Realice la prueba de identidad, no solo el control de la cuenta
La verificación a través de correo electrónico, los códigos SMS y las contraseñas ayudan a confirmar el control de la cuenta. No prueban que la persona sea el paciente legítimo vinculado a un historial médico.
Lo ideal es que los proveedores de salud dispongan de pruebas de identidad más sólidas. La verificación de documentos comprueba un documento de identidad emitido por el gobierno, como un pasaporte, documento nacional de identidad, licencia de conducir o tarjeta de salud cuando proceda. El software analiza el diseño, elementos de seguridad, zonas de lectura mecánica, códigos de barras, campos de datos, fecha de vencimiento y signos de manipulación para detectar documentos falsificados o alterados.
A continuación, los datos extraídos pueden compararse con los datos introducidos por el paciente, el historial médico existente, la información del seguro o las normas de elegibilidad para recibir el servicio.
2. Prueba de vida: Compruebe que el paciente esté físicamente presentado
En la atención médica remota, una selfie o un video no son suficientes por sí solos. Un estafador puede intentar pasar la verificación con una foto impresa, una repetición de pantalla, una imagen inyectada, un rostro generado por IA o una imagen del documento de identidad robado.
La prueba de vida comprueba si la persona que se somete a la verificación está físicamente presente durante la sesión. Cuando se combina con la comparación facial, ayuda a confirmar que la persona real coincide con la fotografía que figura en el documento de identidad o en otra imagen de referencia fiable.
Esto es especialmente relevante en el caso de la incorporación de nuevos empleados a distancia, las consultas en línea, los procesos relacionados con las recetas y cualquier servicio en el que se pudiera reutilizar la imagen de un documento robado o la foto de un paciente.
Para mayor seguridad, también puede implementar la prueba de vida de los documentos de identidad, con el fin de evitar que se intenten presentar copias impresas manipuladas en lugar de documentos de identidad auténticos.
3. MFA: Mantenga sólida la autenticación después de la incorporación
La verificación de identidad establece confianza, pero un proceso de autenticación confiable la mantiene. Sustituir o complementar las contraseñas con la autenticación biométrica, como reconocimiento facial, mejora considerablemente la seguridad.
Estas medidas también ayudan a gestionar accesos, evitando amenazas internas por parte de médicos, enfermeros u otro personal implicado en el fraude sanitario.
Integración de la verificación de identidad en el sector salud en una única plataforma
En los flujos de trabajo reales en el sector salud, la verificación de la identidad rara vez sigue una ruta fija. El acceso básico al portal, el acceso completo al historial médico, las solicitudes de recetas y las actualizaciones del seguro requieren distintos niveles de garantía. Esa flexibilidad resulta difícil de gestionar cuando las comprobaciones de documentos, los datos biométricos, las pruebas de vida, la extracción de datos y la revisión manual se llevan a cabo en herramientas independientes.
Una plataforma de verificación de identidad integral, como Regula, integra todas estas señales en un único proceso de toma de decisiones automatizado. Los proveedores de salud pueden configurar los flujos de trabajo de verificación en función del perfil de riesgo, de modo que el resultado no sea un aumento generalizado de las verificaciones, sino controles más rigurosos en los momentos en que son necesarios.
Por ejemplo, los proveedores de salud pueden utilizar Regula para:
- Verificar un documento de identidad durante la incorporación remota
- Extraer los datos del paciente y compararlos con los datos introducidos o con los historiales internos
- Cotejar una selfie en vivo con el retrato de documento de identidad
- Incorporar las pruebas de vida en los procesos remotos
- Dirigir los casos fallidos, incoherentes o de alto riesgo a la revisión manual
- Mantener los resultados de la verificación disponibles para auditorías y la resolución de disputas
¿Necesita proteger el acceso de los pacientes, sus historiales, recetas y reclamaciones sin que el proceso de verificación resulte doloroso? Póngase en contacto con el equipo de Regula para diseñar el flujo de verificación de identidad más adecuado para su caso concreto en el sector salud.
