Amenazas para la comprobación de identidad: Un mapa completo de los riesgos conocidos

No hay mucho que pueda salir mal durante la etapa de inicio, cuando un usuario solicita servicios, a menos que lo haga en una plataforma que solo finge ser legítima. Aquí es donde entran en juego los ataques de phishing.

El phishing, una táctica común de ciberdelincuencia, implica que los atacantes adopten métodos engañosos para hacerse pasar por entidades confiables, como bancos o minoristas. Su objetivo es engañar a los usuarios para que revelen información personal. Las tácticas suelen incluir la creación de sitios web que imitan marcas conocidas, o el envío de correos electrónicos que parecen provenir de fuentes reputadas.

El problema surge cuando un usuario proporciona sus datos de ID a un sitio web de phishing. En estos casos, la organización suplantada por los defraudadores normalmente no está al tanto de esta actividad, lo que dificulta tomar medidas inmediatas.

Lo que usted puede hacer como organización es educar a sus clientes, prospectos y empleados sobre los ataques de phishing. Enseñar a los usuarios a detectar estafas de phishing implica comunicar claramente las directrices de su empresa. Por ejemplo, es esencial enfatizar que usted nunca les pedirá enviar una copia de su ID por correo electrónico.

Las etapas de recopilación y verificación de atributos y evidencias representan el núcleo de los procesos de comprobación de identidad, pero también concentran el mayor potencial de vulnerabilidades de seguridad. Exploremos cuáles son y analicemos posibles soluciones.

Desafío. La comprobación de identidad depende de la fiabilidad y precisión de los documentos de identidad usados para la verificación. Sin embargo, pueden surgir dos desafíos en este ámbito:

• El uso de documentos de identidad con seguridad insuficiente. En sentido estricto, cualquier documento de identidad no electrónico puede considerarse insuficientemente seguro para la verificación de identidad remota.

• El uso de documentos de identidad que carecen de precisión. En su mayoría, se trata de tipos antiguos de IDs que aún pueden considerarse válidos, pero que no contienen suficientes datos para verificar de forma confiable a una persona.

Solución. Ambas amenazas anteriores son relativamente fáciles de prevenir aceptando solo documentos electrónicos de viaje de lectura mecánica (eMRTD), como pasaportes y tarjetas de identidad, equipados con un chip RFID integrado.

Decimos “relativamente” porque, en realidad, muchos documentos sin chip siguen en circulación. Además, algunos países todavía no emiten eMRTD. Al momento de escribir esto, los ciudadanos de India, uno de los países más poblados del mundo, todavía no pueden obtener pasaportes electrónicos (aunque las autoridades indias anunciaron planes de hacerlo en un futuro cercano).

Aceptar documentos de identidad que no pueden verificarse con una firma digital siempre es un compromiso y un asunto serio para la gestión de riesgos. Los proveedores de verificación de identidad conocen este desafío y trabajan para encontrar formas adicionales de abordarlo, aunque es importante señalar que ninguna de estas alternativas puede igualar la efectividad de la verificación del chip.

Una de las soluciones alternativas en términos de proceso es solicitar evidencia adicional para proporcionar atributos adicionales y respaldar los resultados de verificación.

Desafío. Si un atacante consigue un documento de identidad genuino que puede haber sido robado o revocado, esto crea el escenario perfecto para el robo de identidad. Es una táctica común, que a menudo se combina con un ataque de presentación durante la etapa de verificación. El objetivo es engañar al software de verificación o al inspector humano.

Solución. El enfoque para abordar esta amenaza depende de cuál sea exactamente el caso.

Si se presenta un documento genuino robado a otra persona por parte de un impostor, esto debe detectarse en la etapa de vinculación mediante una comprobación biométrica que compare el retrato en el documento con la apariencia de quien lo presenta.

La clave aquí es qué se usa exactamente como fuente de datos de referencia para esta comparación: los datos de la zona de inspección visual (VIZ) o los del chip RFID. Idealmente, debe usar los datos del chip, ya que es probable que los defraudadores modifiquen la VIZ: por ejemplo, podrían reemplazar o alterar la foto.

Además, es necesario no solo leer los datos del chip, sino también volver a verificarlos del lado del servidor para evitar el riesgo de que los datos sean manipulados (más detalles en la sección Manipulaciones con datos capturados, más abajo).

En cuanto a documentos ya revocados, los estándares recomiendan usar servicios especiales de estado de documentos cuando sea posible y, si se trata de una eID, comprobar la validez de sus certificados de firma frente a listas de revocación de certificados (CRL). Son buenas recomendaciones; sin embargo, no siempre son viables.

Primero, pocos países cuentan con estos servicios en línea. Segundo, si estos servicios existen, en su mayoría cubren solo pasaportes. Esto nos lleva de vuelta a la recomendación anterior: verifique siempre los datos del chip. Si un documento tiene un chip dañado, lo mejor es tratarlo como si no tuviera chip y, idealmente, no aceptar estos documentos para verificación de identidad remota.

Desafío. El enfoque para contrarrestar esta amenaza varía según si la verificación ocurre en persona o de forma remota.

Tener un documento físico a mano es el escenario ideal de verificación, donde un inspector puede examinar detalladamente las medidas de seguridad incorporadas en el documento, incluidos hologramas, marcas de agua, microimpresión, patrones UV y más. Además, usted puede notar si algo está mal juzgando el comportamiento del solicitante. Esta ventaja también se pierde con un proceso remoto.

Cuando la verificación ocurre de forma remota, cualquier imperfección que podría generar señales de alerta en documentos físicos puede pasar desapercibida. Esto puede suceder debido a las limitaciones de las imágenes estáticas, que a menudo sirven como base para la verificación remota de documentos.

Si su solución solo permite aceptar imágenes, este riesgo es crítico. Las alteraciones pueden aplicarse al escaneo de un documento auténtico en un editor de fotos. Además, las imágenes estáticas pueden carecer de la profundidad necesaria para examinar eficazmente medidas de seguridad dinámicas, como hologramas.

Solución. Para mitigar este desafío, la comprobación de identidad remota requiere captura de video durante la presentación del documento. A diferencia de las imágenes estáticas, el video permite un examen más completo de las medidas de seguridad del documento. Este enfoque dinámico mejora la capacidad de detectar incluso irregularidades sutiles y proporciona un mayor nivel de confianza en el proceso de verificación.

Desafío. Hay miles de documentos de identidad válidos en uso en todo el mundo. Sin embargo, distintos proveedores pueden ofrecer soporte inconsistente para reconocer cada tipo de documento.

Solución. Es importante asegurarse de que el sistema pueda reconocer y verificar una amplia variedad de tipos de documentos, como pasaportes, tarjetas de identidad, licencias de conducir y más. Al mismo tiempo, la solución ideal debe ser lo suficientemente flexible como para actualizarse de forma frecuente y regular a medida que estén disponibles nuevos tipos de documentos y variaciones.

Además, un consejo aquí sería no buscar simplemente un proveedor con “la colección más grande de plantillas de documentos”. La pregunta correcta es qué tan completa es la base de datos. Como referencia, la base de datos de Regula incluye más de 16,000 plantillas examinadas por expertos forenses hasta el atributo más pequeño. Esto puede garantizar tanto cobertura global como una sólida credibilidad de los resultados.

Desafío. Cuando operadores humanos participan en el paso de verificación de identidad, es posible que no tengan la experiencia necesaria para realizar esta tarea en el 100% de los casos. Esto puede ser aprovechado por atacantes: pueden presentar un documento raro, aprovechándose de la falta de familiaridad del operador. Otro desafío surge de la posibilidad de error humano.

Solución. Se recomienda adoptar procesos automatizados siempre que sea posible. Incluso si se trata de un proceso presencial, será más confiable (además de mucho más rápido y preciso) si un operador cuenta con dispositivos especiales de lectura de documentos.

En el caso de un flujo remoto, existen herramientas diseñadas específicamente que están entrenadas para hacer todo el trabajo pesado en segundos. Document Reader SDK le permite automatizar completamente el proceso, eliminar la posibilidad de error humano y mejorar la fiabilidad general del proceso de comprobación de identidad.

Por supuesto, también puede optar por un enfoque híbrido. Este método combina la experiencia humana y la tecnología automatizada de aprendizaje automático para la verificación de documentos, añadiendo así una capa adicional de protección.

Independientemente del caso, es fundamental contar con una base de datos de referencia extensa, como se mencionó antes.

Desafío. Un problema significativo en la comprobación de identidad surge cuando los documentos de identidad se capturan deliberadamente de una manera que los hace verse peor. Los defraudadores pueden manipular la calidad de las imágenes o videos de documentos que se envían electrónicamente. Por ejemplo, podrían limitar deliberadamente el ancho de banda o alterar las condiciones de captura, por ejemplo reduciendo la iluminación ambiental. Con imágenes de tan mala calidad, resulta difícil, o incluso imposible, detectar un documento falso o identificar con precisión a la persona que lo envía.

Solución. Para combatir esta amenaza, las soluciones adecuadas de comprobación de identidad establecen requisitos para la calidad de los documentos enviados y rechazan aquellos que no los cumplen.

Desafío. A veces, los atacantes intentan usar imágenes o videos en lugar de documentos de identidad genuinos para la verificación. En un intento de engañar a los sistemas automáticos, pueden usar fotos de documentos falsos.

Otros atacantes van más allá y presentan videos de documentos de identidad falsificados con dispositivos ópticamente variables (OVD) simulados.

En ambos casos, los defraudadores pueden colocar una pantalla frente a la cámara en lugar de un ID genuino.

Solución. Los sistemas de comprobación de identidad deben emplear procesos rigurosos de captura de video, exigir comprobaciones de medidas de seguridad y evitar procedimientos totalmente automatizados para la verificación remota con documentos no electrónicos. La función de comprobación liveness de documentos de Regula se encarga de este procedimiento: realiza una comprobación de captura de pantalla y verifica la presencia de medidas de seguridad dinámicas, como hologramas y efecto moiré.

Desafío. Este tipo de amenaza es bastante sofisticada. Los atacantes pueden intentar inyectar datos directamente para eludir la validación, alterar los datos antes de que se transmitan, o incluso interceptar datos recopilados al verificar la identidad de un solicitante legítimo y volver a enviar esos datos capturados.

Solución. La regla de oro aquí es nunca confiar en la verificación realizada en el dispositivo de un usuario. En el caso de un proceso remoto, existe el riesgo de que los defraudadores intercepten y modifiquen los resultados de verificación. Los datos deben volver a verificarse del lado del servidor para asegurar que sean creíbles.

Es importante que los datos se cifren de forma segura durante la transmisión desde el cliente al servidor para su procesamiento. El cifrado debe cumplir con los requisitos de seguridad de red (claves de sesión únicas, cifrado asimétrico sobre TLS, etc.).

Además, puede ser beneficioso almacenar datos de forma segura en su servidor dentro de un perímetro protegido, para que usted siempre pueda volver a comprobar los resultados en el futuro por cualquier motivo, ya sea en caso de duda o de una brecha de seguridad. Para mantenerse seguro, idealmente un proveedor de verificación de identidad debería ofrecer opciones on-premises.

Esta fase implica vincular la identidad verificada con el solicitante legítimo y, como veremos, trae consigo su propio conjunto de vulnerabilidades potenciales.

Desafío. Surge un desafío significativo cuando los atacantes intentan engañar al sistema presentando imágenes estáticas, como fotografías, en lugar del rostro real y vivo del solicitante legítimo. Los atacantes pueden emplear distintos métodos, como colocar una pantalla o una foto impresa frente a la cámara, para imitar la presencia del solicitante.

Solución. Para mitigar esta amenaza de forma efectiva, una foto por sí sola se considera insuficiente. En su lugar, necesita una grabación de video del rostro vivo del solicitante. Este enfoque dinámico garantiza que el proceso de vinculación implique una representación auténtica y en tiempo real del solicitante, lo que lo hace significativamente más resistente frente a engaños con imágenes estáticas.

Además, es importante prestar atención a qué tipo de pruebas de vida pueden ofrecer los proveedores. El tipo más seguro es una prueba de vida activa, durante la cual los sistemas piden a una persona no solo tomarse una selfie, sino también realizar algunas acciones aleatorias.

Desafío. Los atacantes pueden usar videos editados en lugar del rostro vivo genuino del solicitante legítimo. Crean videos que imitan la secuencia de acciones solicitada por el sistema para autenticar al solicitante, como sonreír o girar la cabeza, y luego los muestran en una pantalla frente a la cámara para suplantar convincentemente al solicitante.

Solución. Para contrarrestar esta amenaza de forma efectiva, deben implementarse capacidades de prueba de vida. Esta funcionalidad es clave para proteger el proceso de vinculación al garantizar que solo se acepten interacciones genuinas en vivo.

Desafío. Los atacantes recurren al uso de máscaras para suplantar a otras personas, a menudo mediante documentos de identidad robados. Existe una gran variedad de técnicas para crear máscaras convincentes, desde fotos recortadas hasta máscaras de látex o silicona muy realistas.

Solución. Para abordar esta amenaza de forma efectiva, son obligatorios los requisitos relativos a la prueba de vida y a la detección de ataques de presentación.

Desafío. Los atacantes emplean software basado en IA para generar videos en tiempo real del rostro del solicitante legítimo, imitando el comportamiento del atacante. Este video puede ser pregrabado o generado en tiempo real. Los atacantes pueden usar pantallas frente a la cámara o manipular el flujo de video de la cámara para insertar sin fricciones contenido generado por IA.

Solución. Nuevamente, las medidas de prueba de vida son esenciales para distinguir personas vivas genuinas de contenido generado por IA, reforzando la seguridad del proceso de vinculación.

Desafío. Cuando un operador humano participa en el proceso, surge un problema significativo si carece de la competencia necesaria para identificar personas con precisión. Por ejemplo, puede no tener experiencia previa trabajando con personas de distintos grupos étnicos o razas.

Solución. Este desafío se resuelve con una capacitación similar a la que reciben los oficiales de control fronterizo. Algunas empresas optan por subcontratar la revisión manual de IDs; sin embargo, es difícil garantizar la sostenibilidad de estos servicios.

Al mismo tiempo, las soluciones automatizadas de verificación biométrica han dado un enorme salto en esta dirección. Estas soluciones pueden comparar de forma efectiva y concluir si la persona frente a la cámara es la misma cuya foto aparece en su ID.

Desafío. Usar biometría para la vinculación puede ser complicado cuando las personas se parecen mucho al solicitante legítimo, especialmente en casos con gemelos o familiares cercanos, y cuando los documentos de identidad de referencia están algo desactualizados. Este parecido crea un riesgo de suplantación.

El hecho de que algunos documentos de identidad puedan seguir siendo válidos durante un periodo prolongado también puede crear problemas cuando la apariencia de la persona ha cambiado significativamente en comparación con la foto del documento. Además, la propia foto puede ser de mala calidad.

Todo lo anterior puede ser explotado por atacantes para ataques de “parecidos”, donde se usa la semejanza con el solicitante legítimo para engañar al sistema.

Solución. Este punto es complejo. En los sistemas biométricos, existen más que dos valores: “coincide” y “no coincide”. También hay un límite difuso que puede generar dudas. Un sistema automático siempre tiene un umbral de decisión, que es un equilibrio entre “todos son bienvenidos” y “nadie pasará”.

Los sistemas de reconocimiento facial operan con dos métricas, que pueden ajustarse:

• False Rejection Rate (FRR), es decir, cuántas personas legítimas fueron rechazadas

• False Acceptance Rate (FAR), cuántas personas incorrectas fueron aceptadas

Usted puede configurar el sistema para que los gemelos nunca pasen; sin embargo, esto llevará a que un gran porcentaje de personas legítimas tampoco pueda pasar (debido a cambios de apariencia, cambios por edad, etc.). En otras palabras, elevar el umbral genera problemas de conversión. También puede establecer un umbral más bajo como compromiso en favor de la eficiencia operativa, para que la mayor cantidad posible de personas legítimas sea verificada correctamente.

Las empresas deben encontrar la proporción adecuada para sí mismas según su caso de negocio. Naturalmente, los servicios para compartir scooters y las organizaciones financieras tratarán estas métricas de forma diferente.

Desafío. En procesos de validación de identidad que dependen de datos de referencia, pueden surgir problemas relacionados con la inconsistencia o inexactitud de los datos. Esto puede incluir variaciones en transliteración, homónimos u otras inconsistencias.

Solución. Usar soluciones de parsing de ID en lugar de OCR convencional o ingreso manual de datos puede garantizar que las inconsistencias e inexactitudes de datos se aborden de forma efectiva.

Los algoritmos suelen ser más efectivos para resolver conflictos derivados de diferencias en la representación de nombres desde varias fuentes o evidencias, problemas de codificación (por ejemplo, falta de diacríticos), variaciones en la representación de nombres (como el uso de iniciales frente a nombres completos), errores tipográficos y otras discrepancias potenciales.

Pero es más que solo errores tipográficos. El parsing de datos también realiza análisis léxico y puede validar que cada campo del documento diga exactamente lo que debe decir.

Debe tener mucho cuidado al elegir software de comprobación de identidad. Hay muchos proveedores en el mercado, pero no todos pueden autenticar y verificar documentos de identidad al nivel requerido.

Cuando se trata de comprobación de identidad, el énfasis está en la integridad de su solución. Si bien en esta publicación hemos subrayado la importancia de la verificación del chip, es solo una faceta vital de un proceso mucho más amplio. Para garantizar credibilidad, todo el proceso de comprobación de identidad debe construirse meticulosamente.

Considere esto: con cada componente adicional integrado en el sistema, se multiplica la probabilidad de errores derivados de componentes inconexos. No es solo una cuestión de facilidad de integración. Cuando usted reúne componentes de distintos proveedores, también introduce a muchas personas en el proceso de integración, cada una con su propio nivel de experiencia.

Idealmente, optar por una solución de comprobación de identidad de un solo proveedor que haya perfeccionado sus capacidades en verificación de identidad puede mitigar significativamente todos los desafíos anteriores.