Explorando la verificación de identidad para loterías y juegos de azar en línea

Las loterías y los juegos de azar en línea conforman una industria masiva y lucrativa, pero también es una industria con una estricta supervisión regulatoria y un alto riesgo de exposición al fraude y al blanqueo de capitales. Los operadores están bajo una presión creciente por parte de organismos nacionales e internacionales para cumplir con una serie de directrices, y no todos lo están logrando: en 2024, los reguladores multaron a empresas de juegos de azar con más de 184 millones de dólares a nivel mundial.

Por eso, cada vez más negocios en la industria están adoptando soluciones sólidas de verificación de identidad para protegerse a sí mismos y a sus clientes. En este artículo, analizamos por qué la verificación de identidad en los juegos de azar y loterías en línea es tan importante hoy en día, y cómo se está implementando.

Esta puede ser la pregunta equivocada para comenzar, ya que alguna forma de verificación de identidad es simplemente obligatoria para las plataformas de juegos de azar o loterías en línea con licencia en muchas jurisdicciones. Por ejemplo, la ley del Reino Unido ahora exige que todas las empresas de juegos de azar en línea verifiquen la edad y la identidad de un cliente antes de que este pueda depositar fondos o realizar una apuesta. Además, se les prohíbe retrasar las comprobaciones de identidad hasta el momento de un retiro, una práctica que anteriormente permitía que algunas cuentas falsas se filtraran.

Hay tres razones principales para realizar verificaciones de identidad en los jugadores:

• Previenen el juego de menores de edad: Los operadores están legalmente obligados a confirmar que cada cliente está por encima de la edad mínima para jugar (18 años, o 21 en algunas jurisdicciones). Deben comprobar la fecha de nacimiento de cada nuevo jugador contra documentos de identidad o bases de datos para asegurarse de que ningún menor pueda realizar apuestas.

• Hacen que las plataformas cumplan con las normas de KYC y PBC: Estas regulaciones obligan a los operadores a confirmar la identidad de cada cliente y evaluar su riesgo antes de permitirle jugar. Esto ayuda a evitar que los delincuentes utilicen los sitios de juego para blanquear capitales o cometer fraude. Verificar la identidad (por ejemplo, nombre, dirección y fecha de nacimiento) es el primer paso para llevar a cabo la debida diligencia sobre los jugadores.

• Habilitan la autoexclusión a demanda: Muchas jurisdicciones también mantienen programas de autoexclusión para jugadores con problemas (por ejemplo, GamStop en el Reino Unido o CRUKS en los Países Bajos). Los casinos y loterías deben verificar la identidad de un jugador para comprobar si se ha autoexcluido o si tiene prohibido jugar, y bloquearlo en el registro si este es el caso.

Al igual que la verificación de identidad en los videojuegos, este proceso protege tanto a los jugadores como al negocio. Mantiene a los menores y a las personas autoexcluidas fuera de la plataforma, previene el fraude y mantiene al operador dentro del marco legal.

La verificación de identidad en los juegos de azar y las loterías en línea es una combinación de soluciones tecnológicas: el proceso normalmente integra varias capas de comprobaciones para maximizar la precisión y detectar el fraude. A continuación, se presentan los principales métodos en uso:

Las plataformas en línea integran SDKs de verificación de documentos que guían al usuario para capturar una imagen clara de su documento de identidad (por ejemplo, pasaporte, licencia de conducir o tarjeta nacional de identidad) con su dispositivo móvil. El software luego extrae los datos y realiza una serie de comprobaciones de autenticidad en el documento. Estas comprobaciones incluyen validar la zona de lectura mecánica (MRZ) o el código de barras PDF417 contra el texto impreso, inspeccionar los elementos  de seguridad visual del documento frente a una base de datos de plantillas, detectar cualquier manipulación.

Sin embargo, no todos los procedimientos de verificación de identidad son iguales: mientras que algunos son integrales, otros son bastante simplistas y tienen como objetivo verificar solo un parámetro. Por ejemplo, en Texas, Estados Unidos, una iniciativa reciente implementó la verificación de edad en quioscos de lotería de autoservicio. Para comprar un boleto en una máquina expendedora, un jugador debe escanear el código de barras 2D de su licencia de conducir, que luego se verifica a través de la base de datos del DMV estatal para asegurarse de que el cliente tenga más de 18 años.

Vale la pena señalar que algunos países incluso han sido pioneros en el uso de identificaciones digitales nacionales para simplificar el proceso. Por ejemplo, el sistema BankID de Suecia permite a los usuarios verificar su identidad y edad a través de sus credenciales de BankID, que son emitidas por bancos y están vinculadas a datos de identificación gubernamentales. Se sabe que los casinos en línea suecos utilizan BankID para el inicio de sesión y la incorporación de jugadores, lo que no solo hace que el registro sea extremadamente rápido, sino también seguro, ya que BankID es altamente confiable.

Dado que una identificación robada puede pasar las comprobaciones anteriores, muchas plataformas agregan un paso biométrico para confirmar que la persona que crea la cuenta es realmente el titular. Por lo general, esto significa pedirle al usuario que se tome una selfie en vivo y luego usar el reconocimiento facial para comparar ese rostro con la foto del documento de identidad. Si el rostro no coincide, el registro es rechazado sin importar el estado del documento de identidad.

Igualmente importante que la comparación de rostros es la prueba de vida, que garantiza que la selfie del usuario provenga de una persona viva y no de una foto de otra persona. La prueba de vida puede ser activa (cuando un sistema solicita al usuario realizar una acción) o pasiva (cuando un sistema detecta señales sutiles de vida a partir de un solo fotograma, como textura de la piel y profundidad). Si bien la prueba de vida activa es posiblemente más segura, también resulta más intrusiva para los usuarios; por eso, la alternativa pasiva se utiliza con mayor frecuencia.

Además, algunos sistemas ahora integran la estimación de edad basada en la imagen de la selfie. Software como Regula Face SDK puede usar rasgos faciales para estimar si la edad del usuario cae dentro de un umbral determinado. No es un método independiente para la verificación de edad en ningún caso, pero aun así puede funcionar como un mecanismo adicional para detectar usuarios menores de edad.

Una vez confirmada la identidad del jugador, los operadores también realizan verificaciones cruzadas del perfil en una o varias bases de datos, incluyendo:

• Listas de autoexclusión: Como se mencionó anteriormente, la identidad verificada se comprueba contra un registro nacional de autoexclusión o la propia lista del operador de jugadores prohibidos. Si hay coincidencia, la cuenta es bloqueada o investigada más a fondo.

• Bases de datos de fraude: Algunas compañías también mantienen bases de datos internas de estafadores conocidos (por ejemplo, personas detectadas previamente haciendo trampa) y de individuos de alto riesgo. Pueden comparar los nuevos registros con estos antecedentes y evitar reincidencias.

• Revisión de sanciones y PEP: Dado que las compañías de juegos están sujetas a las normas de PBC, en ocasiones examinan a los nuevos clientes en listas internacionales de sanciones y bases de datos de personas políticamente expuestas (PEP). Si alguien es un delincuente conocido o una figura política de alto perfil, el operador puede necesitar realizar una diligencia debida mejorada o incluso rechazar al cliente para evitar facilitar actividades ilícitas.

Además, los operadores realizan revisiones relacionadas con PBC en los perfiles de los clientes. Estas comprobaciones son parte de los procedimientos de cumplimiento estándar: alinean los datos de identidad con la fuente declarada de fondos y marcan cualquier patrón inusual.

Este es siempre el mayor desafío para cualquier organización, ya que las licencias de conducir o pasaportes falsificados de alta calidad están ampliamente disponibles en el mercado negro. Además, los atacantes también pueden usar datos personales robados para crear identidades sintéticas o piratear cuentas existentes.

Las tecnologías avanzadas de verificación de identidad mencionadas anteriormente son capaces de enfrentar estas amenazas de manera confiable. Por ejemplo, el Grand Casino Luzern de Suiza (más específicamente, su plataforma de juegos en línea mycasino) ha mejorado enormemente la precisión de sus verificaciones y reducido el tiempo de incorporación con Regula Document Reader SDK. Antes de esta implementación, dependían de revisiones manuales, que eran bastante lentas y propensas a errores.

Otras formas de evadir la verificación de identidad en los juegos no implica reemplazar el documento, sino el rostro. En tales casos, los operadores enfrentan ataques de presentación: fotos, máscaras, pantallas, o incluso deepfakes generados con inteligencia artificial. Sin embargo, soluciones como Regula Face SDK pueden frustrar tales amenazas con un reconocimiento facial preciso y prueba de vida.

A veces, la verificación de identidad para juegos de azar puede ser demasiado estricta, lo que arruina la experiencia del usuario durante la incorporación. Un proceso complicado de verificación añade fricción para los nuevos jugadores: pedir a alguien que no solo escanee, sino que también incline sus documentos, sonría a la cámara y/o espere una aprobación puede provocar abandono del registro, a menos que el procedimiento esté implementado de forma fluida. Al mismo tiempo, las empresas no quieren correr el riesgo de fraude o incumplimiento. 

Por eso, la verificación de identidad debe estar perfectamente equilibrada para que sea tan segura y fácil de usar como sea posible. La tendencia en la industria es adoptar la verificación basada en riesgos, en la que los clientes de bajo riesgo pueden pasar con una rápida comprobación en bases de datos o un escaneo de documento, mientras que los solicitantes de mayor riesgo activan comprobaciones más profundas.

Los juegos de azar en línea están regulados de manera diferente en cada jurisdicción, y los operadores que atienden a clientes internacionales deben enfrentar un mosaico de normas. Los límites de edad, los tipos de documentos aceptados, las leyes de privacidad de datos y los procedimientos de KYC pueden variar ampliamente según el país o estado.

Aquí algunos ejemplos:

• La edad mínima para jugar es 18 años en la mayor parte de Europa, pero 21 en muchos estados de EE. UU. (e incluso 20 en algunos países como Japón para los casinos).

• Algunos reguladores permiten un período de gracia para la verificación, mientras que otros (como el Reino Unido) exigen la verificación inmediata al registrarse.

• Ciertos mercados requieren métodos locales específicos. En los Países Bajos, un casino en línea con licencia debe realizar múltiples comprobaciones: verificar los datos de identidad del usuario mediante el sistema bancario vinculado iDIN, confirmar que la cuenta bancaria (IBAN) coincida con su nombre, escanear el documento de identidad y consultar la base de datos de exclusión CRUKS — todo esto antes de permitir que el usuario juegue.

Si no se tienen en cuenta estos detalles, los operadores pueden sufrir daños financieros y reputacionales. Un caso reciente fue Bet365, un popular servicio de juegos en línea en el Reino Unido, que tuvo que pagar £582,120 (aproximadamente $735,442) por fallos en la prevención del blanqueo de capitales y en la responsabilidad social. Entre otras violaciones, Bet365 fue multado por no realizar comprobaciones independientes de verificación de identidad de jugadores, confiando en cambio en la autoverificación anual de los datos KYC por parte de los clientes.

Una verificación de identidad sólida mantiene los juegos de azar en línea y las loterías justos y seguros para todas las partes, y libres de delitos. El principal desafío es implementarla de una manera que no aleje a los clientes y que al mismo tiempo cumpla con todos los requisitos pertinentes.

Esto puede lograrse con la ayuda de soluciones como Regula Document Reader SDK y Regula Face SDK, que pueden integrarse fácilmente en sus aplicaciones móviles o web existentes.

Regula Document Reader SDK procesa imágenes de documentos y verifica su presencia real (comprobación liveness de documentos). El software identifica automáticamente el tipo de documento, extrae toda la información necesaria, realiza una validación cruzada y confirma si el documento es genuino con un conjunto integral de comprobaciones de autenticidad. Regula Document Reader SDK admite todas las principales características de seguridad dinámicas, incluyendo: hologramas, tintas ópticamente variables (OVIs), imágenes múltiples por láser (MLIs), y más recientemente, Dynaprint®.

Al mismo tiempo, Regula Face SDK realiza reconocimiento facial instantáneo y previene ataques de presentación fraudulentos como imágenes faciales estáticas, fotos impresas, reproducciones de video, inyecciones de video, o máscaras. También puede realizar estimación de edad, informando a los operadores si la edad del usuario se encuentra dentro de un umbral determinado. Cuando se combina con la verificación de documentos, ambos ofrecen una solución confiable de verificación de edad, validando la edad del usuario tanto a partir de su documento de identidad como mediante el análisis biométrico.

En términos prácticos, el software de Regula puede integrarse como la pieza clave de su proceso de incorporación. ¿Desea saber más? Agende una llamada con nuestro equipo: le ayudaremos a implementar una verificación de identidad más segura, conforme a la normativa y enfocada en la mejor experiencia del cliente.