En abril de 2024, la información de identificación personal (PII) de más de cinco millones de ciudadanos de El Salvador se filtró en la dark web. Además de nombres completos, correos electrónicos y direcciones de residencia, los datos filtrados también incluían fotografías de los rostros de los ciudadanos, etiquetadas con el número de identificación de sus documentos salvadoreños (DUI). El incidente plantea numerosos riesgos potenciales relacionados con el robo de identidad y el fraude, incluido el uso de datos PII en estafas y esquemas de mulas de dinero.
Dado que la filtración de datos afectó a más del 80% de la población del país, este caso pone de manifiesto la vulnerabilidad de un componente biométrico que muchas empresas utilizan para identificar y autenticar a sus clientes en línea.
Las selfies se han convertido en algo habitual en los escenarios de verificación remota. Sin embargo, ¿pueden ser una forma suficientemente fiable y segura de confirmar la identidad de los clientes? En este artículo, lo descubriremos.
Reciba publicaciones como esta en su bandeja de entrada con el resumen quincenal del blog de Regula
Una breve explicación de la verificación de identidad mediante selfies
La verificación de identidad mediante selfies consiste en que una persona se tome una fotografía para verificar su identidad de forma remota. En diferentes escenarios, los usuarios pueden presentar una o varias fotografías, o grabar un video realizando una secuencia de acciones, como sonreír o girar la cabeza.
Una vez que el usuario ha enviado su selfie, esta se compara con una imagen de referencia de la base de datos de la empresa y/o con su fotografía en un documento de identidad emitido por el gobierno.
Esta tecnología se utiliza ampliamente durante la incorporación y autenticación de clientes, con frecuencia junto con la verificación de bases de datos y documentos de identidad.
La verificación de identidad mediante selfies como método de verificación de usuarios en línea está reconocida y contemplada por numerosos organismos reguladores en distintos países. Por ejemplo, estos son algunos de los aspectos que menciona el Government Digital Service del Reino Unido en su guía sobre el proceso:
-
La persona debe estar presente cuando se capture su imagen o video; es decir, no se puede enviar un escaneo ni cargar una imagen procedente de una fotografía o una transmisión de video.
-
La imagen o el video no deben haber sido interceptados y reutilizados (mediante un ataque de reproducción).
-
La imagen o el video de la persona deben compararse con una imagen o un video auténticos.
-
La imagen o el video deben compartirse de una manera que impida su modificación fraudulenta.
Normalmente, la verificación de identidad mediante selfies es solo una etapa del proceso de identificación y autenticación:
¿Cuáles son los principales componentes del proceso de verificación de identidad mediante selfies?
Si lo examinamos más de cerca, el proceso incluye específicamente al menos tres etapas y tarda unos pocos segundos:
-
Captura de la selfie: el usuario se toma una selfie (una o varias fotografías) o graba un video y lo envía a la app o al servicio web.
-
Análisis de la selfie: la selfie del usuario se compara con su imagen de referencia en la base de datos o con su fotografía en el ID. Si hay una coincidencia, se verifica que el usuario es legítimo.
-
Prueba de vida (comprobación opcional): durante el reconocimiento facial, es fundamental comprobar que la persona de la selfie sea real y no una falsificación (por ejemplo, un deepfake, un maniquí o una máscara).
La verificación mediante selfies requiere una imagen de buena calidad. Por eso, es fundamental proporcionar indicaciones a los usuarios durante la primera etapa. Esto les ayuda a capturar una imagen con la calidad adecuada en el primer intento. Las tecnologías integradas en las soluciones de verificación facial, como Advanced Image Capture, también pueden ayudar en este proceso.
Durante el análisis de la selfie, el software busca entre los rostros conocidos de una base de datos para determinar si existe una coincidencia. Este proceso utiliza un enfoque de uno a muchos (1:N), en el que una fotografía se compara con muchas fotografías de la base de datos (N).
Las pruebas de vida pueden detectar la presencia de atributos no antropomórficos en la selfie. Estos incluyen, entre otros, fotografías impresas en papel 2D, muñecos con apariencia humana, cabezas de cera, maniquíes, tonalidades de piel artificiales, ruido de muaré y sombras inesperadas típicas de los deepfakes.
Existen dos tipos de pruebas de vida: activas y pasivas. Las primeras, que comenzaron a utilizarse antes, requieren una serie de fotografías o un video para realizar la comprobación. También implican una mayor participación del usuario. En la prueba de vida pasiva, una sola imagen es suficiente para realizar la comprobación. Esto reduce la fricción y hace que el proceso sea más sencillo para los clientes.
Aunque es estrictamente opcional, la prueba de vida es imprescindible para establecer un proceso seguro de verificación de identidad mediante selfies.
¿Por qué vale la pena utilizar esta tecnología?
La verificación de identidad mediante selfies es una buena herramienta para incorporar entre sus demás medidas de seguridad. Los beneficios de esta tecnología incluyen:
-
Facilidad de uso: muchas personas se han tomado una selfie al menos una vez en su vida. Además, muchas utilizan escaneos faciales para desbloquear sus smartphones y publican fotografías tomadas con la cámara frontal en redes sociales. Esto significa que solicitar una selfie durante el registro no supondrá un problema para la mayoría de los usuarios.
-
Proceso fluido y rápido: normalmente, el proceso, desde la captura hasta la verificación, tarda apenas unos segundos. En el caso de la prueba de vida pasiva, solo se requiere una imagen. En Regula, también ofrecemos una comprobación de verificación en una sola captura, en la que tanto la selfie como el ID se capturan al mismo tiempo y se verifican inmediatamente.
-
Alta accesibilidad: en comparación con otros tipos de biometría, como las huellas dactilares, el reconocimiento facial es una de las formas más accesibles de completar la verificación para usuarios de diversos grupos demográficos.
-
Capa de seguridad adicional: como una pequeña parte del flujo completo de IDV, la verificación mediante selfies, junto con la prueba de vida, puede prevenir diversos ataques de suplantación de identidad en los que los defraudadores intentan utilizar la identidad de otra persona para eludir las medidas de seguridad.
Al desarrollar procedimientos de verificación, las empresas suelen pasar por alto pequeños detalles que son fundamentales para sus clientes. Descubra las principales preocupaciones de los usuarios finales relacionadas con IDV leyendo este artículo: Verificación de identidad de clientes: lo que los clientes realmente necesitan
¿Cuáles son algunos de los posibles inconvenientes?
Como cualquier tecnología, la verificación de identidad mediante selfies tiene desventajas. Estas son algunas de las principales que debe tener en cuenta al utilizar este método:
-
Bajo nivel de seguridad: cuando se utiliza por sí sola, la verificación de identidad mediante selfies muestra una baja resistencia frente a ataques sofisticados. Por ejemplo, debido a la gran disponibilidad de fotografías en redes sociales, los estafadores utilizan con frecuencia estas imágenes durante la incorporación.
-
Algoritmos sesgados: el reconocimiento facial sigue siendo imperfecto en cuanto a la precisión de la verificación de personas de diferentes nacionalidades y edades. Esto significa que puede enfrentarse a un aumento de falsos positivos al dirigirse a determinados grupos de clientes.
-
Preocupaciones sobre la privacidad: algunos clientes sienten incertidumbre a la hora de proporcionar sus datos biométricos a terceros. Es fundamental garantizar que sus datos se almacenen correctamente.
¿Cumple la verificación de identidad mediante selfies con los requisitos de KYC?
En muchos países, las soluciones de verificación mediante selfies no son suficientemente sólidas para cumplir con las políticas de prevención del lavado de dinero (AML) y los requisitos de Know Your Customer (KYC) establecidos por los organismos reguladores.
El Departamento de Comercio de Estados Unidos, a través del Instituto Nacional de Estándares y Tecnología (NIST), define niveles de seguridad bajos, medios y altos para el registro y la comprobación de identidad. Mientras que el nivel bajo no requiere vincular al usuario con una identidad real específica, tanto el nivel medio como el alto implican comprobaciones de verificación más exhaustivas. Sin embargo, la verificación mediante selfies por sí sola no es suficiente para verificar a un usuario; se necesitan más pruebas de la identidad de la persona, por ejemplo, documentos de identidad, facturas, recibos de servicios públicos que confirmen una dirección, etc.
No obstante, la presentación de selfies es una práctica habitual en los procedimientos KYC de muchas organizaciones estadounidenses. Por ejemplo, el Servicio de Impuestos Internos (IRS) exige la verificación mediante selfies junto con un documento de identidad emitido por el gobierno para conceder acceso a determinados recursos en línea.
En algunas regiones, la tecnología no se considera suficiente para fines de AML/KYC. En la UE, eIDAS funciona como uno de los principales marcos de AML/KYC. Dado que implica el uso de identificación electrónica (eID), la verificación de identidad mediante selfies queda excluida del proceso. Para obtener un eID, los clientes deben acudir a uno de los proveedores de eID de confianza, que suelen exigir una verificación presencial o por video.
Ejemplos reales de verificación mediante selfies
A pesar de no ser perfecta, esta tecnología funciona bien en determinados casos de uso. Estos son cuatro escenarios habituales en los que puede recurrir a la verificación de identidad mediante selfies:
-
Una etapa adicional en la incorporación de clientes: algunas empresas digitales que operan principalmente con transacciones de bajo valor, como las empresas de servicios, los servicios de vehículos compartidos y los operadores de telecomunicaciones, pueden utilizar la verificación mediante selfies al identificar a nuevos usuarios.
-
Refuerzo de la seguridad durante el check-in: la confirmación de la identidad de una persona mediante una comprobación de selfie se utiliza ampliamente en hoteles y aerolíneas como parte del procedimiento de check-in de autoservicio a través de apps móviles y quioscos.
-
Confirmación de transacciones: la verificación mediante selfies también puede utilizarse para aprobar pagos durante las operaciones de banca en línea.
-
Acceso instantáneo a plataformas digitales: una comprobación de selfie puede incorporarse al flujo de autenticación multifactor para usuarios de servicios de educación en línea y marketplaces, incluidos aquellos que llevan mucho tiempo sin iniciar sesión en su cuenta.
Regula ofrece un SDK de verificación facial que puede integrarse fácilmente en su proceso actual. Con Regula Face SDK, puede crear un flujo personalizado teniendo en cuenta las preferencias y características demográficas de su público objetivo. Agende una llamada con uno de nuestros representantes para analizar su caso en detalle.
