Suplantación: los patrones que siempre vuelven.
Las técnicas cambian; las formas del fraude de identidad se repiten.
Cada pocos años aparece una técnica nueva de fraude de identidad que parece cambiarlo todo. Primero fueron las contraseñas robadas, después los mensajes de texto interceptados, más tarde las fotos y las máscaras, y ahora los videos y las voces generados por inteligencia artificial. Las herramientas cambian rápido. Las formas del fraude, en cambio, son pocas y se repiten. Conocerlas permite diseñar defensas que no queden obsoletas con la próxima novedad.
Seis patrones
1. Robar la credencial
El atacante obtiene lo que la persona usa para demostrar quién es: una contraseña, un código, una clave. El camino clásico es el engaño, con mensajes que imitan a un banco o a un proveedor. Funciona contra cualquier sistema que dependa de un secreto que la persona puede revelar.
2. Interceptar el canal
En lugar de robar el secreto, el atacante se pone en el camino por donde viaja. El ejemplo más conocido es el duplicado fraudulento de una tarjeta SIM para recibir los códigos que llegan por mensaje de texto. Por eso la guía de identidad digital del NIST considera desde 2017 que el código por SMS es un autenticador de uso restringido.
3. Falsificar la presentación
Ante una cámara o un sensor, el atacante muestra algo que no es la persona: una foto, una pantalla con un video, una máscara, un documento adulterado. La norma ISO/IEC 30107 llama a esto ataques de presentación y define cómo evaluar la capacidad de un sistema para detectarlos.
4. Inyectar en lugar de presentar
Un paso más allá: el atacante no pone nada frente a la cámara, sino que reemplaza la señal de la cámara por un video fabricado, a través de cámaras virtuales, emuladores o dispositivos manipulados. Aquí es donde los rostros y voces sintéticos son más peligrosos, porque el sistema nunca ve el mundo real.
5. Engañar a la persona legítima
El fraude más difícil de detectar es aquel en que la persona correcta, con su credencial correcta, firma o autoriza algo bajo engaño. En 2024, la policía de Hong Kong informó el caso de un empleado de una multinacional que transfirió unos 200 millones de dólares de Hong Kong tras una videollamada en la que todos los demás participantes, incluido un supuesto director financiero, eran imitaciones generadas por inteligencia artificial. Ningún control de identidad falló: la persona era quien decía ser.
6. Abusar de la recuperación
Muchos sistemas son estrictos para entrar y generosos para recuperar una cuenta. Si basta una llamada a la mesa de ayuda o un correo para cambiar el teléfono o restablecer la clave, ese es el verdadero nivel de seguridad del sistema, por exigente que sea todo lo demás.
Del patrón a la defensa
| Patrón | Defensa que no depende de la técnica de moda |
|---|---|
| Robo de credencial | Factores que no pueden revelarse ni reutilizarse, como claves en el dispositivo o llaves físicas. |
| Intercepción del canal | Autenticadores ligados al dispositivo en lugar de códigos que viajan por la red telefónica. |
| Presentación falsa | Detección de vida evaluada en forma independiente, y lectura del chip del documento en lugar de su foto. |
| Inyección | Controles sobre la integridad del dispositivo y de la captura, además de la imagen. |
| Engaño a la persona | Verificación por un canal distinto, doble aprobación y pausas para operaciones inusuales. |
| Recuperación débil | Exigir para recuperar el mismo nivel que para registrarse. |
- ¿Contra cuáles de los seis patrones protege, y contra cuáles no?
- ¿La recuperación de cuenta tiene el mismo nivel que el registro?
- ¿Hay una pausa o una segunda aprobación para lo inusual?
- ¿La evidencia registra qué controles se aplicaron y con qué resultado?
El fraude de identidad sigue seis patrones: robar la credencial, interceptar el canal, falsificar la presentación, inyectar señales, engañar a la persona legítima y abusar de la recuperación. Las técnicas cambian, los patrones no. Una defensa por capas, pensada para cada patrón y registrada en la evidencia, resiste mejor que cualquier tecnología aislada.