El proceso de verificación biométrica se ha convertido en un estándar en la industria financiera. Para millones de usuarios, mirar a la cámara del teléfono y seguir instrucciones en pantalla es el método habitual para confirmar su identidad en una aplicación bancaria. Esta tecnología transmite una sensación de seguridad robusta, partiendo de la premisa de que, a diferencia de una contraseña, un rostro es prácticamente imposible de falsificar. Sin embargo, recientes investigaciones presentadas en la conferencia DEF CON, en Las Vegas, han puesto en duda esta certeza.
Dos equipos de investigadores, provenientes de Argentina y Ecuador, demostraron que muchos de estos controles pueden ser manipulados directamente desde el dispositivo móvil. Durante sus presentaciones, los especialistas lograron introducir imágenes y videos preparados en el flujo de verificación, superando las llamadas "pruebas de vida" y engañando a sistemas diseñados específicamente para detectar deepfakes.
El problema central, según advirtieron los expertos, radica en la confianza excesiva que las aplicaciones depositan en la información que entrega el teléfono del usuario. Las entidades financieras suelen asumir que la cámara está capturando una imagen en vivo, que el video no ha sido alterado y que el dispositivo no ha sido manipulado. Dan Borgogno, investigador argentino de la empresa de ciberseguridad Faraday, explicó que es sumamente difícil verificar que los datos no hayan sido modificados cuando el atacante posee el control total tanto de la aplicación como del teléfono donde esta se ejecuta.
Borgogno, junto a Javier Bernardo de Strike Security, presentó el estudio "The Glass Perimeter: Systematic Bypasses in Biometric Frameworks and the Rise of Synthetic Identity". Tras seis meses de análisis sobre los principales sistemas biométricos utilizados por bancos y proveedores tecnológicos, los investigadores reportaron una "tasa de evasión del 100%" en los frameworks probados. Esto significa que, en cada intento de evadir los controles biométricos, los investigadores tuvieron éxito.
Para lograrlo, utilizaron diversas estrategias: desde representaciones físicas de alta fidelidad, como imágenes de un rostro, hasta la manipulación del recorrido de las imágenes dentro del sistema operativo. De esta manera, pudieron reemplazar la información capturada por la cámara antes de que llegara al software de biometría. El riesgo se intensifica cuando el reconocimiento facial es el único requisito para abrir cuentas o recuperar el acceso, eliminando la necesidad de contraseñas o segundos factores de autenticación.
En paralelo, un equipo ecuatoriano integrado por Xavier Riofrío Machado y Alex Tipan presentó el trabajo "Your Bank Thinks I’m You: A Complete Kill Chain Against Mobile Banking Security". Sus pruebas, realizadas con autorización, se centraron en aplicaciones financieras reales. Los investigadores analizaron capas de seguridad como la detección de teléfonos modificados y sistemas de inteligencia artificial contra deepfakes, logrando superarlas mediante el uso de IA generativa e información de fuentes públicas.
Riofrío destacó que lograron vulnerar dos procesos críticos: el enrolamiento de nuevos clientes y el reenrolamiento de clientes existentes. Este último es especialmente peligroso, ya que permite vincular una cuenta ya activa a un teléfono nuevo, permitiendo que un atacante acceda a productos financieros y realice operaciones desde su propio dispositivo.
Ambas investigaciones coinciden en que la falla no reside en la tecnología de reconocimiento facial per se, sino en su integración. Cuando la validación ocurre principalmente del lado del cliente, el entorno queda fuera del control de la entidad financiera. A esto se suma el avance acelerado de la inteligencia artificial generativa. Aunque existen detectores de deepfakes, Borgogno advierte que llegará un punto en que los videos generados serán indistinguibles de la realidad, haciendo que los detectores sean insuficientes.
Para mitigar estos riesgos, los especialistas recomiendan que la biometría nunca sea el único requisito de seguridad. Debe combinarse con factores adicionales: algo que el usuario sabe (contraseñas o PIN) y algo que el usuario tiene (tokens o códigos temporales). Asimismo, sugieren trasladar la validación hacia los servidores del banco mediante la transmisión de video en directo y sistemas de "desafío-respuesta", donde el servidor solicita acciones impredecibles en tiempo real, como cambios aleatorios de iluminación o movimientos específicos.
El desafío final reside en la tensión corporativa entre la experiencia del usuario y la seguridad. Mientras que las áreas de negocio buscan reducir la fricción para hacer las aplicaciones más simples, los equipos de ciberseguridad intentan sumar barreras. La conclusión de los expertos es clara: confiar en una única validación convierte a la biometría en un "SPOF" o punto único de falla, y la responsabilidad de implementar capas de protección continua recae estrictamente en las empresas.
