Una comprobación de seguridad no es suficiente: argumentos a favor de la protección de identidad multicapa

La mayoría de los sistemas de seguridad se basan en una suposición peligrosa: una sola comprobación es suficiente para mantener alejados a los estafadores. No es así, y las cifras lo dejan claro de inmediato.

Las credenciales fueron las primeras en caer. Los datos de Microsoft Entra muestran que los ataques basados en contraseñas representan ahora más del 99 % de los 600 millones de ataques diarios a la identidad que observan. El código de acceso único por SMS en tu teléfono tampoco es seguro. los ataques de intercambio de SIM están aumentan más del 1000 % interanual solo en el Reino Unido.

Así que las organizaciones recurrieron a la biometría facial, y los atacantes les siguieron. Porque los sistemas de alta seguridad —los que protegen procesos críticos, cuentas financieras y datos confidenciales— atraen a los adversarios más decididos. Solo en 2024, iProov observó:

• Los ataques con cámaras virtuales nativas aumentaron un 2665 %.
• Intercambio de caras ataques deepfake se triplicaron
• Ataques de inyección aumentaron un 783 % (y un 740 % en 2025).

No se trata solo de cifras más elevadas. Representan un cambio fundamental: los atacantes ahora se centran específicamente en la capa biométrica, eludiendo las defensas que las organizaciones creían que podían «configurar y olvidar». El problema es suponer que cualquier control individual, por muy sofisticado que sea, es suficiente por sí solo.

Cuando hablamos de seguridad por capas, no nos referimos a la autenticación multifactorial tradicional autenticación multifactorial , como el uso de una contraseña junto con una aplicación de autenticación, por ejemplo (aunque es muy recomendable y cada vez más obligatorio en muchos países e industrias). Nos referimos a la estrategia de defensa en profundidad dentro de cada factor en sí mismo: cómo la superposición de múltiples controles de seguridad dentro de la verificación biométrica garantiza que, si se burla un control, los demás detecten lo que se ha pasado por alto.

Comprobaciones de un solo punto, especialmente las soluciones de verificación de vida de verificación de vida, resultan obsoletas frente a esta amenaza.

Como afirma Gartner:

«Los líderes del sector de la verificación de identidad se ven impulsados a adoptar un enfoque más holístico que incorpore una estrategia de defensa multicapa para protegerse contra los deepfakes».
Informe sobre el impacto de la IA y los deepfakes en la verificación de identidad.

La seguridad de la identidad en línea es una carrera armamentística. Se trata de una evolución continua, no de una ecuación que se pueda resolver y archivar. Precisamente por eso, la arquitectura de su defensa es tan importante como la solidez de cada uno de sus componentes. Veamos por qué es esencial contar con una protección de identidad multicapa y cómo esta le permite adelantarse a los delincuentes.

El problema de la seguridad de un solo punto

El paralelismo con las contraseñas no es casual. Las contraseñas fracasaron no porque el concepto fuera erróneo, sino porque los atacantes se volvieron lo suficientemente sofisticados como para burlar los controles de credenciales de un solo factor a gran escala con métodos como los ataques de fuerza bruta y el relleno de credenciales. La misma dinámica se repite en las soluciones biométricas de baja seguridad, con ataques cada vez más complejos que son democratizados, empaquetados y vendidos por los estafadores.

No todas las comprobaciones biométricas de vitalidad son iguales. Algunos proveedores se basan en una comprobación de imágenes de un solo fotograma: ¿este rostro parece real? El problema es que las modernas herramientas de intercambio de caras, cámaras virtualesy el software deepfake están diseñados específicamente para superar ese tipo de comprobaciones. iProov ha identificado más de 115 000 posibles combinaciones de ataque entre las herramientas que rastreamos activamente. Ningún control por sí solo puede cubrir esa superficie de ataque.

Las comprobaciones de un solo fotograma capturan una instantánea, no una presencia genuina. No pueden demostrar que alguien esté realmente allí, solo que la imagen parece real, y muchos deepfakes están diseñados con éxito para parecer real.

Y confiar en los seres humanos como respaldo tampoco es la solución. Solo el 0,1 % de las personas puede detectar de forma fiable los medios sintéticos. Cuando el 99,9 % de las personas no pueden distinguir lo real de lo falso, la revisión manual es una vulnerabilidad más que una red de seguridad.

Es lógico que se pregunte: si el problema son los controles de un solo punto, ¿no se aplica eso a cualquier proveedor de datos biométricos, incluido iProov? Sí, si iProov fuera un control de un solo punto. Pero no lo es. La diferencia es arquitectónica, y eso es lo que explicaremos a continuación.

Cómo funciona realmente la seguridad biométrica multicapa

La respuesta no consiste simplemente en añadir más capas sin una correlación inteligente, ya que esto solo genera ruido y fricción. El objetivo es una integración óptima, en la que cada capa aporte señales distintas que, al analizarse conjuntamente, creen una imagen completa que ninguna capa podría ver por sí sola.

Cada capa analiza diferentes tipos de pruebas. Esto significa que si un atacante logra engañar a una capa, la siguiente capa busca algo completamente diferente y es mucho más difícil engañarla de la misma manera.

Esto es especialmente importante en el caso de los ataques por inyección, una de las mayores amenazas para los sistemas biométricos, tal y como reconoce el NIST. A diferencia de los ataques por presentación tradicionales (como mostrar una foto o un vídeo a una cámara), los ataques por inyección eluden completamente la cámara. En su lugar, los atacantes introducen un vídeo deepfake directamente en el sistema.

Si su sistema solo comprueba la imagen en sí, es posible que ni siquiera se dé cuenta de que esto está sucediendo. Es fundamental analizar señales adicionales, como la integridad del dispositivo, el uso del emulador y la coherencia del entorno. Sin esas comprobaciones adicionales, incluso una detección de actividad sólida puede pasar por alto el ataque.

Descubra cómo el enfoque multicapa de iProov detecta y bloquea los ataques modernos:

1: La capa de imágenes: detección avanzada de vitalidad

La primera capa demuestra que se trata de una persona real físicamente presente, y no de una foto, un vídeo, un deepfake o una máscara. Esto va mucho más allá de comprobar si un rostro parece convincente.

Dynamic Liveness utiliza tecnología Flashmark™ : la pantalla se ilumina con colores aleatorios mientras el sistema analiza cómo se refleja la luz en un rostro real a lo largo de varios fotogramas. Esto crea un desafío único y desafío-respuesta en tiempo real que es prácticamente imposible de falsificar, incluso con sofisticados deepfakes, ya que demuestra que la persona está presente en ese momento, y no se trata de un ataque de reproducción.

2: La capa de metadatos: análisis forense digital

Mientras que la detección de vitalidad comprueba la persona, la capa de metadatos comprueba el entorno digital. Esto incluye:

• Detección de dispositivos comprometidos (con jailbreak o root)
• Detección de emuladores, a menudo utilizados en operaciones de fraude a gran escala.
• Identificación de VPN o anonimizadores que ocultan el verdadero origen de un dispositivo.
• Verificación cruzada de las señales técnicas con el dispositivo reivindicado.

Consideremos el último punto: un atacante presenta lo que parece ser un iPhone, pero las dimensiones de la imagen en el flujo de datos no coinciden con ninguna resolución que haya producido jamás la cámara de un iPhone. Esa señal por sí sola no prueba el fraude. Sin embargo, si se combina con una VPN, un origen IP inusual y datos de actividad que han pasado con demasiada facilidad, podría levantar una seria sospecha.

Es el equivalente digital de un pasaporte que parece real pero que lleva el holograma del país equivocado. Los estafadores modernos no siempre serán detectados por una sola señal: las comprobaciones de GPS, el análisis de IP o la detección de vida por sí solas tienen puntos ciegos. La clave es garantizar que cada capa aporte información única que refuerce la decisión global.

3: La ventaja de la supervisión continua

Dado que se trata de una carrera armamentística, el despliegue no es el final de la historia. Las herramientas de ataque que el año pasado eran de élite ahora se venden como «paquetes de «delito como servicio» a cualquiera que tenga una tarjeta de pago.

Centro de Operaciones de Seguridad de iProov (iSOC) de iProov analiza continuamente datos de ataques reales y actualiza los métodos y algoritmos de detección a medida que evoluciona el panorama de amenazas. No se trata de un sistema que se configura y se olvida, sino de una defensa activa y adaptativa. Un sistema estático, por muy bien diseñado que esté en el momento de su lanzamiento, es un objetivo fijo.

Dado que iSOC supervisa todo el sistema, y no solo un componente, puede detectar patrones que una comprobación puntual pasaría por alto. Si los atacantes encuentran una forma de eludir una capa, ese avance no permanece oculto. Se convierte en información. El sistema puede reforzarse, las reglas de detección actualizarse y las protecciones reforzarse antes de que la táctica se extienda.

Con un único control de seguridad, un intento de fraude exitoso puede pasar desapercibido. Con una supervisión continua, cada incidente se convierte en una señal y una oportunidad para adaptarse.

La amenaza cambia; la respuesta también. Esta postura de seguridad proactiva es la única que tiene sentido en un panorama de amenazas en constante cambio, y cuando ninguna comprobación puede ser definitiva.

CPensamientos perdidos

Los deepfakes mejorarán. Los ataques de inyección proliferarán. Las herramientas de ataque serán más baratas.

La única variable que controlas es tu arquitectura.

La protección multicapa, que combina funciones avanzadas de verificación de vida, inteligencia de metadatos y supervisión activa de amenazas, es la forma de eliminar el único punto débil del que dependen los atacantes. No se trata de hacer que una comprobación sea más difícil de superar, sino de garantizar que ninguna comprobación por sí sola sea suficiente para burlar un sistema.

La cuestión no es si merece la pena invertir en seguridad multicapa. La cuestión es si puedes permitirte operar sin ella.

---

¿Le interesa obtener más información sobre las soluciones biométricas por capas de iProov?

• El primer y único proveedor en obtener una evaluación Ingenium de nivel 4 para la detección de ataques por inyección , un estándar que supera el nivel más alto de CEN TS 18099 (CEN High) tanto en alcance como en rigor. En una prueba independiente de 40 días, no se pudo establecer ninguna vía de ataque de inyección: los rostros sintéticos y los vídeos deepfake no tenían dónde ir. Tasa de rechazo de usuarios legítimos: solo el 1,3 %, muy por debajo del umbral del 15 % exigido por la norma.
• Recientemente, el primer y único proveedor en cumplir los requisitos de verificación biométrica incluidos en la nueva publicación especial 800-63-4 del NIST sobre directrices de identidad digital.
• Reserve hoy mismo su demostración consultiva.