En 2024 el sector bancario acumuló más de 3,200 millones de dólares en multas ligadas a KYC y prevención de lavado, según cifras recopiladas por SEON. No fueron sanciones por firewalls mal configurados ni por bases de datos expuestas. Fueron por algo más básico: no saber, con suficiente certeza, quién estaba del otro lado de la pantalla. Ahí está el giro que muchos equipos de seguridad todavía procesan. El perímetro dejó de ser la red. Ahora eres tú.
- El nuevo perímetro ya no es la red: eres tú
- Por qué el fraude de identidad dejó de ser un problema de trámites
- Los tres factores: algo que sabes, algo que tienes, algo que eres
- Biometría y prueba de vida: cómo el sistema sabe que no eres una foto
- KYC y eKYC por dentro: del papeleo al cruce automatizado
- 2FA y MFA: la capa que refuerza cada acceso posterior
- Dónde se aplica hoy: banca, fintech, marketplaces y trámites en México
- Los límites: fricción, evasión y falsos rechazos
- Lo que viene: passkeys, biometría del comportamiento e identidad descentralizada
El nuevo perímetro ya no es la red: eres tú
Durante años la defensa se pensó como un castillo con murallas: proteger el borde, filtrar el tráfico, blindar el servidor. Ese modelo se erosionó con la nube, el trabajo remoto y las apps que viven en el celular de cualquiera. Cuando el usuario legítimo y el atacante entran por la misma puerta y con las mismas credenciales, el control se traslada a un punto más incómodo: confirmar que la persona es quien afirma ser. La identidad pasó a ser la primera línea, no la última.
Por qué el fraude de identidad dejó de ser un problema de trámites
Robar una identidad ya no exige robar una cartera. La IA generativa llevó el costo de producir deepfakes e identidades sintéticas prácticamente a cero, como advierte Identy. Un defraudador combina datos filtrados en brechas con un rostro que nunca existió y abre cuentas a escala industrial. Las identidades sintéticas son especialmente venenosas: no hay una víctima que reclame de inmediato, así que el fraude madura durante meses antes de estallar. Por eso la verificación dejó de ser un requisito administrativo y se volvió un problema de seguridad en tiempo real.
Los tres factores: algo que sabes, algo que tienes, algo que eres
La conversación se ordena mejor si vuelves al modelo clásico. Autenticar es aportar evidencia basada en al menos uno de tres tipos de factor. Algo que sabes: contraseña, PIN, respuesta secreta. Algo que tienes: el teléfono, un token físico, una tarjeta con chip. Algo que eres: rostro, huella, voz, patrones biométricos. El primero es barato y se filtra con facilidad. El segundo eleva la barrera. El tercero es difícil de transferir, aunque arrastra su propio dilema: no puedes cambiar tu cara si alguien la clona.
Biometría y prueba de vida: cómo el sistema sabe que no eres una foto
El reconocimiento facial por sí solo es ingenuo. Una imagen impresa o un video en pantalla podrían engañarlo. Ahí entra la prueba de vida, o liveness. Los sistemas anti-spoofing analizan microtexturas de la piel, reflejos, profundidad tridimensional, micromovimientos involuntarios y coherencia entre cuadros para separar un rostro real de una máscara, un deepfake o una foto. Las hay pasivas, que operan sin pedirte nada, y activas, que te piden girar la cabeza o parpadear. Según datos de FacePhi, ese cruce biométrico puede resolverse en menos de 10 segundos, con tasas de conversión cercanas al 89% y más de 300 millones de transacciones de usuarios en despliegues reales.
KYC y eKYC por dentro: del papeleo al cruce automatizado
KYC —conocer a tu cliente— nació como un procedimiento manual: fotocopias, formularios, revisión humana. El eKYC automatiza ese flujo. En el caso descrito por proveedores como JAAK, el proceso verifica documento, rostro y fuentes oficiales en unos 30 segundos y genera evidencia auditable. Ese flujo encadena varias piezas:
- Captura del documento (INE o pasaporte) y extracción de datos por OCR.
- Lectura del chip NFC cuando el documento lo incorpora, para validar que no fue alterado.
- Selfie con prueba de vida y comparación uno a uno contra la foto del documento.
- Cruce con bases oficiales y listas de riesgo, con registro completo del proceso.
El resultado no es solo un “sí o no”: es una traza que puede sostenerse ante un regulador o una disputa.
2FA y MFA: la capa que refuerza cada acceso posterior
La verificación inicial confirma quién abre la cuenta. El multifactor protege cada operación que viene después. Un 2FA combina dos factores distintos —contraseña más código temporal, por ejemplo—, mientras que un MFA suma más capas y suele incorporar señales contextuales como el dispositivo o la ubicación. La lección práctica es directa: el SMS es el eslabón más débil por el riesgo de SIM swapping, y las apps autenticadoras y las llaves físicas resisten mucho mejor.
Dónde se aplica hoy: banca, fintech, marketplaces y trámites en México
En México el marco lo empujan la LFPIORPI, las disposiciones de la CNBV y los criterios de la UIF, con la CONDUSEF vigilando el trato al usuario. Buena parte de la seguridad de las plataformas financieras se apoya en la verificación de identidad antes de habilitar cualquier operación; Mercado Pago, por ejemplo, pide verificar tu identidad —documento y biometría según el caso— como parte de la habilitación de la cuenta y sus operaciones. La misma lógica aparece en el alta de cuentas bancarias digitales, en marketplaces que verifican vendedores y en trámites del SAT.
Los límites: fricción, evasión y falsos rechazos
Nada de esto es infalible. Más pasos significan más abandono en el onboarding. Además, los controles KYC representan un gasto anual promedio estimado en 60 millones de dólares por banco, según SEON. Los falsos rechazos frustran a usuarios legítimos con mala iluminación o documentos gastados. Y los defraudadores siguen probando huecos: inyección de video, emuladores, granjas de captura. Ninguna barrera aguanta sola.
Lo que viene: passkeys, biometría del comportamiento e identidad descentralizada
El rumbo apunta a soltar la dependencia de las contraseñas. Las passkeys, basadas en criptografía de clave pública, eliminan el secreto compartido que tanto se filtra. La biometría del comportamiento —cómo tecleas, sostienes el teléfono o deslizas— añade señales pasivas y continuas. Y la identidad descentralizada, empujada en Europa por eIDAS 2.0 (Reglamento UE 2024/1183), propone que tú custodies tus credenciales verificables sin depender de un repositorio central. El GAFI y regímenes como el AMLR marcan la cancha regulatoria. La pregunta ya no es si te van a verificar, sino cuánto de ese control seguirá en manos de terceros y cuánto migrará hacia ti.
