¿Qué señales delatan una suplantación de identidad antes de abrir una cuenta o desembolsar un crédito?

Una suplantación de identidad se puede detectar antes de abrir la cuenta o desembolsar el crédito si cruzas cuatro tipos de señales: el documento, la prueba de vida, el dispositivo y el comportamiento durante la solicitud. Ninguna decide sola. Juntas permiten aprobar rápido a quien todo le cuadra y llevar a revisión humana los casos donde algo no coincide.

¿Cómo opera la suplantación en el onboarding y antes del desembolso?

Quien suplanta a otra persona suele empezar con datos filtrados o comprados y con una foto de la cédula de la víctima, conseguida con engaños por mensajería o tomada de algún trámite anterior. Con eso intenta abrir una cuenta que luego servirá para recibir dinero de otros fraudes, o pedir un crédito a nombre de la víctima y desviarlo a una cuenta que controla.

El desembolso es el momento más delicado, porque es cuando el dinero sale. Un cambio de la cuenta de destino, del número de celular o del correo hecho minutos antes debería encender una alerta, aunque el onboarding se haya aprobado sin observaciones semanas atrás.

Piensa en una fintech de crédito de consumo que aprueba solicitudes desde el celular. Un solicitante presenta una cédula legítima, una selfie que coincide con la foto y un historial sin problemas. Lo que no cuadra es lo demás: el número de teléfono se activó hace dos días, la solicitud se completó en menos tiempo del que toma leer los términos y el mismo dispositivo aparece esa semana en otras solicitudes con nombres distintos. Cada control, por separado, lo habría dejado pasar. Vistos en conjunto, justifican detener el caso y revisarlo antes de entregar el dinero.

¿Qué revela la validación documental?

La validación documental confirma que el documento es auténtico y que pertenece a quien lo presenta. En la práctica incluye:

• Contrastar los datos de la cédula con las fuentes oficiales a las que tu institución tiene acceso autorizado.
• Revisar la imagen en busca de edición: tipografías que no corresponden, bordes recortados, sombras que no siguen la luz de la escena.
• Detectar fotos tomadas de una pantalla o de una fotocopia en lugar del documento físico.
• Comparar la foto del documento con la selfie y, si existen, con imágenes de la misma persona en solicitudes anteriores.

Una cédula auténtica puede estar en manos equivocadas, así que este paso resuelve una parte del problema. La otra depende de comprobar que quien la presenta es su dueño.

¿Para qué sirve la prueba de vida y dónde están sus límites?

La prueba de vida verifica que frente a la cámara hay una persona real y presente. Detecta dos tipos de ataque. Los de presentación ocurren cuando alguien muestra una foto, un video o una máscara. Los de inyección ocurren cuando el atacante reemplaza la señal de la cámara por un video manipulado o por un rostro generado con IA, algo que hoy se intenta con herramientas de deepfake al alcance de cualquiera. Para detectar estos últimos hay que revisar el dispositivo y la integridad de la sesión, junto con la imagen.

La prueba tiene límites que conviene conocer. La mala luz, una cámara de baja calidad o la dificultad de una persona mayor para seguir instrucciones pueden provocar rechazos de clientes legítimos. Por eso la prueba pasiva, que analiza la imagen sin pedir gestos, suele exigir menos esfuerzo que la activa, y el flujo necesita un camino alternativo para quien no logra completarla.

También hay un tema legal. La Ley Orgánica de Protección de Datos Personales (LOPDP) considera los datos biométricos como datos sensibles y prohíbe tratarlos salvo en los supuestos que la misma ley prevé, como el consentimiento explícito del titular con fines claramente especificados. Define con tu área legal la base que aplica en tu caso, cuánto tiempo guardas las imágenes y quién puede verlas, y explica al cliente para qué se usa su rostro. En nuestra página de protección de datos contamos cómo tratamos este tipo de información.

¿Qué dicen el dispositivo y el comportamiento?

Mientras el cliente completa la solicitud, su dispositivo y su forma de interactuar dejan señales que un atacante controla con más dificultad que un documento:

• Emuladores, teléfonos con el sistema modificado o cámaras virtuales instaladas.
• Un mismo dispositivo usado en varias solicitudes con identidades distintas.
• Una ubicación o una red que no coinciden con la dirección declarada, o servicios que ocultan la conexión.
• Un chip activado o cambiado pocos días antes de la solicitud, cuando es posible verificarlo.
• Datos copiados y pegados en campos que una persona escribe de memoria, como su nombre o su fecha de nacimiento. Quien escribe sus propios datos rara vez duda.

A eso se suman las inconsistencias entre fuentes: un correo creado la víspera, un ingreso declarado que no encaja con la actividad económica, una referencia personal que comparte teléfono con otro solicitante. Cada una tiene explicaciones inocentes. Varias a la vez forman un patrón que merece una segunda mirada.

Estas señales también son datos personales. Recoge las que sirven para prevenir el fraude, informa al cliente que las usas y evita reutilizarlas para otros fines sin una base legal que lo permita.

¿Cómo se reduce la fricción para el cliente honesto?

La fricción baja cuando los controles se ajustan al riesgo de cada caso. Si el documento, la prueba de vida y el dispositivo coinciden, el cliente avanza sin pasos extra. Si aparece una señal, el flujo pide una verificación adicional. Si aparecen varias, el caso pasa a una persona.

Algunas prácticas hacen la diferencia:

• Explica por qué pides un paso adicional. Quien entiende la razón suele completarlo con menos molestia.
• Dale al analista el contexto completo (qué señal se activó, con qué datos y en qué momento) para que pueda resolver el mismo día.
• Evita rechazar por una sola señal débil. Un rechazo injusto casi nunca se ve: el cliente se va a otra institución y nadie lo registra.
• Mide los rechazos que luego se revierten y el abandono en cada paso del flujo. Esos dos datos te muestran cuánto te cuesta la fricción.
• Antes del desembolso, revisa lo que cambió desde la aprobación, como la cuenta de destino o el celular, en lugar de repetir todo el proceso.

Conviene, además, probar el flujo como lo haría un atacante. Una evaluación de ciberseguridad ofensiva sobre la aplicación de onboarding muestra si alguien puede inyectar un video, saltarse un paso o reutilizar una sesión ya aprobada.

Un buen punto de partida es dibujar tu flujo actual y anotar, paso a paso, qué señal validas, con qué proveedor y qué pasa cuando falla. Con ese mapa, el servicio de Identidad y fraude te ayuda a decidir qué agregar y dónde, sin alargar el camino de quien solicita, y Atención y originación se encarga de que el resto de la solicitud fluya. Si quieres revisarlo con nosotros, escríbenos y agenda una sesión de trabajo con tu equipo de riesgos y tecnología.