Su rostro puede ser copiado, su voz puede ser clonada y es posible que sus huellas dactilares ya se encuentren en la base de datos de un pirata informático.
Seamos realistas (nunca mejor dicho): nuestras características biométricas únicas están cada vez más presentes en el ámbito digital, a medida que más organismos públicos y empresas han adoptado sistemas biométricos para la gestión de identidades y con fines de seguridad.
Sin embargo, aunque existe la posibilidad de que nuestros escáneres faciales o de huellas dactilares caigan en manos equivocadas (quizá con intención de hacer un juego de palabras), lo cierto es que hacen que muchas de nuestras actividades sean más fáciles, más rápidas y más cómodas —y, según algunos, más seguras—, razón por la cual esta tecnología se está generalizando.
Analicemos los acontecimientos que se han producido en diversos sectores en los últimos meses.
- Aeropuertos de – Abu Dabi anunció el año pasado que, en 2025 , su Aeropuerto Internacional Zayed sería el primer aeropuerto del mundo en exigir el embarque biométrico, con sensores biométricos en todos los controles de identificación. Muchos aeropuertos de EE. UU. también utilizan actualmente tecnología de reconocimiento facial en los controles de seguridad para verificar la identidad de los pasajeros comparando su rostro en directo con la fotografía que figura en su documento de identidad.
- Instituciones financieras – El Banco Nacional de Egipto, el mayor banco del país, , anunció el mes pasado que iba a implantar la plataforma PortalGuard de BIO-key para la gestión de identidades y de accesos . Esta plataforma utiliza datos biométricos y otras formas de autenticación multifactorial (MFA) para facilitar el inicio de sesión y otros trámites a sus 30,000 empleados y (con el tiempo) a millones de clientes.
- Las empresas de tarjetas de crédito – Mastercard anunciaron en noviembre sus planes para mejorar las compras en línea, eliminando la necesidad de introducir los números de las tarjetas y las contraseñas en favor de la tokenización y la autenticación biométrica por 2030, mientras que Visa y Tencent se asociaron en septiembre para desarrollar una solución de pago mediante la palma de la mano que se probará primero en Singapur y, posteriormente, en otros mercados.
- sobre el sector sanitario – Según las últimas previsiones, el mercado mundial de la biometría en el sector sanitario, valorado actualmente en 10.1 000 millones de dólares, alcanzará los 55.4 000 millones de dólares en 2035, gracias a la integración de la inteligencia artificial y el aprendizaje automático y a su creciente adopción en los servicios de telemedicina.
- Estadios – El estadio « 85,000-capacity Más Monumental» de Buenos Aires ha implantado recientemente una solución de biometría facial , y en Estados Unidos, el programa «Go-Ahead Entry» de la Major League Baseball vincula el reconocimiento facial a las cuentas de entradas, un proceso sin contacto que puede reducir los tiempos de espera fuera de los estadios hasta en un 68 %, según un informe de diciembre .
Por ello, numerosas empresas y organizaciones están avanzando a toda velocidad en la implantación de sistemas biométricos. Sin embargo, dado que las amenazas a la seguridad evolucionan más rápido que nunca, la pregunta es: ¿sigue siendo la biometría el futuro, o constituye el talón de Aquiles de la ciberseguridad?
Hemos hablado con dos expertos en la materia que tienen puntos de vista muy diferentes sobre el tema, especialmente en lo que respecta al papel que puede desempeñar la inteligencia artificial en ambos sentidos.
El auge de la biometría – y su mayor punto débil
El reconocimiento facial, el escaneo de la retina y la autenticación mediante huellas dactilares están ganando un enorme impulso, ya que parecen ser excelentes alternativas a las contraseñas y a las tarjetas de acceso. Pero aquí está el problema: a diferencia de una contraseña, no puede cambiarse de rostro. Una vez robados, sus datos biométricos quedan comprometidos para siempre.
«: Ya me han robado las 10 huellas dactilares». Ahora bien, ¿cómo puede un sistema que se basa en mi huella dactilar saber que soy yo?”Roger Grimes, promotor de la seguridad, KnowBe4
Y, según Roger Grimes, experto en seguridad de KnowBe4, una empresa dedicada a la formación en concienciación sobre seguridad, eso es precisamente lo que está ocurriendo. De hecho, él prevé que ya este mismo año se demostrará que la biometría no es un buen método de autenticación .
«Ya me han robado mis 10 huellas dactilares», afirma, refiriéndose a la filtración de datos de 2015 usuarios del sistema « » de la Oficina de Gestión de Personal de EE. UU. (OPM), en la que unos piratas informáticos sustrajeron datos biométricos confidenciales de millones de personas. «Ahora bien, ¿cómo puede saber que soy yo un sistema que se basa en mi huella dactilar?»
No se trata solo de huellas dactilares. Un programa malicioso como GoldPickaxe, descubierto recientemente en Tailandia, ha estado robando escaneos faciales bajo la apariencia de una aplicación de verificación de pensiones. De este modo, alguien podría utilizar los rostros robados para eludir la autenticación o crear identidades «deepfake» ultrarrealistas.
Los «deepfakes» agravan el problema de la biometría
Si los piratas informáticos pueden crear un vídeo casi perfecto de usted, en el que se le oye hablar con su propia voz y se imitan sus expresiones, ¿hasta qué punto es seguro el reconocimiento facial?
«Puedo utilizar 30 segundos de su vídeo y crear un deepfake suyo», afirma Grimes. «Lo hago constantemente». Lo hago para las presentaciones. Necesito 30 segundos de su voz y una fotografía de su rostro, y así podré hacer que diga y haga lo que quiera por medios digitales. ¿Cómo es posible? «¿Cómo es posible que mi rostro o mi voz puedan servir como medio de autenticación?»
La inteligencia artificial y la tecnología de deepfakes de ya están causando estragos. El año pasado, por ejemplo, se utilizaron deepfakes para suplantar la identidad de ejecutivos de la marca de coches de lujo Ferrari, de la empresa británica de suministro energético Octopus y del mayor grupo publicitario del mundo, WPP, entre otros; además, un empleado de Hong Kong de la multinacional británica de ingeniería Arup fue engañado para que pagara 25 millones de dólares a un estafador que utilizó tecnología deepfake en una conferencia telefónica para hacerse pasar por el director financiero de la empresa. Los fraudes mediante deepfakes que suplantan la identidad de trabajadores de TI que teletrabajan se han infiltrado en cientos de empresas estadounidenses. Por su parte, el Centro de Servicios Financieros de Deloitte prevé que la IA generativa podría provocar pérdidas por fraude de hasta 40 000 millones de dólares en Estados Unidos en 2027 , frente a los 12.3 000 millones de dólares registrados en 2023.
Y las herramientas para crear «deepfakes» no dejan de mejorar. Las plataformas de código abierto como ElevenLabs y Stable Diffusion han democratizado el acceso a la clonación de rostros y voces mediante inteligencia artificial. Esto significa que los delincuentes ya no necesitan conocimientos avanzados de piratería informática, sino únicamente un ordenador portátil y una conexión a Internet.
El contraargumento: la inteligencia artificial podría ser el mayor valor añadido de la biometría
Rob Clyde no está entrando en pánico. El señor Clyde, que es miembro del consejo de administración de Cybral —una empresa dedicada a la seguridad y la supervisión mediante inteligencia artificial— y expresidente de ISACA —una organización internacional dedicada a la gobernanza de las tecnologías de la información y la ciberseguridad—, es consciente de los riesgos que entraña la biometría. Sin embargo, señala que, al igual que la inteligencia artificial está demostrando ser una herramienta de ciberseguridad de un valor incalculable, las defensas biométricas basadas en la inteligencia artificial están evolucionando al mismo ritmo que las amenazas a las que se enfrentan.
«La IA y los sistemas para detectar deepfakes… no dejan de mejorar. Al fin y al cabo, seguimos siendo solo seres humanos. No vamos a mejorar de forma exponencial con el paso del tiempo. La IA sí puede.»Rob Clyde, miembro del consejo de administración de Cybral y expresidente de ISACA
«La capacidad de los seres humanos para detectar de forma fiable los deepfakes seguirá disminuyendo», afirma Clyde. «Creo que la inteligencia artificial y los sistemas destinados a detectar deepfakes y a garantizar la validez de la autenticación van a ir en aumento». Cada vez son mejores. Al fin y al cabo, seguimos siendo solo seres humanos. No vamos a mejorar de forma exponencial con el paso del tiempo. «La IA sí puede».
Algunas soluciones de seguridad nuevas ya están utilizando la inteligencia artificial para contrarrestar la inteligencia artificial. Herramientas como FakeCatcher de Intel, por ejemplo, analizan las señales del flujo sanguíneo en vídeos faciales y presumen de una tasa de precisión del 96 % a la hora de detectar imágenes «deepfake». La biometría conductual, que analiza los micromovimientos y los patrones de interacción únicos, también dificulta que los impostores que utilizan «deepfakes» pasen desapercibidos.
«Estamos utilizando numerosas técnicas de análisis avanzado y estudiando las microexpresiones», explica Brian Christensen, director de servicios financieros de la empresa de verificación de identidad Jumio, en la conferencia IdentityWeek America celebrada el pasado otoño. «Hay muchas señales pasivas interesantes que podemos captar de esa manera».
Por otra parte, cabe destacar el auge de la autenticación multimodal: sistemas que combinan varios datos biométricos. Es posible que un simple escaneo facial pueda falsificarse, pero la incorporación de pruebas de vida en tiempo real, escáneres de retina por infrarrojos o autenticación por voz hace que sea exponencialmente más difícil falsificarlo.
"Facial recognition today isn’t just a 2D photo anymore," Clyde says. «Las últimas versiones, como el Face ID de Apple, utilizan 30,000 puntos de datos para verificar su identidad y requieren la detección de la atención. «Es mucho más difícil de engañar que los sistemas más antiguos».
La conclusión del Gobierno: la biometría por sí sola no es suficiente
Aunque la biometría basada en la inteligencia artificial está mejorando, los principales organismos de ciberseguridad no están convencidos de que sea suficiente. El Gobierno de Estados Unidos, por ejemplo, no está dispuesto a poner en juego la seguridad nacional basándose únicamente en el reconocimiento facial. De hecho, el pasado mes de agosto, el Instituto Nacional de Estándares y Tecnología (NIST) actualizó sus directrices sobre identidad digital, en las que se establece que la autenticación biométrica debe ir siempre acompañada de un autenticador basado en hardware, como un token YubiKey.
«Si utiliza la biometría, también debería emplear un factor basado en hardware», aconseja Grimes. «Eso ya le indica claramente que la biometría no es tan segura como afirman».
Y no se trata solo del Gobierno. Los gigantes tecnológicos como Microsoft y Google también han comenzado a exigir una autenticación multifactorial (MFA) que combina datos biométricos con tokens de hardware, claves criptográficas o análisis de comportamiento.
¿Y ahora qué? Esté atento a estas 5 tendencias futuras en biometría
A pesar del aumento de las amenazas relacionadas con los «deepfakes», la autenticación biométrica no va a desaparecer. Lo que está cambiando es la forma en que se utiliza, según Clyde, quien prevé cinco tendencias relacionadas con la biometría:
- La biometría y la autenticación multifactorial (MFA) se convierten en la norma – La práctica de utilizar un único escaneo biométrico para la autenticación está llegando a su fin. Las organizaciones están combinando cada vez más la biometría con factores de autenticación adicionales.
- Vuelven los tokens físicos – En la línea de la autenticación multifactorial (MFA), el impulso de los YubiKeys y otras opciones de hardware similares sugiere que las organizaciones volverán cada vez más a la idea de sistemas de autenticación que requieran algo que usted es (datos biométricos) y algo que usted tiene (un token físico u otro dispositivo).
- Aumenta la detección de deepfakes basada en la inteligencia artificial – Las empresas también intensificarán sus inversiones en herramientas de detección basadas en la inteligencia artificial, como FakeCatcher y Truepic, para detectar datos biométricos fraudulentos en tiempo real.
- La autenticación continua se impone – En lugar de un único inicio de sesión, las empresas adoptarán la biometría conductual en tiempo real, que verifica de forma continua la identidad del usuario a lo largo de toda la sesión.
- Actualizaciones y renovaciones de los sistemas biométricos – Los sistemas biométricos se actualizarán periódicamente con mejoras y requerirán más puntos de datos con el paso del tiempo. Esto reducirá el riesgo de que los datos sustraídos se utilicen para crear «deepfakes» que puedan burlar los sistemas de autenticación. Por ejemplo, los sistemas biométricos de reconocimiento facial podrían requerir periódicamente que el usuario capture nuevas imágenes y vídeos en directo para crear nuevos puntos de datos con fines de autenticación, lo que haría que los puntos de datos sustraídos quedaran obsoletos.
Conclusiones sobre la biometría
La biometría sigue siendo fundamental para el futuro de la autenticación. Al fin y al cabo, tanto a los consumidores como a los empleados les encanta la facilidad de uso de la biometría —basta con tocar con el dedo o mirar una pantalla, en lugar de tener que recordar una contraseña compleja— y supone una gran ventaja en sectores como el sanitario, donde los profesionales necesitan acceder rápidamente a los datos de los pacientes, así como en otros entornos en los que la rapidez es fundamental.
Además, supone un cambio revolucionario en innumerables oficinas en las que los trabajadores tienen que pasar por una serie de procedimientos de inicio de sesión laberínticos solo para encender sus ordenadores cada mañana. Por lo tanto, la biometría supone una ventaja para la experiencia digital global de los empleados, lo que hace que la tecnología en el lugar de trabajo resulte menos pesada.
[Lea también: ¿Qué es la experiencia de los empleados? [Consulte esta guía simplificada]
Y, sin embargo, a pesar de esas características, lo cierto es que ya no son la solución milagrosa que en su día se creía que eran. A medida que avanzan las tecnologías de deepfake e inteligencia artificial, las organizaciones deben mantenerse alerta y adaptarse si deciden seguir utilizando la biometría.
O, como dice Clyde:
«No se puede confiar ciegamente en todos los sistemas biométricos a medida que van envejeciendo». Serán menos dignos de confianza. «La clave está en mantenerlas actualizadas y en garantizar que formen parte de un enfoque de seguridad más amplio».
Por su parte, Grimes lanza una advertencia aún más contundente:
«Su huella dactilar, su rostro, su voz… todo eso ya está ahí fuera». La pregunta es: «¿Y ahora qué?»
