El fraude mediante deepfakes está entrando en una nueva fase y, para las organizaciones que se preparan de cara a 2027, el reto ya no consiste simplemente en reconocer imágenes, vídeos o voces generadas por IA, sino en determinar si la persona que hay detrás de una interacción digital es real, está físicamente presente y es quien dice ser.
La IA generativa ha cambiado radicalmente la economía del fraude de identidad. Las técnicas que antes requerían conocimientos especializados y recursos considerables son cada vez más accesibles, lo que permite a los atacantes crear identidades sintéticas convincentes, suplantar la identidad de usuarios legítimos y automatizar ataques a gran escala.
Las consecuencias ya se están dejando sentir. Según el informe de Aware titulado «El estado de la seguridad biométrica en la era del fraude basado en la IA en 2026», el 44 % de las organizaciones encuestadas sufrió algún tipo de fraude relacionado con la IA durante el año anterior. Por su parte, el «Informe sobre el fraude de identidad en 2026» de Entrust reveló que los deepfakes representaban uno de cada cinco intentos de fraude biométrico, mientras que los ataques de inyección aumentaron un 40 % con respecto al año anterior.
A medida que las organizaciones miran hacia el año 2027, estos avances apuntan a un cambio importante: la seguridad de la identidad ya no puede depender únicamente de si las credenciales, los documentos o las representaciones digitales parecen legítimas. Debe generar confianza en la persona que hay detrás de la interacción.
Las tácticas de fraude con deepfakes a las que las organizaciones deben estar atentas en 2027
La tecnología deepfake sigue evolucionando, pero los avances más trascendentales no son necesariamente los más impresionantes desde el punto de vista visual. Los atacantes combinan cada vez más los contenidos sintéticos con técnicas diseñadas para aprovechar las vulnerabilidades existentes a lo largo de todo el proceso de verificación de identidad.
Hay varias tácticas que merecen una atención especial.
Deepfakes en tiempo real y suplantación de voz
Los vídeos generados por IA y la clonación de voz están haciendo que los ataques de suplantación de identidad resulten cada vez más convincentes durante las interacciones en directo. Los delincuentes pueden utilizar estas tecnologías para suplantar a ejecutivos, clientes, funcionarios públicos u otras personas de confianza durante videollamadas, solicitudes de recuperación de cuentas y transacciones financieras.
A diferencia de los «deepfakes» pregrabados, la suplantación de identidad en tiempo real puede responder de forma dinámica durante una conversación, lo que dificulta que los empleados o los procesos de verificación tradicionales detecten el engaño.
El FBI ya ha advertido de que hay delincuentes que utilizan vídeos generados por IA para suplantar la identidad de funcionarios del Gobierno y de Sector de Seguridad Pública . A medida que estas capacidades se vuelven más accesibles, las organizaciones deben prever una mayor presión sobre los procesos que se basan únicamente en el reconocimiento visual o en el reconocimiento de voz.
Ataques de inyección que eluden la cámara
Una de las amenazas emergentes más importantes tiene como objetivo la propia infraestructura de verificación.
En un ataque de presentación tradicional, un estafador puede mostrar una fotografía, una máscara o una grabación de vídeo ante una cámara. Sin embargo, un ataque de inyección elude el proceso normal de captura al introducir datos biométricos manipulados o sintéticos directamente en una aplicación o en una transmisión de vídeo. Los atacantes pueden aprovechar cámaras virtuales, emuladores de dispositivos, aplicaciones modificadas o dispositivos comprometidos para hacer que el contenido falsificado parezca proceder de una cámara legítima.
Esta distinción es importante porque un sistema biométrico no puede basarse exclusivamente en el análisis de lo que aparece en una imagen. También debe tener en cuenta si la imagen procede de un evento de captura auténtico.
Documentos generados por IA y fraude de identidad sintética
El fraude de identidad sintética combina información personal inventada y, en ocasiones, sustraída para crear identidades que pueden no pertenecer a ninguna persona real. La IA generativa hace que estos ataques sean más sofisticados, ya que permite a los delincuentes crear imágenes faciales realistas, documentos de identidad falsificados e información digital complementaria que parece coherente. Estas identidades inventadas pueden utilizarse para abrir cuentas bancarias, solicitar prestaciones, obtener credenciales o establecer identidades que puedan ser objeto de abuso posteriormente.
El reto va más allá de la detección de documentos falsos. Las organizaciones deben verificar que la persona que presenta dichos documentos es quien dice ser, que la información sobre su identidad es fiable y que está autorizada para llevar a cabo la acción solicitada.
Ataques automatizados y escalables contra la identidad
Quizás la tendencia más relevante de cara a 2027 sea la creciente automatización del fraude.
Las herramientas asistidas por IA, las ofertas de «fraude como servicio» y las pruebas automatizadas pueden permitir a los atacantes generar numerosas variaciones de identidad y poner a prueba repetidamente los sistemas de verificación en busca de puntos débiles. En lugar de basarse en un único «deepfake» convincente, los estafadores pueden explorar de forma sistemática qué identidades, dispositivos o procesos de verificación son más vulnerables.
Para los responsables de la seguridad, esto cambia la ecuación operativa. Los sistemas de prevención del fraude deben ser capaces de adaptarse a las nuevas técnicas sin que ello implique largos ciclos de sustitución o integración.
Cómo la biometría y « Liveness Detection » ayudan a prevenir el fraude mediante deepfakes
A medida que resulta cada vez más difícil distinguir el contenido sintético de los medios auténticos, la verificación biométrica de la identidad constituye una base importante para vincular la actividad digital con la identidad humana.
El reconocimiento facial, el reconocimiento de huellas dactilares y otras modalidades biométricas pueden ayudar a determinar si una persona coincide con un registro de identidad fiable. Sin embargo, la comparación biométrica por sí sola resulta insuficiente cuando los atacantes pueden manipular o falsificar las muestras biométricas presentadas para su verificación.
Es aquí donde liveness detection se vuelve imprescindible.
Liveness detection Es una función de seguridad biométrica que ayuda a determinar si la muestra biométrica se está capturando de una persona real y viva que se encuentra físicamente presente durante la verificación. Se trata de un subconjunto de la detección de ataques de presentación (PAD), una categoría más amplia de tecnologías diseñadas para distinguir las interacciones biométricas legítimas de los intentos de suplantación de identidad mediante fotografías, máscaras, vídeos reproducidos y otros materiales engañosos. La detección activa de « liveness detection » puede requerir que los usuarios realicen pruebas o movimientos, mientras que la detección pasiva de « » analiza señales sin necesidad de que el usuario realice acciones explícitas. Ambos enfoques pueden contribuir a la prevención del fraude, dependiendo de la implementación y de las amenazas a las que se haga frente.
Sin embargo, los ataques por inyección, cada vez más sofisticados, obligan a las organizaciones a ir más allá de la « liveness detection » convencional. Las defensas modernas pueden incorporar la detección de ataques por inyección, comprobaciones de la integridad de las cámaras, análisis de dispositivos y otros mecanismos diseñados para verificar la autenticidad del propio proceso de captura.
Las evaluaciones independientes también son importantes. Las normas y los marcos de pruebas, como la norma ISO/IEC 30107-3 para la detección de ataques de presentación y la norma CEN/TS 18099 para la detección de ataques de inyección, ayudan a las organizaciones a evaluar si las defensas biométricas son eficaces frente a los métodos de ataque pertinentes.
El objetivo no es basarse en un único algoritmo para detectar todos los deepfakes posibles, sino establecer múltiples niveles complementarios de fiabilidad en relación con la persona, la muestra biométrica y el proceso de captura.
Riesgos de fraude mediante deepfakes en sectores clave
Aunque el fraude mediante deepfakes afecta a casi todas las organizaciones conectadas digitalmente, las consecuencias y las interacciones de mayor riesgo varían según el sector.
Sector bancario y tecnología financiera: protección durante todo el ciclo de vida del cliente
Para las entidades financieras, el fraude mediante deepfakes y el de identidad sintética suponen una amenaza para la incorporación de clientes, el acceso a las cuentas, la autorización de pagos y la recuperación de cuentas. Una identidad sintética puede permitir abrir una cuenta con éxito, mientras que un intento de suplantación de identidad mediante deepfake podría dirigirse a un cliente ya registrado durante una transacción de alto valor o un restablecimiento de credenciales.
Por lo tanto, los bancos y los proveedores de tecnología financiera deberían tener en cuenta la verificación biométrica y el « liveness detection » a lo largo de todo el ciclo de vida del cliente, aplicando medidas de garantía más estrictas cuando aumente el riesgo de las transacciones. La combinación de la biometría con la verificación de documentos, la inteligencia de dispositivos y las señales de riesgo conductuales o transaccionales puede ayudar a las entidades a detectar actividades sospechosas, al tiempo que se mantiene una experiencia fluida para los clientes legítimos.
Gobierno y sector público: refuerzo de la garantía de la identidad digital
Los organismos públicos dependen cada vez más de la verificación de identidad a distancia para prestar servicios a los ciudadanos, gestionar las prestaciones, facilitar el acceso al mercado laboral y proteger la información confidencial. Los ataques mediante deepfakes e identidades sintéticas plantean riesgos que van desde las inscripciones fraudulentas hasta la suplantación de identidad de beneficiarios legítimos o de personal público.
La comparación biométrica y la tecnología « liveness detection » pueden ayudar a las agencias a reforzar la verificación de la identidad y la autenticación, al tiempo que reducen la dependencia de métodos de verificación basados en conocimientos, que son vulnerables.
Es importante destacar que la seguridad debe equilibrarse con la accesibilidad, la privacidad y el acceso equitativo a los servicios esenciales. Los procesos de gestión de identidades basados en el riesgo, la revisión humana adecuada y las tecnologías evaluadas de forma independiente pueden ayudar a los organismos a reforzar la garantía de seguridad sin crear barreras innecesarias para los usuarios legítimos.
Viajes y seguridad nacional: fomentar la confianza a gran escala
En los ámbitos de la aviación, la gestión de fronteras y la seguridad nacional, la verificación precisa de la identidad es esencial tanto para la seguridad como para la eficiencia operativa. A medida que se generalizan las credenciales de viaje digitales, la inscripción a distancia, los controles automatizados y la gestión biométrica de los pasajeros, las organizaciones deben protegerse contra las identidades fraudulentas y los datos biométricos manipulados.
Liveness detection, la comparación biométrica y las tecnologías de captura segura pueden ayudar a garantizar que un viajero o una persona se encuentre realmente presente y que su identidad coincida con la que se afirma.
En estos entornos, la rapidez y la precisión revisten la misma importancia. Unos sistemas de defensa eficaces deben permitir tomar decisiones con un alto nivel de fiabilidad sin generar cuellos de botella que mermen el flujo de pasajeros o las operaciones críticas para la misión.
Desarrollo de una estrategia de defensa contra los deepfakes más adaptable para 2027
Las organizaciones mejor preparadas para hacer frente al fraude mediante deepfakes en 2027 serán aquellas que vayan más allá de las tecnologías de verificación aisladas y adopten una estrategia de identidad coordinada y basada en el riesgo. Esto implica considerar la verificación de la identidad como un proceso continuo, en lugar de un simple control de seguridad en el momento de la incorporación.
También es necesario integrar la comparación biométrica, liveness detection, la prevención de ataques por inyección, la verificación de documentos y las señales de riesgo contextuales, de modo que contribuyan a tomar decisiones más fundamentadas en materia de identidad.
La gestión biométrica puede desempeñar un papel importante al permitir a las organizaciones coordinar múltiples tecnologías de identidad, evaluar el rendimiento de los proveedores, ajustar los flujos de trabajo de verificación y responder a las amenazas emergentes sin tener que reconstruir toda su infraestructura.
A medida que evolucionan las técnicas de fraude, la flexibilidad se convierte en una capacidad de seguridad por derecho propio.
En definitiva, el reto de cara a 2027 no es si las organizaciones serán capaces de identificar todos los deepfakes convincentes, sino si su infraestructura de identidad podrá distinguir de forma sistemática las interacciones humanas legítimas de las fraudulentas, incluso a medida que cambien los métodos de engaño.
