Por el Dr. Mohamed Lazzouni
Hay un patrón habitual en el ámbito de la seguridad que Robbie Sinclair, antiguo responsable de seguridad de Country Energy en Nueva Gales del Sur (Australia), resumió una vez a la perfección: «La seguridad siempre es excesiva hasta que deja de ser suficiente».
Los sistemas biométricos se encuentran precisamente en esa paradoja. Prometen una autenticación más sólida y una mejor experiencia de usuario y, cuando se implementan correctamente, cumplen ambas promesas. Sin embargo, al igual que cualquier tecnología de seguridad, los sistemas biométricos tienen limitaciones, vectores de ataque y modos de fallo, muchos de los cuales están siendo actualmente objeto de ataques y explotación.
Para los responsables tecnológicos en materia de identidad, riesgo y confianza, es imprescindible conocer los tipos de ataques a los que se enfrentan los sistemas biométricos (y cómo defenderse de ellos).
Ataques de presentación
Los ataques de suplantación, a menudo denominados «ataques de spoofing», se producen cuando un atacante presenta una muestra biométrica falsa a un sensor (como una cámara o un micrófono) con el fin de hacerse pasar por un usuario legítimo. Entre los ejemplos más comunes se incluyen las fotografías impresas, las reproducciones de vídeo, las máscaras de silicona, las prótesis o las huellas dactilares sintéticas. Más recientemente, los vídeos «deepfake» de alta calidad se han convertido en una nueva y poderosa herramienta en el arsenal de los atacantes.
Estos ataques se aprovechan de una realidad muy sencilla: muchos sistemas biométricos están diseñados principalmente para comparar patrones, no para determinar si la fuente es realmente humana o está viva. A medida que las herramientas de IA generativa se vuelven más baratas y accesibles, la calidad y la magnitud de los intentos de suplantación de identidad están aumentando rápidamente.
Cómo defenderse de ellos: Es fundamental contar con una «detección de vida» ( liveness detection ) sólida. Las técnicas pasivas de detección de vida, que analizan señales fisiológicas y de comportamiento sutiles sin necesidad de interacción por parte del usuario, son especialmente eficaces, ya que reducen la fricción al tiempo que mejoran la seguridad. Sin embargo, la «detección de vida» ( liveness detection ) debe ser resistente a métodos de ataque desconocidos, y no limitarse únicamente a detectar tipos de suplantación conocidos. Las organizaciones deben someter continuamente sus sistemas a pruebas frente a los ataques de suplantación en constante evolución, en lugar de confiar en certificaciones puntuales.
Ataques de repetición e inyección
No todos los ataques biométricos se producen delante del sensor. Los ataques de repetición e inyección se dirigen directamente al propio flujo de datos biométricos. En estos casos, los atacantes interceptan, repiten o inyectan datos biométricos —como imágenes o plantillas— directamente en el sistema, sin pasar en absoluto por el sensor.
Estos ataques son especialmente relevantes en entornos móviles y web, donde la captura de datos biométricos depende de dispositivos de los usuarios, SDK de terceros y complejas pilas de software. Si el sistema confía implícitamente en los datos que recibe, incluso la « liveness detection » más sólida puede resultar ineficaz.
Cómo defenderse de ellos: Las estrategias defensivas deben ir más allá del algoritmo biométrico. Son esenciales la transmisión segura, el cifrado en tránsito, la certificación de dispositivos, los entornos de ejecución de confianza y la validación de que los datos proceden de un sensor autorizado. Los sistemas deben partir de la base de que cualquier entrada es potencialmente hostil e implementar comprobaciones de integridad en múltiples capas de la arquitectura.
Ataques con deepfakes e identidades sintéticas
La IA generativa ha cambiado radicalmente el panorama de amenazas para los sistemas biométricos. Ahora, los atacantes pueden generar rostros sintéticos muy realistas que no pertenecen a personas reales o manipular identidades reales a gran escala. Estas identidades sintéticas pueden utilizarse para crear cuentas fraudulentas, eludir los controles de registro o ganarse la confianza poco a poco antes de cometer un fraude de gran valor.
Lo que hace que estos ataques sean especialmente peligrosos es que ponen en entredicho las suposiciones tradicionales sobre la singularidad y la autenticidad. Una coincidencia biométrica por sí sola puede no ser suficiente para determinar si una identidad es real.
Cómo defenderse de ellas: Las organizaciones deben ir más allá de la toma de decisiones basada en una única señal. La verificación biométrica debe combinarse con el análisis de la red de identidades ( liveness detection), la inteligencia de dispositivos, el análisis de comportamiento y las señales de riesgo contextuales. Supervisar los patrones de registro, detectar la reutilización de datos biométricos y señalar las coincidencias estadísticamente improbables puede ayudar a identificar la actividad sintética. La defensa contra las identidades sintéticas es, en última instancia, un reto a nivel de sistemas, no una solución puntual.
Ataques a plantillas y bases de datos
Aunque sean menos visibles para los usuarios finales, los ataques dirigidos a las plantillas biométricas y las bases de datos pueden suponer riesgos a largo plazo. Si las plantillas biométricas se ven comprometidas, el impacto va mucho más allá de una simple filtración. A diferencia de las contraseñas, los identificadores biométricos no se pueden restablecer sin más.
Los atacantes pueden dirigirse a bases de datos centralizadas, aprovechar controles de acceso deficientes o interceptar plantillas durante su transmisión. En sistemas mal diseñados, una brecha de seguridad puede dejar al descubierto datos biométricos sin procesar o fácilmente reversibles.
Cómo defenderse de ellos: Una protección sólida de las plantillas es imprescindible. Esto incluye el cifrado tanto en reposo como en tránsito, controles de acceso estrictos, la segregación de funciones y la supervisión continua. Las técnicas de mejora de la privacidad, como la biometría cancelable o la transformación de plantillas, pueden reducir aún más el riesgo al garantizar que los datos comprometidos no puedan reutilizarse en distintos sistemas. Igualmente importante es que las organizaciones minimicen el tiempo de conservación, almacenando los datos biométricos solo durante el tiempo que sea realmente necesario.
Aprovechamiento de sesgos y debilidades sistémicas
No todos los ataques biométricos se basan en vulnerabilidades técnicas. Algunos se aprovechan de debilidades sistémicas, como los sesgos demográficos o las diferencias de rendimiento entre distintos grupos de población. Si un sistema biométrico funciona con menor precisión para determinados grupos, los atacantes pueden aprovechar intencionadamente esas deficiencias para aumentar sus posibilidades de éxito.
Más allá de las implicaciones en materia de seguridad, estas deficiencias también entrañan riesgos éticos, jurídicos y para la reputación. Un sistema que adolece de sesgos no solo es injusto, sino que también es menos seguro.
Cómo protegerse contra ellos: Es fundamental realizar pruebas periódicas de sesgo y rendimiento en poblaciones diversas. Las métricas de precisión deben supervisarse de forma continua, no solo durante la implementación inicial. Las organizaciones deben considerar la equidad y la seguridad como objetivos interrelacionados. Un sistema biométrico que falla con mayor frecuencia a determinados usuarios es un sistema que genera vulnerabilidades predecibles.
Creación de sistemas biométricos resilientes
La conclusión más importante para los responsables tecnológicos es la siguiente: la seguridad biométrica no es una característica aislada, sino todo un ecosistema. Para defenderse de los ataques actuales se requieren controles en varias capas, una evaluación continua y partir de la base de que los adversarios se adaptarán.
Las organizaciones deberían reevaluar periódicamente sus modelos de amenazas, someter a prueba sus sistemas frente a las técnicas de ataque emergentes y evitar depender en exceso de una única señal o de las afirmaciones de un solo proveedor. Igualmente importante es la formación interna.
A partir de 2026, la confianza será una de las monedas más valiosas en el mundo de los negocios digitales. Las empresas que aborden la biometría con realismo, rigor y responsabilidad estarán en una posición mucho más favorable para ganarse y mantener esa confianza.
Este artículo se publicó por primera vez en Forbes.com.
