- Los deepfakes ya no son contenido viral: son una herramienta práctica para fraude de identidad, ingeniería social y toma de cuentas.
- Las empresas más expuestas son las que dependen de señales visuales o auditivas sin prueba de vida, análisis de riesgo y trazabilidad.
- En servicios financieros, gaming, retail y background screening, el riesgo aparece en onboarding, autenticación, soporte y recuperación de cuenta.
- La defensa no es un único control: combina verificación de identidad, prueba de vida, autenticación adaptativa y detección de fraude en tiempo real.
Deloitte estima que las pérdidas por fraude habilitado por IA generativa en servicios financieros en Estados Unidos podrían llegar a USD 40.000 millones en 2027. Gartner proyectó que, para 2026, el 30% de las empresas ya no considerará confiables la verificación de identidad y la autenticación biométrica de forma aislada por el avance de los deepfakes.
Detrás de esos dos números hay un supuesto que se rompió. Durante años, muchas empresas asumieron que un documento, una selfie y una videollamada alcanzaban para saber quién estaba del otro lado. Ese supuesto ya no alcanza cuando una cara, una voz o una reunión completa pueden sintetizarse con herramientas disponibles públicamente.
El problema no es solo tecnológico. Es operativo. Un deepfake puede entrar por onboarding, por soporte al cliente, por una llamada interna de aprobación, por un proceso de alta de proveedores o por una recuperación de cuenta. Si tu empresa toma decisiones críticas a partir de señales visuales o auditivas sin controles adicionales, ahí está el punto débil.
En LATAM el riesgo tiene una capa adicional: adopción digital acelerada, presión por conversión y marcos regulatorios que empiezan a exigir más trazabilidad. La discusión ya no es si los deepfakes van a impactar a las empresas. La discusión es qué controles sobreviven cuando el atacante puede fabricar presencia.
Los deepfakes convierten la identidad en una superficie de ataque
Un deepfake es contenido sintético generado o manipulado con inteligencia artificial para simular la apariencia, la voz o el comportamiento de una persona. Puede ser una imagen, un audio, un video grabado o una transmisión en vivo. En fraude empresarial, lo importante no es la calidad cinematográfica: es si el contenido logra pasar un control.
La evolución técnica bajó la barrera de entrada. Antes, fabricar una suplantación convincente requería conocimiento especializado, tiempo y equipo. Ahora, un atacante puede generar voces clonadas, rostros animados y videos manipulados con costos bajos y ciclos de prueba rápidos.
Esto cambia el modelo de riesgo. La empresa ya no enfrenta solo documentos falsos o credenciales robadas. Enfrenta identidades completas, fabricadas para encajar en procesos digitales que fueron diseñados para usuarios reales.
En banca digital el impacto es directo: altas fraudulentas, apertura de cuentas mule (cuentas abiertas a nombre de terceros para mover dinero de origen ilícito), recuperación de cuentas con biometría manipulada, ataques a canales de soporte y validaciones remotas. En gaming y gambling aparece en creación masiva de cuentas, abuso de bonos y evasión de los controles de KYC, es decir, la verificación obligatoria de quién es el cliente antes de habilitarlo a operar. En retail afecta devoluciones, crédito, wallets y programas de fidelidad.
El deepfake no reemplaza al fraude tradicional. Lo vuelve más barato, más escalable y más difícil de revisar manualmente.
El riesgo para empresas aparece en procesos cotidianos
La imagen más obvia del deepfake es una videollamada falsa con un ejecutivo. Ese caso existe: en 2024, una empresa multinacional reportó una transferencia millonaria después de una reunión en la que los participantes habían sido simulados con tecnología deepfake. Pero quedarse solo con ese ejemplo limita el problema.
En una empresa, la identidad se valida todo el tiempo. Cada validación débil es una puerta posible.
Procesos expuestos: áreas donde un deepfake puede insertarse sin parecer un ataque sofisticado.
- Onboarding digital: el atacante combina documento alterado, rostro sintético y prueba de vida manipulada para abrir una cuenta.
- Recuperación de cuenta: el fraude empieza cuando el usuario "pierde" acceso y fuerza un nuevo factor de autenticación.
- Soporte al cliente: una voz clonada puede presionar a un agente para cambiar datos, resetear credenciales o elevar privilegios.
- Alta de proveedores: una identidad sintética puede entrar por procesos administrativos que no tienen el mismo control que el canal cliente.
- Aprobaciones internas: una videollamada o un audio falso pueden acelerar pagos, cambios de cuenta bancaria o excepciones de proceso.
La constante es la misma: el atacante busca el punto donde la empresa confía en una señal humana sin suficiente corroboración técnica.
En servicios financieros esto se vuelve más delicado porque los equipos tienen que equilibrar fraude, cumplimiento y conversión. Si el control es muy débil, entra fraude. Si el control es demasiado pesado, se cae el usuario legítimo. Por eso la defensa contra deepfakes no se resuelve con más fricción indiscriminada.
Si operás canales digitales en banca, fintech o crédito, la discusión se conecta directamente con la verificación de identidad y con la capacidad de detectar señales de manipulación antes de aprobar una alta.
La verificación visual aislada ya no alcanza
Muchas empresas siguen tratando la selfie como si fuera una prueba fuerte por sí misma. Ese enfoque quedó viejo. Una imagen puede estar viva en apariencia y ser falsa en origen. Una cara puede moverse, parpadear y responder a una instrucción sin pertenecer a una persona presente frente a la cámara.
La prueba de vida existe para resolver una parte de ese problema: distinguir entre una persona presente y un artefacto de presentación, es decir, una foto impresa, una máscara o una pantalla puesta delante de la cámara. Pero incluso ahí hay matices. No es lo mismo detectar una foto impresa que detectar una inyección de video, una máscara, una pantalla de alta resolución o un rostro generado.
El estándar ISO/IEC 30107-3 define metodologías y métricas para evaluar ataques de presentación biométrica. Los ensayos de laboratorios como iBeta son relevantes porque fuerzan una prueba externa contra artefactos reales y metodologías documentadas, y terminan en una carta de confirmación de conformidad. No eliminan el riesgo por sí solos, pero suben el piso técnico de la conversación.
El punto central es este: la biometría no debe evaluarse como una señal aislada. Necesita contexto.
Señales que importan: controles que fortalecen una decisión de identidad.
- Prueba de vida: valida presencia frente a cámara y resistencia ante ataques de presentación.
- Integridad del dispositivo: detecta entornos manipulados, emuladores, cámaras virtuales o señales anómalas.
- Consistencia documental: cruza datos del documento, lectura visual, vigencia, señales de alteración y la MRZ, esa banda de dos o tres líneas al pie del documento que la máquina lee.
- Riesgo transaccional: observa monto, frecuencia, geografía, horario, comportamiento y patrón histórico.
- Historial de identidad: relaciona intentos previos, cuentas asociadas, dispositivos y eventos de fraude.
Una empresa que mira solo la cara ve una parte del evento. Una empresa que combina señales entiende la intención.
La defensa exige señales combinadas y decisión en tiempo real
El fraude con deepfakes no espera al análisis posterior: si el sistema aprueba una cuenta falsa, el control tiene que haber actuado antes, no en la auditoría del mes siguiente. Lo mismo vale para una recuperación de cuenta o para una excepción interna aprobada por teléfono.
Por eso el control tiene que operar durante el evento. En identidad digital, tiempo real no significa solo baja latencia. Significa tomar una decisión con suficiente evidencia antes de exponer el activo.
En VU trabajamos este problema desde tres capacidades conectadas: Verifica para onboarding e identidad biométrica, Autentica para accesos y MFA sin contraseña, es decir, validar con más de un factor y sin que el usuario tenga que recordar nada, y Protege contra el fraude para detección y bloqueo de fraude en tiempo real. Consolidarlas en VU ONE responde a una realidad bastante concreta: separar verificación, autenticación y protección contra fraude en sistemas aislados deja huecos. Hoy procesamos más de 350 millones de identidades en LATAM, y ese volumen es el que nos muestra dónde aparecen los huecos antes de que se conviertan en fraude.
La defensa efectiva tiene que distinguir entre riesgo bajo y riesgo alto. No todos los usuarios necesitan el mismo nivel de validación en cada evento, y ahí está la seguridad sin fricción: el usuario legítimo no debería pagar el costo del atacante. Pero cuando aparecen señales anómalas, la plataforma debe subir el control: pedir una prueba adicional, bloquear la operación, derivar a revisión o cortar la sesión. Eso es autenticación adaptativa, o sea, un control que cambia de exigencia según el riesgo del momento en lugar de aplicar siempre el mismo paso.
Ese es el criterio práctico. Menos controles ciegos. Más decisiones basadas en riesgo.
Los equipos tienen que evaluar proveedores con criterios más duros
El avance de los deepfakes obliga a cambiar las preguntas en una evaluación de proveedores. Ya no alcanza con preguntar si tienen biometría facial o si hacen prueba de vida. Esas respuestas dicen poco si no vienen acompañadas de evidencia, cobertura técnica y comportamiento en producción.
La pregunta correcta no es "si detecta deepfakes". La pregunta correcta es bajo qué condiciones, contra qué tipos de ataque, con qué tasa de rechazo legítimo, con qué auditoría externa y con qué capacidad de actualización.
Si estás armando ese pliego, mirá al menos cinco criterios.
Criterios de evaluación: señales de que una plataforma está preparada para el riesgo actual.
- Auditoría externa vigente: ensayos y evaluaciones recientes, no sellos antiguos usados como argumento comercial.
- Cobertura contra inyección: detección de cámaras virtuales, streams manipulados y bypass del feed real, es decir, cuando el atacante reemplaza lo que la cámara envía sin ponerse nunca delante de ella.
- Orquestación de riesgo: capacidad de combinar biometría, dispositivo, comportamiento, documento y transacción.
- Trazabilidad: evidencia técnica suficiente para auditoría, revisión interna y cumplimiento regulatorio.
- Experiencia regional: conocimiento de documentos, regulación, fraude y patrones operativos de LATAM.
En industrias reguladas, este último punto pesa más de lo que parece. Un modelo entrenado o ajustado lejos de la región puede fallar en documentos, iluminación, dispositivos, conectividad y patrones de fraude locales. La identidad digital en LATAM no se resuelve con un checklist global.
Para servicios financieros, el tema también toca cumplimiento. La validación de identidad impacta KYC, prevención de fraude, protección de datos personales y evidencia ante auditoría. En Argentina, Brasil y Chile, regulaciones como la Ley 25.326, la LGPD brasileña de protección de datos personales y la Ley 21.719 aumentan la presión por controles trazables y proporcionalidad en el tratamiento de datos.
El estándar es el piso. Lo que decide es la operación diaria, y ahí es donde se gana la confianza del usuario que sí es quien dice ser.
hablemos y lo miramos con tu equipo.
