- En México no hay un delito federal autónomo de robo de identidad. Lo tipifican códigos penales locales, cada uno con nombre propio (usurpación de identidad, artículo 211 Bis, en la Ciudad de México), y la Ley de Instituciones de Crédito castiga obtener un producto financiero con identidad suplantada.
- La ley de datos personales de 2025 obliga a informar "de forma inmediata" a la persona titular de una vulneración que afecte de forma significativa sus derechos (artículo 19).
- NIST SP 800-63A-4 (julio de 2025) prohíbe verificar identidad con preguntas sobre datos personales.
- En ciertas operaciones presenciales con credencial para votar, la CNBV exige a los bancos verificar contra los registros del INE los datos de la credencial y la biometría de quien la presenta (artículo 51 Bis 4).
El 28 de marzo de 2018, el Consejo General del Instituto Nacional Electoral (INE) multó a dos partidos políticos por el uso indebido de la Lista Nominal de Electores. En uno de los casos, la copia entregada al partido había quedado visible en internet, en un portal de Amazon. El consejero Murayama lo resumió así: "aquí estamos sancionando el descuido, no la consecuencia de ese descuido".
Para una empresa que abre cuentas o da crédito en México, el caso deja una premisa de trabajo: los datos con los que un cliente se identifica pueden estar en manos de otra persona antes de que llegue al alta.
En México el robo de identidad no es un solo delito
En México no hay un único delito de robo de identidad: cada estado que lo tipifica le pone nombre y pena propios, y a nivel federal la figura específica está en la Ley de Instituciones de Crédito.
En la Ciudad de México se llama usurpación de identidad. El artículo 211 Bis del Código Penal, vigente con reformas al 21 de agosto de 2026, castiga con prisión y días multa a quien "por cualquier medio usurpe, con fines ilícitos, la identidad de otra persona", y también a quien consiente que usen la suya: la figura del prestanombres. La pena aumenta si el autor se vale de la homonimia, el parecido físico o la similitud de la voz.
A nivel federal, el artículo 112 Séptimus de la Ley de Instituciones de Crédito, adicionado en 2018, castiga con prisión y multa a quien use u obtenga "cualquier servicio o producto financiero" de una institución "bajo una identidad falsa o suplantada", y a quien preste la suya para hacerlo. Ahí quien recibe el engaño es la propia institución.
El Código Penal Federal no tiene un tipo autónomo. Lo reconoce una iniciativa presentada en la Cámara de Diputados en febrero de 2026, que es también la fuente de que la mayoría de las legislaturas estatales lo tipifican como robo, suplantación o usurpación de identidad. Hay iniciativas en el Congreso para crear el delito federal.
Fuera del sistema financiero, la figura federal más cercana es, a nuestro juicio, el artículo 63 de la ley de datos personales de 2025: castiga a quien, para obtener un lucro indebido, trate datos personales mediante el engaño, aprovechándose del error de la persona titular.
La diferencia entre robo y suplantación de identidad la desarrollamos en su propia página.
Los datos de tus clientes ya circularon
Una empresa que opera en México tiene que asumir que los datos de identificación de sus clientes pueden circular fuera de su control. El INE sostiene que la base del Padrón Electoral nunca fue vulnerada y atribuye las filtraciones a agentes externos, y aun así una copia entregada a un tercero terminó expuesta en internet. En 2020 sancionó otro caso: un intento de vender en línea, en 2018, la Lista Nominal de 2015.
La CONDUSEF define la identidad de una persona con una lista amplia: "nombre, teléfono, domicilio, fotografías, huellas dactilares", credenciales de identificación "así como cualquier otro dato que permita identificar a una persona".
Un dato que circula deja de ser secreto. Un alta que solo comprueba que el nombre, el domicilio y los identificadores coinciden entre sí va a cuadrar con los datos de una persona real, aunque quien los escriba sea otra.
Saber los datos no prueba quién eres
El estándar técnico de referencia ya no acepta el conocimiento de datos personales como prueba de identidad. NIST SP 800-63A-4, la guía del Instituto Nacional de Estándares y Tecnología de Estados Unidos, publicada el 31 de julio de 2025, lo dice así: "Knowledge-based verification (KBV) or knowledge-based authentication SHALL NOT be used for identity verification." Solo admite esas preguntas como señal dentro de un programa de gestión del fraude.
NIST no explica la prohibición con las filtraciones. La conexión es nuestra, y se apoya en el mismo texto: su nivel básico, IAL1, está diseñado "to protect against synthetic identities and attacks using compromised personal information", es decir, contra identidades sintéticas y ataques con información personal comprometida.
En su lugar, la verificación tiene que asegurar que quien presenta la evidencia es su legítimo dueño. Uno de los métodos aceptados es comparar automáticamente el rostro del documento con el de la persona. Si la captura es remota, NIST exige detección de ataques de presentación conforme a ISO/IEC 30107-3:2023, para confirmar que hay una persona viva frente a la cámara: lo que el mercado llama prueba de vida.
NIST también admite el límite: frente a la inyección y los deepfakes, la captura en vivo y la detección de ataques de presentación "do provide some protection" (dan algo de protección), pero no cubren todos los casos.
La guía es obligatoria para las agencias federales de Estados Unidos y no para las empresas mexicanas, que pueden tomarla como referencia técnica.
La banca mexicana ya verifica contra la fuente y contra la persona
Para las instituciones de crédito, la CNBV aplica un criterio parecido por norma propia: los datos de la credencial se contrastan con el registro que los emitió, y la biometría con la persona que se presenta.
En ciertas operaciones presenciales con credencial para votar, el artículo 51 Bis 4 de sus disposiciones pide verificar en línea dos cosas contra los registros del INE: los datos de la credencial, como el CIC y el nombre, y la información biométrica de quien la presenta, con un umbral mínimo de coincidencia que fija la norma. La captura tiene que obtener la biometría "directamente de la persona titular", evitando la de un mecanismo que simule a otra persona.
Una resolución del 1 de julio de 2026 sumó la biometría facial a la verificación presencial, que hasta entonces se hacía con la huella.
En la contratación no presencial de ciertas cuentas y créditos, el artículo 51 Bis 6 exige verificar la biometría del solicitante contra el INE, la Secretaría de Relaciones Exteriores, otra autoridad que preste ese servicio, o una base biométrica de la propia institución.
Estas reglas son de los bancos, no de toda empresa. Muestran un criterio: validar contra la fuente que emitió el dato y comprobar que la persona presente es su titular.
Si la filtración es tuya, la ley te pide avisar
Si una vulneración en la base de la empresa afecta de forma significativa los derechos patrimoniales o morales de las personas, la ley obliga a informarles de forma inmediata. Es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, que reemplazó a la de 2010 y pasó las sanciones a la Secretaría Anticorrupción y Buen Gobierno.
Su artículo 18 exige medidas de seguridad administrativas, técnicas y físicas proporcionales al riesgo y a la sensibilidad de los datos. El artículo 19 ordena que las vulneraciones "le serán informadas de forma inmediata por el responsable, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos". El aviso va a la persona titular; el artículo no menciona a la autoridad ni fija un plazo en horas.
El contenido del aviso lo detallaba el Reglamento de 2011 de la ley anterior: naturaleza del incidente, datos comprometidos, recomendaciones a la persona, acciones correctivas y dónde informarse. No confirmamos que siga aplicando, así que tómalo como buena práctica.
La ley también tipifica como infracción "vulnerar la seguridad de bases de datos" cuando sea imputable al responsable, con multas en Unidades de Medida y Actualización que pueden aumentar con datos sensibles. La lectura es nuestra: con el caso del INE en mente, la ley castiga lo mismo que señaló Murayama, la falta de resguardo, aunque todavía no haya daño.
Qué hace VU
Verifica lee el documento, compara el rostro con el del documento y aplica prueba de vida en el mismo flujo, así que la verificación recae sobre la persona además de los datos.
ISO/IEC 30107-3 define el método, las métricas y cómo se reporta un ensayo de detección de ataques de presentación. Los grados de sofisticación del ataque no los define la norma: los define el programa de ensayo de iBeta, que aplica esa metodología y los ordena por lo que cuesta construir el instrumento, en tiempo, pericia y equipamiento. Son tres. Lo que VU tiene evaluado es la prueba de vida facial, en el Nivel 2 de ese programa.
conversemos sobre tu alta.
