Qué exige la prueba de vida en Argentina
Conviene empezar por una precisión honesta: la norma argentina exige un resultado, no siempre nombra el control. Lo que la UIF le pide a un sujeto obligado es identificar y conocer a su cliente antes de que opere, y para las entidades financieras el BCRA regula además cómo se hace esa vinculación a distancia. Ninguna de esas exigencias se satisface si del otro lado hay una fotografía.
De ahí sale la obligación real, aunque el texto use otras palabras: en un alta sin presencia física, el proceso tiene que poder afirmar que la persona estaba ahí, en ese momento, y que era ella.
La prueba de vida es el control que resuelve exactamente eso. Determina si el rostro capturado pertenece a una persona real presente, y no a una fotografía, un video reproducido, una máscara o un rostro generado por un modelo. Se aplica de dos formas:
- Pasiva — analiza señales de presencia en la captura sin pedirle nada al usuario. No agrega fricción y no le avisa al atacante qué se está midiendo.
- Activa — le pide a la persona ejecutar instrucciones aleatorias, como girar la cabeza o seguir un punto. Agrega fricción y produce una interacción difícil de preparar de antemano.
Las dos son legítimas y responden a amenazas distintas. La decisión de cuál usar, o cómo combinarlas, es de diseño de riesgo y no de cumplimiento.
Dos cosas que la prueba de vida no hace, y que se le atribuyen con frecuencia. No dice quién es la persona: eso lo resuelve la comparación biométrica contra el documento. Y no reemplaza la verificación del documento: un rostro vivo sosteniendo un documento falso sigue siendo un fraude.
Todo lo que ese control captura es dato biométrico, y queda bajo el régimen argentino de protección de datos personales: finalidad determinada, base para el tratamiento, información al titular y medidas de seguridad proporcionales.
Qué automatiza VU en la prueba de vida
VU ejecuta el control y produce su evidencia dentro del mismo flujo de verificación, en sus formas pasiva y activa.
La parte que se puede verificar de forma independiente es la que importa. La prueba de vida de VU está certificada por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3. En concreto significa que un laboratorio acreditado e independiente construyó y ejecutó instrumentos de ataque contra el sistema y midió cuántos fueron aceptados. No es una declaración del proveedor sobre sí mismo, y es reenviable hacia adentro cuando alguien pregunta quién probó esto y contra qué.
Dos precisiones sobre esa certificación que conviene tener claras antes de comparar proveedores:
- La norma define el método y las métricas, y no define niveles. Los niveles son del programa de ensayo de iBeta, que califica según el tiempo, la pericia, el equipamiento y el costo que exige construir el instrumento de ataque. Va del Nivel 1, de bajo costo y fácil de construir, al Nivel 3, de instrumentos de alta preparación como máscaras hiperrealistas hechas a medida.
- Su alcance son los ataques de presentación, es decir los que se ejecutan frente al dispositivo de captura.
Y lo que VU no hace:
- Los ataques de inyección son otra categoría y quedan fuera de ese alcance. Un video sintético insertado directamente en el canal, sin pasar por la cámara, no se enfrenta con el mismo control ni se mide con esa metodología. Es un problema real, tiene su propia página y necesita controles de integridad del canal de captura.
- La prueba de vida no identifica a nadie. Establece que hay una persona real presente. Quién es esa persona lo resuelve la comparación contra el documento.
- No decide si el alta se aprueba. Produce un resultado y una evidencia; qué se hace con un resultado dudoso es política del sujeto obligado.
Casos de uso en Argentina
Dónde aparece este problema en la operación real del mercado argentino.
- Altas remotas en billeteras y bancos. Es el punto exacto donde un atacante con una foto del DNI de otra persona, conseguida en una filtración o comprada, intenta pasar por el titular.
- Recuperación de acceso. Cuando alguien perdió el teléfono o el segundo factor, la prueba de vida vuelve a ser el control que decide, y es el momento que más aprovechan los ataques de toma de cuenta.
- Actualización de datos de clientes antiguos. Verificar de nuevo a una persona que ya es cliente exige el mismo control que el alta, sobre una población que además no espera tener que hacerlo.
- Circulación de imágenes de documentos. Fotos y capturas de DNI circulan por mensajería y en filtraciones. Cualquier proceso que se conforme con la imagen es atacable con material que ya existe.
- Deepfakes cada vez más baratos. Generar un rostro sintético convincente dejó de exigir equipo especializado, y eso mueve el piso de lo que un control tiene que resistir.
Preguntas frecuentes
La prueba de vida es el control que determina si el rostro capturado pertenece a una persona real presente en ese momento, y no a una fotografía, un video reproducido, una máscara o un rostro generado por un modelo. Un regulador la exige porque sin ella la comparación biométrica es trivial de engañar: basta una foto del titular. Existen dos formas de aplicarla, pasiva, que analiza señales de presencia sin pedirle nada al usuario, y activa, que le pide ejecutar instrucciones aleatorias. Lo que permite comparar implementaciones es la metodología de la norma ISO/IEC 30107-3, que mide cuántos ataques de presentación acepta un sistema en un laboratorio independiente.
No, y en Argentina la confusión es frecuente porque el término se usa para las dos cosas. La prueba de vida previsional es el trámite periódico con el que un beneficiario acredita ante el organismo pagador que sigue con vida, para seguir cobrando. La prueba de vida de la que habla esta página es un control técnico dentro de un proceso de verificación de identidad: decide si el rostro que llega a la cámara pertenece a una persona presente en ese instante. Comparten nombre y lógica de fondo, y no comparten ni el marco normativo ni el proceso.
La activa le pide a la persona ejecutar instrucciones aleatorias, como girar la cabeza, acercarse o seguir un punto en la pantalla, y evalúa cómo responde. La pasiva analiza señales de presencia en la propia captura, sin pedir nada. La activa produce una interacción difícil de preparar de antemano pero agrega fricción y le muestra al atacante qué se está midiendo; la pasiva no agrega fricción y es más difícil de anticipar. Ninguna de las dos es superior en abstracto, y lo que permite comparar implementaciones concretas no es la modalidad sino cuántos ataques acepta cada una cuando se la mide con una metodología común.
Por evidencia de laboratorio, no por descripción de producto. La norma ISO/IEC 30107-3 define el método y las métricas para evaluar la detección de ataques de presentación, y un ensayo independiente mide cuántos instrumentos de ataque acepta el sistema. Conviene mirar tres cosas: quién ejecutó el ensayo, contra qué nivel de potencial de ataque, y de cuándo es. Un proveedor que describe su tecnología con adjetivos y no muestra un ensayo de tercero está pidiendo que se le crea, que es exactamente lo que un régimen de cumplimiento no acepta.
