Comprobación remota de la identidad: Mejores prácticas, riesgos de fraude y requisitos regulatorios

Piensa en la última vez que tuviste que demostrar tu identidad para abrir una cuenta, hacer el onboarding como nuevo empleado o demostrar que podías comprar un producto con restricción de edad. Probablemente buscaste tu documento de identidad y se lo mostraste a un representante del banco, una plataforma de verificación o un proveedor de servicios para confirmar tu elegibilidad. Para organizaciones como las instituciones financieras, este proceso ha sido el centro del onboarding de clientes durante décadas. Sin embargo, presenta desafíos importantes, como altos costos operativos y tiempos de procesamiento lentos y, en muchos casos, crea una falsa sensación de seguridad que no resistiría los riesgos de fraude actuales. Para las personas, resulta en una mala experiencia de usuario por la incomodidad de tener que presentar un documento de identidad físico, un proceso que no escala en un entorno global.

La comprobación remota de la identidad ha reemplazado la mayoría de las verificaciones de identidad presenciales. Sin embargo, simplemente pasar un proceso a un formato en línea no es suficiente. Digitalizar una verificación manual no la mejora automáticamente y puede introducir nuevas vulnerabilidades como los deepfakes y otras formas de fraude digital. Al mismo tiempo, el mercado está superando el KYC único hacia un modelo más amplio de confianza continua en la identidad y conciencia del riesgo.

Este artículo explica cómo es en la práctica una buena comprobación de la identidad, cómo funciona el proceso internamente, por qué los requisitos varían entre industrias y por qué esperar mucho más para actuar es una postura cada vez más difícil de defender.

Resumen de las mejores prácticas clave para la comprobación remota de la identidad

La principal solución de KYC potenciada por inteligencia artificial de la industria

Detección PLD

• 

  Verifica identificaciones, documentos, direcciones, edad, bases de datos globales de fraude y listas de sanciones

• 

  Aumenta la confianza con tecnología biométrica, procesamiento de imágenes y Estimación de edad

• 

  Protégete contra el fraude y el riesgo de lavado de dinero con detección en tiempo real potenciada por IA

Entender qué es realmente la comprobación remota de la identidad

La verificación de identidad tradicional en los servicios financieros se basaba en la presencia física: un cliente asistía a una sucursal, presentaba documentos originales y el personal comparaba el rostro con la fotografía y archivaba un registro. Cuando no era posible asistir, se aceptaban copias certificadas, con un abogado o contador que confirmaba haber visto los originales.

Ese proceso tenía límites que se hicieron más visibles a medida que la industria crecía:

• Dependía de las redes de sucursales físicas.
• Dejaba la calidad de la verificación en manos del personal, cuya capacitación y atención variaban.
• Era lento, y el onboarding tardaba días.
• Era costoso.
• Consumía mucho tiempo del personal por cada nueva relación.

Los reguladores también comenzaron a subir el listón. Las copias certificadas y las suposiciones basadas en relaciones empezaron a ser examinadas al quedar claro que no existían controles consistentes. La expectativa se desplazó hacia procesos que pudieran ser auditados y demostrados como sólidos bajo examen.

La comprobación remota de la identidad es más que simplemente poner en línea los antiguos procesos presenciales. Es un proceso estructurado y por capas que combina análisis de documentos, comparación biométrica, prueba de vida y Fraud Intelligence para llegar a una decisión de identidad verificada, todo sin que la persona necesite estar físicamente presente.

Hecho correctamente, es un control más riguroso de lo que el proceso de copia certificada jamás logró ser. Analiza más puntos de datos, produce un registro de auditoría más completo y no depende del juicio de un revisor individual. Las organizaciones que entienden esto desde el principio configuran mejor sus sistemas y están en una posición más fuerte cuando esos sistemas son examinados.

Diseña el recorrido del usuario antes de crearlo

El proceso de comprobación remota de la identidad comienza con la captura del documento. Cuando un usuario fotografía un documento de identidad, la plataforma lo somete a una serie de verificaciones de autenticidad que cubren todo, desde hologramas y microimpresiones hasta la consistencia de la fuente y la integridad estructural. El sistema busca manipulaciones, artefactos de falsificación y campos de datos que no coinciden con las expectativas para ese tipo de documento y país de emisión.

Una vez que el documento pasa esas verificaciones, la plataforma extrae los campos clave: nombre, fecha de nacimiento, número de documento y vencimiento. Esos campos se cruzan para verificar su consistencia interna y se comparan con fuentes de datos externas cuando están disponibles. Escanear documentos con códigos de barras permite validar los datos extraídos con una segunda fuente en el mismo documento, confirmando que ambos lados son genuinos y consistentes.

La prueba de vida es lo que confirma que una persona real está sentada frente a la cámara en lugar de alguien que sostiene una fotografía, reproduce una grabación de pantalla o usa una imagen sintética. Se le pide al usuario que interactúe con la cámara en tiempo real. La plataforma analiza la respuesta en busca de señales fisiológicas y de comportamiento que distinguen a una persona en vivo de una imagen manipulada. En la práctica, eso significa buscar micromovimientos en el rostro y los ojos que una imagen estática o un video en bucle no pueden replicar, analizar la profundidad y la textura para confirmar que la cámara está viendo un rostro tridimensional en lugar de una superficie plana y, a veces, emitir una indicación en tiempo real que requiere una respuesta específica. Los usuarios necesitan indicaciones claras en la interfaz en esta etapa: explicar lo que se les pide que hagan y por qué reduce el abandono y mejora lo que recibe la plataforma.

Luego, la comparación biométrica compara el rostro en vivo con la fotografía del documento de identidad. Calibrar ese umbral de coincidencia es más importante de lo que parece: si se establece demasiado bajo, el fraude pasa; si se establece demasiado alto, se empiezan a rechazar usuarios legítimos.

Cada etapa del proceso de verificación y lo que la plataforma hace detrás de escena

Las organizaciones no solo reciben un aprobado o un reprobado de estas verificaciones. Reciben resultados de verificación e información de soporte que les ayuda a evaluar el resultado y a hacer el proceso más defendible ante una auditoría. Para una plataforma fintech que realiza el onboarding de usuarios en gran volumen, ese registro de auditoría es lo que hace que el proceso sea defendible ante el escrutinio regulatorio, y es lo que la verificación manual nunca produce de manera confiable.

Veriff maneja este proceso de principio a fin, desde la captura del documento hasta el registro de la decisión lista para el cumplimiento. Su enfoque de arquitectura responsable mantiene una clara transparencia sobre cómo se manejan los datos personales y los documentos de identidad en todo momento, qué terceros están involucrados y cómo se posee y opera la tecnología subyacente. Para las organizaciones que necesitan demostrar la integridad de su proceso de verificación, el grado de control que una plataforma proporciona sobre su propia infraestructura es un factor que vale la pena examinar.

Veriff ejecuta cinco categorías de verificación paralelas a través de un motor de decisión central. Los resultados no concluyentes se envían a analistas capacitados antes de que se emita una decisión

Toma en serio la amenaza de los deepfakes

El fraude asistido por deepfakes en el onboarding ya no es una preocupación teórica. Las herramientas disponibles para los estafadores se han desarrollado más rápido de lo que muchas organizaciones han actualizado sus controles, y los ataques son cada vez más difíciles de detectar a medida que mejora la tecnología subyacente.

Existen varios tipos de ataques comunes:

Los ataques de presentación implican que un estafador sostiene una pantalla o fotografía frente a la cámara durante una prueba de vida. La prueba de vida básica puede detectar las versiones más simples de este truco, pero cada vez tiene más dificultades con videos de alta resolución de una persona real mostrados en una tableta.

Los ataques de inyección funcionan de manera diferente: en lugar de engañar a la cámara, la eluden por completo, inyectando una transmisión de video pregrabada o generada sintéticamente directamente en el flujo de datos de la plataforma. Muchas plataformas de comprobación de identidad no tienen ninguna capacidad de detección para esto, ya que el ataque no interactúa con la interfaz de frontend, lo que lo convierte en una de las brechas más significativas en la generación actual de sistemas implementados.

Detectar los ataques de inyección requiere que la plataforma trabaje a nivel de entorno, no a nivel de imagen. En lugar de analizar lo que ve la cámara, el sistema tiene que examinar si hay una cámara real involucrada. Las huellas dactilares del dispositivo, las señales de sensores faltantes y los metadatos que no coinciden con una sesión de captura genuina son las señales. Una plataforma no diseñada para buscar eso dejará pasar una transmisión inyectada cada vez.

Los ataques a documentos generados por IA utilizan documentos de identidad construidos sintéticamente para que coincidan con las características visuales esperadas de los genuinos, incluidas las características de seguridad que antes habrían requerido equipo especializado para replicar.

Más allá de los deepfakes, la manipulación de documentos, la suplantación de identidad utilizando credenciales de brechas de datos y la toma de control de cuentas en la reverificación en lugar del onboarding inicial son problemas reales y recurrentes. La etapa de onboarding atrae la mayor atención, pero la reverificación suele ser más débil. El diagrama a continuación muestra cómo los diferentes tipos de ataque se corresponden con los resultados de fraude.

Cómo las tácticas de los estafadores se conectan con los tipos de fraude y los resultados posteriores que producen

Detectar estos ataques requiere controles por capas que funcionen como un sistema. El análisis forense de documentos, la prueba de vida pasiva y en video trabajando juntas, las señales del dispositivo y de la red, y el cruce de señales de identidad entre cuentas y patrones de fraude conocidos, todo debe estar funcionando e integrado.

El motor de fraude de Veriff analiza más de 1,000 puntos de datos por sesión de verificación, combinando inteligencia de red, inteligencia de dispositivo, cruce de información entre identidades y cuentas, puntuación de riesgo y listas negras de rostros. La plataforma también cuenta con las certificaciones FIDO DocAuth e iBeta para la prueba de vida, que son puntos de referencia establecidos para la resistencia a los ataques de presentación. El enfoque por capas se aplica sin que la experiencia se sienta hostil para los usuarios genuinos. Los controles de fraude y la experiencia del usuario no se oponen cuando el sistema se construye correctamente.

Maneja correctamente la titularidad real en los servicios financieros

Para las empresas reguladas que realizan el onboarding de clientes corporativos, la comprobación de identidad rara vez se detiene en el individuo. La pregunta no es solo quién es la persona, sino quién está detrás del negocio o la estructura de propiedad que representan.

La verificación de la titularidad real requiere que el proceso profundice varias capas. Para un cliente corporativo, eso significa identificar a los beneficiarios finales reales por encima del umbral aplicable, comprender la estructura de control, rastrear la propiedad a través de cualquier sociedad holding intermedia o acuerdos de nominatarios y confirmar que no existen factores de descalificación en ningún nivel.

Las estructuras que atraviesan múltiples jurisdicciones añaden aún más complejidad. Un negocio constituido en un país con entidades holding en otros dos y beneficiarios reales residentes en un cuarto no es inusual en los servicios financieros internacionales. Verificar a cada individuo en esa estructura requiere la captura de documentos y la comprobación de identidad en cada nivel, con un registro de auditoría consistente que conecte todo.

Los reguladores esperan más que la confirmación de que se estableció la titularidad real. Esperan un recuento documentado de cómo se rastreó la propiedad, qué evidencia se revisó, qué decisiones se tomaron y cuándo. Esa es una obligación de documentación que va más allá de ejecutar una herramienta de verificación y registrar el resultado.

La titularidad también cambia. Un negocio verificado en el onboarding puede tener nuevos accionistas o un acuerdo de holding reestructurado tres años después. Los activadores de reverificación deben integrarse en el marco de monitoreo continuo, no tratarse como un evento único.

Veriff admite flujos de trabajo de verificación complejos y de múltiples partes con la calidad de registro de auditoría que exigen las expectativas regulatorias de los servicios financieros. Para las organizaciones que manejan un alto volumen de onboarding corporativo o gestionan la remediación de archivos de clientes existentes, una plataforma que procesa múltiples verificaciones individuales dentro de una única estructura de caso y produce un registro de cumplimiento consolidado es una ventaja operativa significativa.

Entiende cómo cambian los requisitos de comprobación de identidad según la industria y la etapa del ciclo de vida

Los requisitos de comprobación de identidad varían no solo por industria, sino también por el lugar en que se encuentra un usuario en el ciclo de vida. Una institución financiera regulada que realiza el onboarding de un nuevo cliente tiene prioridades diferentes a las de un marketplace que verifica a un usuario que regresa, o una plataforma que responde a una transacción de mayor riesgo. La necesidad principal sigue siendo la misma: establecer confianza en quién es el usuario. Pero los activadores, el nivel de seguridad y la fricción aceptable cambian según el contexto.

En los servicios financieros, la comprobación de identidad está fuertemente influenciada por las expectativas de cumplimiento, la auditabilidad y la prevención del fraude en el onboarding. En los marketplaces y negocios de plataforma, el énfasis puede recaer más en la integridad de la cuenta, la confianza entre los participantes y la reducción del fraude y el uso indebido a escala. En ambos casos, las organizaciones deben pensar más allá de una verificación de onboarding única. La reverificación, las verificaciones adicionales y las señales de confianza continuas son cada vez más importantes a medida que los patrones de fraude evolucionan con el tiempo.

Para las instituciones financieras reguladas y las plataformas fintech, la comprobación de identidad en el onboarding se enmarca en un marco de cumplimiento que prescribe qué se debe verificar, qué evidencia se debe retener y cuáles son las consecuencias de un fallo. La velocidad también importa comercialmente: un neobanco que compite por usuarios no puede permitirse un proceso de onboarding que se mida en días. El tiempo de verificación promedio de Veriff de seis segundos, con cobertura de más de 12,500 tipos de documentos en más de 230 países y territorios, está diseñado exactamente para este entorno operativo.

Veriff en cifras

En todos los sectores, los requisitos de comprobación de identidad cambian con el tiempo. El onboarding de un nuevo cliente es diferente de la reverificación de uno que regresa, de la respuesta a una señal de riesgo o del soporte a una transacción de mayor valor que justifica una seguridad adicional.

Muchas organizaciones tratan la comprobación de identidad como una puerta de entrada única en el onboarding, después de la cual se considera al cliente verificado indefinidamente. Ese modelo no refleja cómo se comporta realmente el riesgo. La toma de control de cuentas, la comprometimiento de credenciales y los cambios en las circunstancias de un cliente crean situaciones en las que la verificación inicial ya no es suficiente. La reverificación y la autenticación escalonada, activadas por señales de riesgo definidas, son cada vez más la expectativa estándar.

La plataforma de Veriff cubre el monitoreo continuo y la Autenticación biométrica para usuarios que regresan, lo que significa que las organizaciones pueden aplicar un marco de confianza de identidad consistente en todo el ciclo de vida del cliente, en lugar de solo en el punto del onboarding inicial.

Para los negocios de marketplace y plataformas, el desafío es diferente. Una plataforma de entregas, un marketplace de alquileres o una aplicación de movilidad a menudo necesitan verificar a ambas partes de una transacción. El conductor y el pasajero. El anfitrión y el huésped. El objetivo es generar confianza entre participantes que no se conocen, proteger la integridad de la cuenta a escala y reducir el fraude y el uso indebido que erosionan la calidad de la plataforma con el tiempo. Estas plataformas también manejan la identidad en un gran volumen. Un sistema de verificación que introduce una caída significativa en la creación de cuentas tendrá un impacto directo en las métricas de adquisición de usuarios.

Aborda la brecha de adopción de frente

Los servicios financieros adoptaron la comprobación remota de identidad tempranamente porque el cumplimiento la hizo inevitable, pero otros sectores se han movido más lentamente. Los marketplaces, las plataformas sociales y los negocios de la economía gig históricamente han enfrentado menos presión regulatoria y a menudo han tratado la verificación de identidad como un costo de fricción en lugar de una inversión en confianza.

Esa vacilación no siempre es irrazonable. Una plataforma de alquiler de igual a igual o una aplicación de citas no enfrentan las mismas consecuencias legales por un fallo en la verificación que una institución financiera regulada. El caso de costo-beneficio, sin un piso de cumplimiento, es genuinamente menos claro.

Pero el terreno bajo esa posición ha estado cambiando. Las tasas de fraude en plataformas no verificadas han aumentado constantemente. Los equipos de confianza y seguridad están bajo presión para demostrar que los controles de acceso son reales. Los mandatos de garantía de edad están creando nuevas obligaciones de identidad para las plataformas de consumo que nunca han tenido que pensar en la verificación a nivel de infraestructura. Para ver más de cerca cómo las plataformas están abordando estos requisitos en la práctica, consulta el webinar de Veriff sobre la garantía de edad. Los usuarios eligen cada vez más plataformas donde saben con quién están interactuando.

Las organizaciones que manejan bien esta transición no se limitan a implementar la verificación y esperar que los usuarios la sigan. Están rediseñando el recorrido, explicando claramente en qué consiste el proceso y por qué, manteniendo los pasos al mínimo y proporcionando rutas alternativas para los usuarios que encuentran problemas. El tiempo promedio de finalización de Veriff de seis segundos refleja una experiencia de usuario que ha sido diseñada deliberadamente para ser lo más clara y de baja fricción posible. Las organizaciones que esperan un mandato de cumplimiento para forzar la decisión no están evitando el problema. Lo están posponiendo mientras sus competidores toman una decisión diferente.

Conoce hacia dónde se dirige la regulación

Las expectativas regulatorias sobre la verificación de la identidad del cliente se han movido consistentemente en una dirección: hacia estándares probatorios más altos y menos tolerancia a las brechas en los procesos que antes eran aceptables. En la práctica, esto significa que las organizaciones deben poder producir registros de verificación con marca de tiempo, puntuaciones de confianza en cada verificación, registros de autenticidad de documentos y un registro de auditoría completo desde la primera interacción hasta la decisión final. Una copia certificada firmada por un abogado no produce nada de eso. La brecha entre lo que los reguladores esperan ver ahora en un archivo y lo que un proceso manual puede documentar realmente no es un tecnicismo. Es una diferencia sustancial en la calidad probatoria.

En EE. UU., la regla de titularidad real de FinCEN, que entró en pleno vigor en 2024, creó nuevas obligaciones significativas para la transparencia corporativa y la identificación de UBO. Los reguladores bancarios federales han aumentado el escrutinio de las prácticas de verificación de identidad, particularmente en torno al fraude de identidad sintética. La Oficina para la Protección Financiera del Consumidor (CFPB) también ha estado activa en las dimensiones de datos y fraude de la identidad digital.

A nivel internacional, las Recomendaciones del GAFI establecen la línea de base con la que se evalúan los marcos nacionales, y los informes de evaluación mutua han identificado repetidamente la implementación de la verificación de identidad como una brecha entre la política declarada y la práctica real. Las organizaciones con operaciones transfronterizas no pueden asumir que un solo marco cubra todas las jurisdicciones en las que operan.

Lo que los reguladores esperan cada vez más que las organizaciones demuestren no es una respuesta binaria sobre si un cliente fue verificado. Es un recuento completo de cómo: qué proceso se siguió, qué verificaciones se realizaron, qué evidencia se capturó y cuál fue el nivel de confianza. Es poco probable que los procesos manuales produzcan ese nivel de evidencia documentada de manera consistente. Las organizaciones que todavía dependen únicamente de los procesos de documentos certificados no solo están atrasadas comercialmente. Bajo las expectativas regulatorias actuales, están acumulando una exposición que quizás no hayan evaluado completamente.

Conclusión

Sea cual sea el sector en el que opere una organización, la cuestión de cómo verifica a las personas con las que hace negocios no va a desaparecer. Las herramientas han cambiado, las expectativas regulatorias han cambiado y el entorno de fraude ha cambiado. La pregunta es si los procesos de verificación han seguido el ritmo de todo eso.

El entorno de amenazas no es un problema fijo. La tecnología deepfake se está desarrollando, y las organizaciones que tratan la comprobación de identidad como una decisión de implementación única en lugar de una capacidad continua se encontrarán con brechas que no anticiparon.

Para las organizaciones que piensan en cómo se ve un buen resultado en la práctica, vale la pena considerar seriamente a Veriff. La calidad del registro de auditoría, la trayectoria intersectorial en más de 3,000 empresas de todo el mundo, la profundidad de la detección de fraude y la calibración de la experiencia del usuario representan la brecha entre una implementación de verificación que se sostiene bajo escrutinio y una que no. La ventana para tratar esto como un proyecto futuro se está cerrando.