Verificación de la identidad del usuario: lo que toda empresa debe saber
Una importante empresa de comercio electrónico fue víctima en su día de una estafa en la que unos piratas informáticos utilizaron cuentas de clientes robadas para realizar compras de gran cuantía y redirigir los envíos a sus propias direcciones. Dado que la empresa no contaba con medidas sólidas de verificación de la identidad de los usuarios, no pudo distinguir entre clientes legítimos y estafadores.
La empresa sufrió pérdidas económicas, además de ver mermada la confianza de sus clientes. Este es solo un ejemplo de entre muchos: en el panorama digital actual, es fundamental que las empresas online implementen un riguroso proceso de verificación de identidad para proteger tanto sus resultados económicos como su reputación.
En este artículo analizaremos por qué la verificación de la identidad puede ser fundamental para prevenir el fraude, proteger la información confidencial y cumplir con los requisitos normativos.
Sin embargo, la verificación de la identidad de los usuarios implica mucho más que limitarse a pedir a alguien que suba un documento de identidad. La verificación moderna puede combinar documentos de identidad, datos biométricos, fuentes de datos fiables y otras señales para determinar si una persona es quien dice ser, al tiempo que se logra un equilibrio entre la seguridad y la necesidad de ofrecer una experiencia rápida y sin complicaciones.
¿Qué es la verificación de la identidad del usuario?
La verificación de la identidad del usuario es el proceso mediante el cual se confirma que una persona es quien dice ser. En un entorno digital, esto suele implicar la recopilación de pruebas de identidad y su evaluación comparándolas con información fiable o características asociadas a la persona legítima.
La verificación de identidad se suele utilizar durante el proceso de incorporación, cuando una organización establece una relación con un nuevo cliente, empleado u otro usuario. También puede utilizarse más adelante en la relación, cuando el nivel de riesgo cambia, por ejemplo, durante la recuperación de una cuenta, una transacción de alto valor, un cambio en la información confidencial de la cuenta u otra actividad que justifique una verificación adicional.
La verificación de identidad está estrechamente relacionada con la autenticación, pero no son lo mismo. La verificación de identidad establece o confirma quién es una persona, mientras que la autenticación determina si una persona que intenta acceder a una cuenta o a un sistema dispone de las credenciales adecuadas. Una empresa puede verificar la identidad de una persona durante el proceso de alta y, posteriormente, autenticarla mediante una contraseña, una clave de acceso, un dispositivo u otro factor.
Este aumento de las transacciones en línea ha acelerado la necesidad de que las empresas utilicen la verificación de documentos de identidad y otras formas de verificación de identidad para combatir el fraude, proteger la información personal y garantizar la seguridad y la fiabilidad de las interacciones digitales en un mundo cada vez más interconectado.
¿Cuáles son los principales métodos de verificación de identidad?
No existe una única forma de verificar la identidad. Las organizaciones suelen elegir los métodos en función del tipo de interacción, el nivel de riesgo, los requisitos normativos y la información disponible.
Verificación de documentos de identidad
La verificación de documentos utiliza credenciales expedidas por las autoridades públicas, como pasaportes, permisos de conducir y documentos nacionales de identidad, para comprobar la identidad. Los sistemas digitales pueden escanear el documento, extraer la información de identidad y analizarlo en busca de indicios de alteración, manipulación o fraude.
Verificación biométrica
La verificación biométrica utiliza características físicas para ayudar a determinar que la persona que realiza la verificación es el titular legítimo de la identidad. La verificación facial, por ejemplo, puede comparar una selfie en directo con la fotografía que figura en un documento de identidad. La detección de vida puede aportar pruebas adicionales de que la muestra biométrica procede de una persona viva y no de una fotografía, una pantalla, una máscara u otro tipo de ataque de presentación.
Otras formas de biometría pueden ser las huellas dactilares, el reconocimiento de voz y el escaneo del iris, en función de la aplicación y de la tecnología disponible.
Verificación basada en datos
La información de identidad también puede compararse con fuentes de datos fiables o oficiales. En función del caso de uso y de la jurisdicción, las organizaciones pueden verificar datos como el nombre, la dirección, la fecha de nacimiento, el número de teléfono u otros datos identificativos de una persona.
Verificación basada en el conocimiento
Los métodos basados en el conocimiento solicitan a los usuarios que faciliten información que se espera que conozca la persona legítima. Históricamente, estos enfoques han incluido preguntas basadas en el historial personal o financiero. Dado que la información personal puede quedar expuesta a través de filtraciones, ingeniería social y otras fuentes, las organizaciones deben evaluar si los métodos basados en el conocimiento ofrecen garantías suficientes para el riesgo que conllevan.
Verificación multifactorial y por capas
Las organizaciones pueden combinar varios métodos de verificación en lugar de basarse en una única señal. Por ejemplo, un usuario podría presentar un documento de identidad, someterse a una verificación biométrica facial y superar una comprobación de vitalidad. A continuación, otras señales de riesgo o contextuales pueden ayudar a determinar si es necesaria una verificación adicional.
Los métodos de capas de seguridad pueden dificultar que los estafadores burlen un sistema mediante una credencial comprometida o una técnica de ataque, al tiempo que permiten a las empresas ajustar el nivel de fricción en función del riesgo.
¿Cómo funciona el proceso de verificación de identidad?
El flujo de trabajo exacto varía según la organización, pero un proceso típico de verificación de la identidad digital sigue varias etapas.
En primer lugar, la organización determina qué nivel de garantía de identidad es el adecuado para la interacción. Abrir una cuenta financiera o recuperar el acceso a una cuenta comprometida puede requerir pruebas más sólidas que realizar una transacción de bajo riesgo.
A continuación, el usuario facilita la información de identidad solicitada. Esto puede implicar introducir datos personales, escanear un documento de identidad oficial, hacerse una selfie o completar otro paso de verificación. La información del documento se puede extraer automáticamente, sin que el usuario tenga que rellenar manualmente todos los campos.
A continuación, el sistema evalúa las pruebas. Se puede comprobar la autenticidad de un documento y detectar posibles indicios de manipulación; se puede comparar la información de identidad con fuentes de datos fiables; y una comparación biométrica puede determinar si la persona que presenta el documento coincide con la fotografía que figura en él. La tecnología de verificación de vida puede ayudar a determinar si la muestra biométrica la proporciona una persona viva.
A continuación, la organización puede utilizar esos resultados, junto con otras señales de riesgo pertinentes, para tomar una decisión. Una verificación sencilla puede llevarse a cabo de forma automática, mientras que un caso incierto o de mayor riesgo puede requerir otro paso de verificación, una nueva captura de documentos o una revisión manual.
Además, la verificación no tiene por qué finalizar tras el registro. Las organizaciones pueden volver a verificar la identidad cuando las circunstancias lo justifiquen, como, por ejemplo, durante la recuperación de una cuenta, ante una actividad inusualmente sensible o ante un cambio significativo en el nivel de riesgo.
¿En qué casos se utiliza la verificación de la identidad del usuario?
La verificación de la identidad fomenta la confianza digital en una amplia variedad de sectores e interacciones.
Servicios financieros: Los bancos, las entidades de crédito, las empresas de tecnología financiera, los proveedores de servicios de pago y otras instituciones financieras utilizan la verificación de identidad durante la apertura de cuentas y otras interacciones delicadas. La verificación puede contribuir al cumplimiento de los requisitos de «conozca a su cliente» (KYC) y de lucha contra el blanqueo de capitales (AML), al tiempo que ayuda a prevenir el fraude por identidad robada o sintética.
Comercio electrónico y mercados online: Las empresas online pueden verificar la identidad de compradores, vendedores o comerciantes para reducir el uso indebido de cuentas, las transacciones fraudulentas y el fraude en los mercados online. La verificación puede resultar especialmente importante cuando los usuarios pueden vender productos, recibir pagos o acceder a otros privilegios en una plataforma.
Sanidad: Es posible que las entidades sanitarias tengan que verificar la identidad de los pacientes antes de concederles acceso a historiales médicos confidenciales, servicios o prestaciones. Unos procesos de verificación de identidad más rigurosos también pueden ayudar a combatir el robo de identidad médica y las reclamaciones fraudulentas.
Prestaciones públicas y gubernamentales: Los organismos públicos pueden utilizar la verificación de identidad para determinar si se cumplen los requisitos y garantizar que el acceso a los servicios, las prestaciones y las cuentas digitales lo realice la persona a la que van destinados.
Acceso del personal y de los proveedores: Las empresas pueden verificar la identidad de sus empleados, contratistas y proveedores antes de concederles acceso a sistemas confidenciales, instalaciones o información privada. La verificación también puede servir de apoyo en los procesos de contratación y de incorporación del personal.
Sector de los viajes y la hostelería: Las aerolíneas, los hoteles, las compañías de cruceros y otras empresas del sector turístico pueden utilizar la captura de documentos y la verificación de identidad para agilizar el proceso de registro de huéspedes y viajeros, al tiempo que ayudan a garantizar la autenticidad de los documentos y las identidades.
El coste de una verificación de identidad inadecuada
Los procesos de verificación de identidad deficientes pueden acarrear consecuencias financieras, normativas y reputacionales. Los estafadores pueden utilizar datos personales sustraídos, documentos falsificados o identidades sintéticas para crear cuentas, acceder a cuentas ya existentes o realizar transacciones fraudulentas.
Las fallas en la gestión de identidades también pueden dar lugar a la filtración de información confidencial. En 2019, se informó de que First American Financial Corporation había expuesto cientos de millones de registros debido a una vulnerabilidad en su página web, lo que pone de manifiesto las posibles consecuencias que puede acarrear una protección inadecuada del acceso a la información confidencial.
En el caso de las empresas sujetas a regulación, la identidad también está relacionada con el cumplimiento normativo. Los requisitos de «conozca a su cliente» (KYC) y de lucha contra el blanqueo de capitales (AML) pueden obligar a las entidades financieras y otras organizaciones afectadas a identificar a sus clientes y llevar a cabo las medidas de diligencia debida pertinentes, mientras que los requisitos de privacidad regulan la forma en que se recogen, tratan y protegen los datos personales.
El reto no consiste simplemente en maximizar el número de comprobaciones. Una verificación que genere dificultades innecesarias puede hacer que los usuarios legítimos abandonen el proceso de registro o tengan problemas para acceder a los servicios. Por lo tanto, una verificación de identidad eficaz requiere que las organizaciones gestionen de forma conjunta el fraude, el cumplimiento normativo y la experiencia del cliente.
¿Cuáles son los retos que plantea la verificación de la identidad?
Para crear un programa de verificación eficaz, las organizaciones deben resolver varios problemas que entran en conflicto entre sí al mismo tiempo.
Experiencia del usuario y fricción: cada paso adicional de verificación requiere tiempo y esfuerzo. Una captura de imagen de mala calidad, unas instrucciones confusas o unos requisitos innecesarios pueden frustrar a los usuarios legítimos y aumentar el abandono.
Sofisticación del fraude: Las técnicas de fraude siguen evolucionando. Los documentos falsificados, las identidades sintéticas, los «deepfakes», los intercambios de rostros y los ataques de inyección pueden suponer un reto para los sistemas diseñados en función de métodos de ataque más antiguos.
Rechazos erróneos: un usuario legítimo puede no superar la verificación debido a una iluminación deficiente, a la mala calidad de la imagen, a documentos dañados, a información que no coincide o a otras causas sin importancia. Las organizaciones necesitan formas de distinguir los problemas subsanables de los riesgos reales.
Envergadura y cobertura geográfica: Las empresas que operan en distintos mercados pueden encontrarse con miles de variantes de documentos de identidad, diferentes idiomas y alfabetos, así como requisitos normativos en constante evolución.
Integración y operaciones: La verificación de la identidad debe integrarse con los sistemas existentes de incorporación de clientes, gestión de cuentas y gestión de riesgos. Las organizaciones también deben determinar cómo se gestionan a nivel operativo los resultados inciertos, las excepciones y las revisiones manuales.
Privacidad y protección de datos: La verificación de la identidad puede implicar información personal y biométrica de carácter altamente sensible. Las organizaciones deben contar con políticas y medidas de seguridad adecuadas que regulen qué información se recopila, por qué es necesaria, durante cuánto tiempo se conserva y quién puede acceder a ella.
Buenas prácticas para la implementación de la verificación de identidad
Un programa eficaz de verificación de identidad debería reflejar el riesgo real que entraña la interacción, en lugar de aplicar el máximo nivel de restricción a todos los usuarios.
Empieza por definir qué pruebas de identidad son necesarias para cada caso de uso. Las interacciones de mayor riesgo pueden requerir la autenticación de documentos, datos biométricos, verificación de que la persona está viva u otras señales adicionales, mientras que las actividades de menor riesgo pueden requerir menos pasos.
Las organizaciones también deberían hacer que el proceso de verificación sea fácil de entender. Unas instrucciones claras sobre cómo capturar documentos, hacerse selfies y otros pasos pueden reducir los errores de los usuarios y los fallos innecesarios. Cuando no se pueda completar una verificación, los usuarios deberían recibir indicaciones adecuadas sobre cómo proceder, ya sea volviendo a capturar una imagen, aportando pruebas adicionales o pasando a otro proceso de revisión.
La combinación de señales complementarias puede aportar pruebas más sólidas que basarse en una única comprobación. Al mismo tiempo, las empresas deben supervisar el rendimiento de la verificación —incluidas las tasas de finalización, los rechazos erróneos, la detección de fraudes y el volumen de revisiones manuales— para comprender en qué puntos del proceso se generan riesgos o fricciones innecesarias.
La verificación también debe considerarse parte de una relación continua. Un cliente que haya superado la verificación durante el proceso de alta puede verse afectado posteriormente por una apropiación de cuenta u otros cambios en el nivel de riesgo. Una nueva verificación o una verificación reforzada pueden aportar una garantía adicional cuando así lo justifiquen acciones delicadas o comportamientos inusuales.
Por último, las organizaciones deberían revisar periódicamente su estrategia de verificación, ya que los patrones de fraude, la normativa, el comportamiento de los clientes y la tecnología están en constante evolución. Un flujo de trabajo diseñado para las amenazas del pasado puede que no ofrezca el mismo nivel de garantía en el futuro.
Cómo está evolucionando la verificación de identidad
La inteligencia artificial está afectando a ambos lados de la ecuación de la identidad. Las empresas pueden utilizar la IA y el aprendizaje automático para analizar documentos, datos biométricos y señales de fraude de forma más eficiente, mientras que los estafadores pueden recurrir a la IA generativa para crear documentos falsos cada vez más convincentes, identidades sintéticas, deepfakes y otros tipos de ataques.
Esto hace que el futuro de la verificación de identidad no se centre tanto en añadir un único método de verificación nuevo, sino más bien en combinar múltiples formas de evidencia. La inteligencia documental, la biometría, la verificación de vitalidad, la detección de fraudes y las señales contextuales pueden ayudar a las organizaciones a formarse una idea más completa de la persona o el actor que se encuentra detrás de una interacción.
Esto también hace que la verificación más allá de la fase de alta sea cada vez más importante. Establecer la identidad al inicio de una relación sigue siendo fundamental, pero la confianza puede cambiar con el tiempo. La apropiación de cuentas, el uso compartido de credenciales, los dispositivos comprometidos y otros incidentes pueden convertir una interacción que antes se consideraba de confianza en una de mayor riesgo.
El resultado es un cambio: se pasa de considerar la verificación de la identidad como un único paso en la apertura de la cuenta a evaluar la identidad y el riesgo en los momentos en los que realmente se necesita una garantía adicional.
Cómo puede ayudarte Microblink
Microblink ayuda a las organizaciones a verificar la identidad de las personas, al tiempo que reduce las dificultades innecesarias en las interacciones digitales. Nuestra tecnología combina la inteligencia documental, la verificación de identidad, la biometría, la verificación pasiva de vida y la detección de fraudes para ayudar a las empresas a determinar si la persona y los documentos de identidad presentados durante una interacción son fiables.
La tecnología de Microblink para el análisis de documentos captura y extrae información de identidad, al tiempo que analiza los documentos en busca de indicios de fraude y manipulación. La comparación biométrica facial y la verificación pasiva de vida pueden aportar pruebas adicionales de que la persona que presenta el documento es su titular legítimo y se encuentra físicamente presente durante la interacción.
Gracias a las API y los SDK diseñados para integrarse en las experiencias digitales existentes, las organizaciones pueden incorporar la verificación de identidad en los procesos de incorporación y otros flujos de trabajo, al tiempo que adaptan los requisitos de verificación a sus casos de uso.
A medida que evoluciona el fraude de identidad, una verificación eficaz depende cada vez más de la combinación de múltiples indicadores, en lugar de basarse en un único control. Esto ayuda a las empresas a reforzar sus decisiones en materia de identidad, al tiempo que permite que los usuarios legítimos sigan accediendo sin problemas.
A medida que las interacciones digitales y el fraude de identidad se vuelven cada vez más sofisticados, las organizaciones mejor preparadas para protegerse serán aquellas que consideren la verificación de identidad no como un obstáculo puntual para los clientes, sino como la base para generar y mantener la confianza.
