Biometría bajo ataque: cuando tu identidad se convierte en una credencial que no puedes cambiar
Durante años, las contraseñas fueron el principal mecanismo para demostrar quiénes somos frente a un sistema. Esto está cambiando poco a poco, ya que cada vez más servicios están reemplazándolas o complementándolas con algo que parece mucho más difícil de falsificar: nuestro rostro, nuestra huella o nuestra voz.
La biometría ofrece una experiencia de autenticación más rápida y cómoda, pero también introduce una diferencia fundamental frente a una contraseña: no podemos reemplazarla cuando queda expuesta.
Y en un escenario donde la inteligencia artificial permite generar voces, imágenes y videos sintéticos cada vez más convincentes, esa diferencia adquiere una nueva dimensión.
Tu rostro puede ser una credencial. Y también un objetivo.
Una contraseña comprometida puede revocarse. Una tarjeta puede bloquearse. Un token puede reemplazarse.
Pero si una organización pierde información biométrica, no existe un botón para “cambiar de rostro” o generar una nueva huella.
Ese carácter permanente convierte a estos datos en un objetivo especialmente atractivo para los ciberdelincuentes.
Además, a diferencia de una contraseña, la biometría está constantemente expuesta. Rostros aparecen en fotografías y videollamadas; voces quedan registradas en llamadas, reuniones y mensajes; las huellas pueden quedar en objetos de uso cotidiano.
Esto no significa que cualquier imagen pueda convertirse automáticamente en una llave de acceso. Los sistemas biométricos modernos incorporan diferentes mecanismos de protección. El problema es que la cantidad de información disponible para intentar construir una suplantación también está creciendo.
La IA está cambiando las reglas
La aparición de herramientas capaces de generar contenido sintético introduce una nueva variable en este escenario.
Clonar una voz, generar una imagen o producir un video falso ya no requiere necesariamente conocimientos especializados. Estas capacidades pueden utilizarse para construir ataques de ingeniería social mucho más convincentes.
Imaginemos un escenario empresarial: un atacante obtiene información pública sobre un ejecutivo y utiliza IA para generar una voz similar. Posteriormente intenta contactar a un colaborador para solicitar una transferencia, modificar datos bancarios o entregar información confidencial.
El ataque no necesariamente necesita vulnerar primero un sistema. Puede comenzar intentando convencer a una persona de que la identidad que tiene al otro lado es legítima.
Y cuando la biometría forma parte de los mecanismos de autenticación, el desafío se vuelve todavía más relevante: los controles deben ser capaces de distinguir entre una persona real y una representación artificial de esa persona.
El riesgo está en todo el proceso
Proteger la biometría no consiste únicamente en cifrar una base de datos, hay que mirar toda la cadena.
¿Cómo se captura el rostro o la voz? ¿Desde qué dispositivo? ¿Dónde se procesa? ¿Qué información se almacena? ¿Quién puede acceder? ¿Durante cuánto tiempo? ¿Qué ocurre cuando el usuario deja de utilizar el servicio? ¿Cómo se detecta un intento de presentación falsa?
Cada uno de esos puntos puede convertirse en una oportunidad para un atacante. Por eso, implementar reconocimiento facial o autenticación por voz sin analizar previamente la arquitectura completa de seguridad puede generar una falsa sensación de protección.
Una tecnología diseñada para reducir el riesgo también puede convertirse en una nueva superficie de ataque si no se implementa correctamente.
No todos los sistemas biométricos enfrentan el mismo riesgo
No existe una única solución biométrica ni un único nivel de exposición.
Una empresa que utiliza reconocimiento facial para controlar el acceso físico enfrenta amenazas diferentes a una institución financiera que utiliza reconocimiento facial para validar una transacción.
También cambia el escenario cuando la biometría se utiliza para acceder a aplicaciones corporativas, aprobar operaciones, verificar clientes o controlar dispositivos.
Por eso, antes de implementar una solución, las organizaciones deberían determinar qué están intentando proteger y qué impacto tendría una eventual suplantación.
La pregunta no debería ser simplemente:
“¿Qué sistema biométrico podemos implementar?”
Sino:
“¿Qué nivel de seguridad necesita esta identidad y qué ocurriría si el mecanismo falla?”
La biometría necesita más de una capa de seguridad
Una estrategia sólida debería evitar que el acceso dependa exclusivamente de un único indicador biométrico.
La autenticación multifactor permite combinar diferentes elementos para verificar una identidad. A esto pueden sumarse mecanismos de detección de vida, análisis del dispositivo, evaluación de comportamiento y controles antifraude capaces de identificar patrones sospechosos.
El objetivo es que un atacante no pueda convertir una única pieza de información comprometida en acceso directo.
En otras palabras, el rostro, la voz o la huella deberían ser una parte de la ecuación de seguridad, no toda la ecuación.
El dato biométrico también necesita una estrategia de ciclo de vida
Existe otro aspecto que muchas veces queda relegado frente a la implementación tecnológica: qué ocurre con la información una vez que ha sido recopilada.
Las organizaciones deben definir desde el principio cuánto tiempo necesitan conservarla, quién puede utilizarla y bajo qué condiciones debe eliminarse.
Esto adquiere especial importancia en Chile ante el nuevo marco establecido por la Ley 21.719, que considera los datos biométricos dentro de los datos personales sensibles y establece mayores exigencias para su tratamiento.
La seguridad, por lo tanto, debe incorporarse desde el diseño del proceso y no como una medida posterior a la implementación.
¿Qué deberían hacer las empresas?
Antes de incorporar o ampliar el uso de biometría, es recomendable revisar al menos cinco aspectos:
- Necesidad: determinar si realmente es necesario recopilar datos biométricos para cumplir el objetivo definido.
- Arquitectura: conocer dónde se capturan, procesan y almacenan estos datos y qué controles existen en cada etapa.
- Autenticación: evitar depender de un único factor y evaluar mecanismos adicionales de verificación.
- Detección: incorporar controles capaces de identificar intentos de suplantación, automatización o uso de contenido sintético.
- Respuesta: establecer qué hacer ante una filtración o compromiso, considerando que el dato biométrico no puede simplemente reemplazarse.
Proteger la identidad también es proteger el acceso
La biometría puede mejorar significativamente la experiencia de autenticación y aportar una capa adicional de seguridad. Pero su implementación también exige asumir una realidad: estamos protegiendo información que acompaña a una persona durante toda su vida.
La evolución de la inteligencia artificial hace que este desafío sea todavía mayor. A medida que aumenta la capacidad para crear representaciones sintéticas de personas reales, también debe aumentar la capacidad de las organizaciones para verificar identidades y detectar intentos de suplantación.
La seguridad biométrica, por lo tanto, no puede reducirse a elegir una tecnología precisa.
Debe formar parte de una estrategia integral de protección de identidades, datos, dispositivos y accesos.
¿Tu empresa utiliza biometría o está evaluando incorporarla?
En Lockbits podemos ayudarte a identificar los riesgos de tu infraestructura y fortalecer tus mecanismos de protección.
Contáctanos en https://lockbits.cl/contacto/ y conversemos sobre la seguridad de tu organización.