Investigadores de Flare han identificado un ecosistema underground donde se comercializan servicios diseñados para burlar los procesos de Conoce a tu Cliente (KYC). Los vendedores ofrecen desde documentos de identidad alterados hasta videos deepfake que simulan la presencia del titular en tiempo real. Este modelo de negocio permite a los compradores obtener cuentas verificadas sin pasar por los controles habituales, facilitando actividades ilícitas como lavado de dinero y fraude financiero.

Qué sabemos hasta ahora

El mercado opera en foros y plataformas de mensajería encriptada, donde los proveedores anuncian paquetes que incluyen documentos de identificación, videos generados con IA y sesiones de verificación en vivo realizadas por operadores humanos. Los compradores suelen ser grupos criminales que requieren acceso a servicios financieros regulados, como exchanges de criptomonedas o bancos en línea.

Flare ha documentado varios casos en los que los servicios fueron utilizados para crear cuentas en plataformas que exigen verificación biométrica. Los vendedores afirman que pueden mantener la apariencia de legitimidad durante periodos prolongados, renovando los documentos y los videos según sea necesario.

Análisis técnico

Los atacantes emplean herramientas de generación de deepfake basadas en modelos de aprendizaje profundo para crear videos que replican rasgos faciales y movimientos de cabeza del objetivo. Estos videos se combinan con documentos de identidad falsificados, a menudo generados mediante software de edición de imágenes que modifica fotos oficiales.

Para la fase de verificación en vivo, los proveedores utilizan operadores humanos que actúan como intermediarios, conectándose a la sesión de KYC del cliente y presentando los documentos y el video deepfake en tiempo real. Esta cadena de ataque combina automatización (creación de deepfakes) y manipulación humana (verificación en vivo), dificultando la detección automática.

"Los vendedores garantizan una cuenta verificada en menos de 24 horas, siempre que el comprador proporcione la información requerida", señaló Flare en su informe.

Impacto y alcance

El mercado clandestino de servicios KYC está erosionando la confianza en procesos críticos de verificación de identidad. Sectores como la banca, los servicios fintech, las plataformas de comercio electrónico y las empresas de seguros son los más vulnerables, ya que dependen de la autenticidad de los documentos para cumplir con regulaciones y prevenir fraudes.

Los actores maliciosos que adquieren documentos falsificados o deepfakes pueden utilizarlos para abrir cuentas, solicitar créditos o incluso lavar dinero. Hasta el momento, se han observado casos públicos donde los documentos manipulados han pasado los controles automatizados de varios proveedores de verificación, lo que evidencia la efectividad de las técnicas de falsificación actuales.

El riesgo se extiende más allá de las instituciones financieras; startups de identidad digital, proveedores de servicios de onboarding y cualquier organización que confíe en soluciones de terceros para validar la identidad de sus usuarios están expuestas a compromisos de integridad y a posibles sanciones regulatorias.

¿Cómo afecta esto a LATAM?

En América Latina, la adopción acelerada de plataformas digitales ha creado un terreno fértil para estos servicios ilícitos. En México, Colombia y Argentina, fintechs y bancos digitales están integrando cada vez más soluciones de verificación automática, lo que los coloca directamente en la mira de los proveedores de documentos falsos.

Empresas regionales que operan en múltiples países y que dependen de la misma infraestructura de KYC pueden ver comprometida su capacidad de cumplir con normativas locales, lo que genera incertidumbre tanto para los clientes como para los reguladores.

Qué deben hacer los equipos de seguridad

  • Implementar capas de detección basadas en análisis de metadatos y de inconsistencias visuales en los documentos presentados.
  • Combinar la verificación automática con revisiones manuales aleatorias, especialmente para casos de alto riesgo o valores atípicos.
  • Actualizar y entrenar los modelos de detección de deepfakes con datos recientes que incluyan técnicas de falsificación emergentes.
  • Establecer procesos de auditoría continua de los proveedores de KYC, verificando sus métodos de origen de datos y sus controles internos.
  • Desarrollar flujos de respuesta rápida ante detección de documentos sospechosos, incluyendo la revocación de accesos y la notificación a los equipos de cumplimiento.
  • Fomentar la colaboración con otras organizaciones del sector para compartir indicadores de compromiso y mejores prácticas.

Reflexión

Si la confianza en la identidad digital se vuelve un bien escaso, ¿cómo podrán las instituciones seguir ofreciendo servicios rápidos y seguros? La carrera entre falsificadores y defensores de la verificación está lejos de terminar, y la próxima ola de innovación podría redefinir quién controla la verdadera identidad en la era digital.