La autenticación del comportamiento y la crisis de identidad

El mes pasado, Sam Altman no se anduvo con rodeos en un evento de la Reserva Federal: «La IA ha derrotado por completo a la autenticación por voz». Viniendo del director ejecutivo de OpenAI, cuyos avances ayudaron a acelerar esta realidad, esta declaración debería haber sido una llamada de atención global. Sin embargo, muchas organizaciones siguen confiando en la verificación de voz como su primera línea de defensa.

Mientras tanto, Deloitte proyecta que el fraude impulsado por IA se disparará a 40 000 millones de dólares para 2027, frente a los 12 300 millones de dólares en 2023: una tasa de crecimiento anual compuesta del 32 %. Y esas son solo las pérdidas reportadas. Fuentes internas de la banca sugieren que la cifra real podría ser el triple. De cualquier manera, el mensaje es claro: ya no se puede confiar en los métodos tradicionales de verificación de identidad.

Bienvenidos a 2025, donde tu identidad puede ser robada, replicada y utilizada en tu contra en menos de tres minutos por menos de lo que cuesta una taza de café.

La regla de los tres segundos que cambió todo sobre la identidad

La demostración de VALL-E de Microsoft rompió una suposición fundamental sobre la identidad: que la singularidad equivale a la seguridad. Su IA puede clonar de forma casi perfecta cualquier voz con solo tres segundos de audio. No tres minutos. No tres horas. Tres segundos.

Analicemos las implicaciones:

• Tu saludo del buzón de voz: 10 segundos de datos de entrenamiento

• Tu video de presentación en LinkedIn: 30 segundos

• Tu participación en un pódcast: Horas de material

• Tus videos de TikTok: Una mina de oro para los ladrones de identidad

¿Qué significa esto para el futuro de la identidad?

Los bancos se enfrentan a una crisis de identidad por la IA

Las instituciones financieras están siendo atacadas con un éxito alarmante:

• Hong Kong, 2024: Un empleado de finanzas transfirió 25,6 millones de dólares tras una videollamada en la que todos los participantes eran clones digitales creados con IA (deepfakes).

• WPP, 2024: Mark Read, director ejecutivo de la mayor empresa de publicidad del mundo, fue suplantado en una videollamada falsa de Teams. Afortunadamente, el empleado sospechó que algo andaba mal y el fraude se frustró.

• Ferrari, 2024: Unos estafadores clonaron la voz del director ejecutivo Benedetto Vigna, incluyendo su acento italiano, en WhatsApp. Un directivo desconfiado le hizo al estafador una pregunta que solo el verdadero director ejecutivo sabría, lo que hizo que el estafador huyera.

Estos casos demuestran una cosa: confiar en una cara o voz familiar ya no es seguro. Cada interacción digital debe tratarse como potencialmente comprometida.

La superficie de ataque se ha multiplicado

La IA ha roto los viejos esquemas del fraude. Todas las medidas de seguridad tradicionales están ahora comprometidas: 

• Deepfakes (clones digitales): Imitaciones de audio o video muy realistas están inundando las bandejas de entrada y los chats de video. Hubo más de 105 000 ataques relacionados con deepfakes en EE. UU. en 2024, lo que generó más de 200 millones de dólares en pérdidas solo en el primer trimestre.

• Suplantación biométrica: Un grupo de investigadores ha logrado burlar el reconocimiento facial de nivel aeroportuario con máscaras de silicona baratas o incluso fotos impresas mostradas en pantallas.

• Identidades sintéticas: Combinar números reales de la Seguridad Social con datos personales falsos costó a los prestamistas estadounidenses unos 6000 millones de dólares en 2016, según la Reserva Federal de EE. UU. Hoy en día, estimaciones conservadoras sitúan las pérdidas por robo de identidad sintética entre 20 000 y 40 000 millones de dólares al año.

Ningún rasgo personal es totalmente seguro. En abril de 2023, Jennifer DeStefano, una madre de Arizona, recibió una llamada aterradora: su «hija» lloraba desconsolada y parecía haber sido secuestrada. La voz había sido clonada con IA a partir de un breve video de redes sociales, pero no era su hija. Alertó a las autoridades justo a tiempo. En la red oscura, los «kits de fraude» ahora se venden por tan solo 200 dólares e incluyen software de clonación de voz, generadores de identidades sintéticas y datos robados.

Los rasgos visibles y grabables (desde fotos hasta videos y grabaciones de voz) se están explotando en estafas con IA. Las credenciales estáticas y la biometría ya no son suficientes. El fraude puede imitar un rostro, una voz o inventar un personaje desde cero.

La paradoja: Cuanto más dependemos de la comunicación digital, menos podemos confiar en ella.

Tu identidad ya no es quién eres, sino cómo piensas

Aunque los estafadores pueden imitar a la perfección tu aspecto físico, no pueden replicar cómo funciona tu cerebro. Esa es la nueva frontera de la identidad.

Modelo antiguo: Identidad = Atributos físicos + Documentos
Nueva realidad: Identidad = Patrones cognitivos + Firmas de comportamiento

La IA puede replicar tu rostro y tu voz con una precisión asombrosa, pero todavía no puede imitar la compleja coordinación de tu mente en acción. La investigación de Oscilar descubrió más de 10 000 microcomportamientos que forman una «huella dactilar cognitiva» única; algunos ejemplos incluyen:

• La pausa de 47 milisegundos antes de escribir tu contraseña

• El ángulo en el que sostienes tu teléfono, medido por su giroscopio

• Tu velocidad al deslizar la pantalla cuando estás estresado frente a cuando estás relajado

• Las variaciones de presión en tu firma en la pantalla táctil

• El ritmo de tus decisiones bajo la presión del tiempo

La nueva regla: Cuanto más invisible es la autenticación, más fuerte se vuelve. La seguridad tradicional exigía pruebas de identidad. La seguridad de última generación observa silenciosamente cómo interactúas.

El auge de la inteligencia de identidad cognitiva

Entonces, ¿qué puede seguir demostrando la autenticidad? Resulta que es el comportamiento. Mientras las empresas de seguridad tradicionales perfeccionaban el reconocimiento facial, Oscilar resolvía un problema diferente: ¿cómo se autentica la propia conciencia?

El marco de autenticación cognitiva

Capa 1: Análisis microcomportamental

• Dinámica de tecleo (tiempo entre pulsaciones de teclas)

• Patrones de movimiento del ratón (velocidad, aceleración, curvas)

• Variaciones en la presión táctil

• Características del manejo del dispositivo

Capa 2: Inteligencia contextual

• Anomalías en la velocidad de las transacciones

• Imposibilidades geográficas

• Inconsistencias en el entorno social

• Desviaciones en los patrones de tiempo

Capa 3: Firmas de respuesta al estrés

• Tiempo de respuesta bajo presión

• Patrones de corrección de errores

• Frecuencia de cambios de decisión

• Comportamientos de abandono

Los estafadores pueden copiar tu aspecto físico, pero no pueden copiar cómo se activan tus neuronas.

La identidad es la nueva ventaja estratégica: los primeros en adoptarla llevan las de ganar

En una época en la que la IA puede falsificar cualquier marcador de identidad estático, las instituciones que sobrevivirán serán aquellas que puedan autenticar lo único que la IA aún no puede replicar: los patrones complejos y cambiantes del comportamiento y la cognición humana:

• McKinsey señala que las soluciones basadas en agentes de IA pueden ayudar a los bancos a combatir el delito financiero de forma más eficaz, indicando que, a pesar del aumento del gasto en procesos de conocimiento del cliente (KYC) y prevención del lavado de dinero (AML), los esfuerzos actuales detectan solo alrededor del 2 % de los flujos de delitos financieros globales.
  
  

• JP Morgan informa que la IA está haciendo que los pagos sean más eficientes y seguros al reducir el fraude mediante una validación más inteligente, disminuir los falsos positivos, acelerar el procesamiento y revelar información automáticamente, lo que se traduce en menores costos, mejor cumplimiento y una experiencia de cliente superior.
  
  

• Oscilar aplica la inteligencia de identidad cognitiva para distinguir el comportamiento humano genuino de la IA o de los patrones sintéticos, ayudando a las instituciones a reducir el fraude mientras mantienen interacciones fluidas con los clientes.

En una época en la que la IA puede falsificar cualquier marcador de identidad estático, las instituciones que sobrevivirán serán aquellas que puedan autenticar lo único que la IA aún no puede replicar: los patrones complejos y cambiantes del comportamiento y la cognición humana.

Seguridad antigua: Verificar una vez, confiar para siempre
Nueva realidad: Nunca confiar, verificar siempre

Adáptate ahora o pasa a ser una estadística de fraude

Las empresas que almacenaban millones de contraseñas pensaban que estaban protegiendo la identidad. En realidad, estaban creando el escenario perfecto para los ataques de fraude de nueva generación. Las bases de datos biométricas de hoy son las minas de oro para el robo de identidad del mañana.

La única defensa sostenible es la autenticación de comportamiento continua: no porque sea perfecta, sino porque es lo único que evoluciona tan rápido como la amenaza.

La decisión está en tus manos: implementa la autenticación de comportamiento ahora que todavía tienes el control, o hazlo más tarde, después de haberte convertido en el caso de estudio de la presentación de seguridad de otra empresa.

Reenvía este artículo a tu director ejecutivo, director financiero y director de seguridad de la información con una sola pregunta: «¿Cuál es nuestro plan para cuando clonen las voces de nuestros directivos?»

Porque en la era de la IA, no se trata de saber si pasará, sino de cuándo pasará.