KYC: ¿Su proceso de onboarding detecta realmente los deepfakes?

¿Su proceso KYC detecta realmente los deepfakes?

Introducción

Un cliente abre una cuenta en línea desde su smartphone. Sube un documento de identidad, un comprobante de domicilio y graba un breve vídeo para confirmar su identidad. Todo parece correcto. Los documentos son nítidos, la información coherente y la herramienta de verificación valida el expediente. Sin embargo, unas horas más tarde, esa cuenta ya se utiliza para transferir fondos fraudulentos. Los documentos eran falsos — generados por inteligencia artificial.

La magnitud real del fraude documental en los procesos KYC

El fraude documental impulsado por la IA avanza rápidamente en el sector financiero.

Los contenidos sintéticos conocidos como deepfakeImagen, vídeo o documento fabricado o modificado por un software de inteligencia artificial, hasta parecer auténtico para un ojo no entrenado. permiten hoy producir documentos de identidad falsos, rostros falsos o comprobantes de domicilio falsos con un nivel de realismo difícil de percibir.

Según varios análisis del sector financiero, estos ataques se dirigen directamente a las etapas de identificación del cliente.

Los incidentes relacionados con deepfakes en los servicios financieros europeos aumentaron un 780% en 2023. [Clifford Chance — Financial services face up to deepfake risks (2024)]

Estos contenidos falsos pueden fragilizar etapas clave como la verificación KYCKnow Your Customer: procedimiento regulatorio que obliga a las instituciones financieras a verificar la identidad de sus clientes antes de iniciar cualquier relación comercial. o los controles destinados a prevenir el blanqueo de capitales.

Hoy, los deepfakes se encuentran entre las amenazas más preocupantes para la verificación de identidad en el sector financiero. [RegTech Analyst — How deepfake-proof ID checks protect against financial crime (2023)]

En algunos casos, los estafadores utilizan IA para generar en cuestión de segundos documentos bancarios o administrativos convincentes y luego los usan para eludir controles AMLAnti-Money Laundering: conjunto de procedimientos implementados por las instituciones financieras para detectar y prevenir el blanqueo de capitales y la financiación del terrorismo..

Los sistemas clásicos de verificación, diseñados para detectar falsificaciones simples, no siempre son capaces de identificar estas manipulaciones más sofisticadas. [ComplianceHub — FinCEN Deepfake Alert (2024)]

Por qué los bancos y las fintech son objetivos especialmente atractivos

Procesos de apertura de cuenta ampliamente automatizados

La mayoría de las aperturas de cuenta se basan hoy en recorridos totalmente digitales. Los documentos se procesan automáticamente para acelerar la activación de la cuenta. Esta automatización reduce los plazos para los clientes legítimos, pero también ofrece una oportunidad a los estafadores que aprovechan herramientas de IA generativa.

Controles que muestran sus límites frente a las nuevas amenazas

Muchos sistemas siguen basándose en tecnologías como la OCRReconocimiento óptico de caracteres: tecnología que extrae automáticamente el texto de un documento escaneado o de una foto, sin analizar su estructura visual ni detectar alteraciones.. Estas herramientas leen el texto de un documento, pero no examinan ni su estructura visual ni sus posibles modificaciones. Por lo tanto, un documento puede ser perfectamente legible y estar completamente falsificado.

Presión regulatoria creciente

Los equipos de cumplimiento deben conciliar la rapidez del onboarding con exigencias regulatorias estrictas. Cada fallo en la identificación de un cliente puede exponer a la entidad a consecuencias legales significativas.

Por qué las defensas actuales pueden verse superadas

Los procesos KYC siguen basándose en gran medida en dos tipos de controles.

El primero es humano: un operador revisa rápidamente un documento en pantalla. Pero los deepfakes están precisamente diseñados para engañar al ojo humano.

El segundo es automatizado: estos sistemas verifican la calidad de la imagen o la legibilidad del texto, pero por lo general no están preparados para detectar manipulaciones avanzadas, como un face-swapTécnica que consiste en sustituir el rostro de una persona por el de otra en una imagen o un vídeo, mediante un software de inteligencia artificial. o un documento generado íntegramente por IA.

Resultado: un documento visualmente creíble puede superar todas las etapas del control sin ser señalado.

Marco jurídico y de cumplimiento: lo esencial

Las consecuencias jurídicas de un documento falsificado siempre dependen de los hechos, del sector afectado, de la calificación aplicable y de la jurisdicción competente. En la práctica, la cuestión principal para una organización es poder demostrar un proceso de verificación proporcionado, trazable y documentado, con revisión humana cuando una decisión pueda producir un efecto significativo.

Los controles descritos aquí deben entenderse, por tanto, como medidas de gestión del riesgo, cumplimiento y conservación de la prueba. Cualquier bloqueo definitivo, reporte, sanción contractual o acción contenciosa debe seguir siendo validado por los equipos jurídicos o de cumplimiento competentes.

Lo que los equipos de cumplimiento ganan de forma concreta

• Detección más temprana de documentos con anomalías en los recorridos de onboarding
• Trazabilidad completa de los controles documentales realizados
• Elementos técnicos archivables para auditorías internas e investigaciones regulatorias
• Reducción de la exposición a los riesgos de fraude de identidad

Conclusión

Los deepfakes están convirtiendo el fraude documental en una amenaza más difícil de identificar solo con herramientas tradicionales. Las entidades financieras se enfrentan a contenidos falsos capaces de eludir controles que no fueron diseñados para este nivel de sofisticación.

Al mismo tiempo, las regulaciones europeas — NIS2, DORA, AI Act — refuerzan las obligaciones de ciberseguridad, trazabilidad y documentación de los sistemas utilizados en los procesos KYC.

DeepForgery se integra en estos procesos, mediante API o en modo on-premise, para aportar una capa adicional de análisis sobre documentos críticos — y proporcionar a los equipos de cumplimiento los elementos técnicos que necesitan para documentar sus controles y justificar sus decisiones.