Una videollamada parece mostrar al director financiero autorizando una transferencia. Su rostro coincide, la voz resulta familiar y responde en tiempo real. El problema es que ninguno de esos elementos garantiza por sí solo que la persona sea quien afirma ser: un atacante puede utilizar video sintético, clonación de voz o una señal manipulada para intentar superar controles técnicos y humanos.
El riesgo ya no se limita a detectar si una fotografía está pegada frente a una cámara. Los deepfakes pueden intervenir procesos de incorporación de usuarios, recuperación de cuentas, autenticación biométrica, contratación remota, aprobación de operaciones y otras actividades donde la identidad digital tiene consecuencias económicas o de seguridad. Gartner informó en una encuesta realizada en 2025 a 302 responsables de ciberseguridad que el 43% había registrado al menos un incidente con deepfake en llamadas de audio y el 37% en videollamadas. La muestra corresponde a líderes de ciberseguridad y no representa automáticamente la incidencia en todas las organizaciones, pero muestra que el problema ya forma parte de escenarios operativos reales. Encuesta y análisis de Gartner sobre ataques con deepfakes.
La biometría aislada ya no basta
En febrero de 2024, Gartner proyectó que para 2026 el 30% de las empresas dejaría de considerar confiables de manera aislada las soluciones de verificación y autenticación basadas en biometría facial debido a los ataques con deepfakes generados por inteligencia artificial. La palabra relevante es aislada: la recomendación no consiste en abandonar toda biometría facial, sino en evitar que una coincidencia de rostro se convierta en la única evidencia para conceder confianza. Predicción de Gartner sobre identidad, biometría y deepfakes.
La postura se volvió todavía más explícita en 2026. Gartner incluyó la suplantación de identidad mediante deepfakes entre sus amenazas críticas y señaló que no existe un único control de ciberseguridad capaz de resolver el problema. Su orientación es utilizar capas adaptadas al caso de uso: fortalecer procesos, mejorar la preparación de las personas, utilizar tecnologías de detección disponibles y proteger específicamente los procesos de autenticación y verificación biométrica. Gartner ThreatScape 2026-2027 y recomendaciones frente a deepfakes.
Dos vectores de ataque distintos
Para evaluar una solución de identidad digital conviene separar dos problemas. Un ataque de presentación intenta engañar al sensor mostrando algo frente a la cámara: una fotografía, reproducción de video, máscara u otro elemento. Un ataque de inyección puede evitar la captura física e introducir directamente video o imágenes manipuladas en el flujo que recibe el sistema.
Esta diferencia explica por qué comprobar únicamente que existen movimientos faciales o señales de vida puede resultar insuficiente. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha analizado ataques de presentación contra procesos de verificación remota, incluidos ataques mediante deepfake, y destaca la necesidad de combinar controles sobre el usuario, el documento, el dispositivo y el propio flujo de verificación. ENISA: ataques y contramedidas en verificación remota de identidad.
NIST incorporó esta evolución del riesgo en la revisión 4 de sus Digital Identity Guidelines. La versión final publicada en 2025 amplía los requisitos de mitigación del fraude e incorpora controles destinados a ataques de inyección y medios falsificados, incluidos deepfakes. El enfoque se integra dentro del proceso completo de prueba de identidad y no como una función independiente colocada al final del flujo. NIST SP 800-63A-4: amenazas y controles de identidad.
Controles que deben combinarse
Una arquitectura para procesos de identidad crítica debería seleccionar controles según el impacto de una suplantación. No necesita aplicar la máxima fricción a todas las operaciones, pero sí evitar que una única señal determine decisiones sensibles.
La última capa es especialmente relevante porque el deepfake puede atacar a una persona incluso cuando no intenta vulnerar directamente un sistema biométrico. Una voz clonada puede solicitar un pago, una videollamada manipulada puede aparentar autoridad o un falso candidato puede intervenir en un proceso de contratación. En estos casos, mejorar únicamente el detector de imágenes deja intacta la vulnerabilidad del procedimiento.
Cómo evaluar una solución
Una organización que contrata tecnología de verificación remota debería pedir evidencia técnica sobre los ataques que realmente se prueban. La afirmación comercial “detecta deepfakes” es demasiado amplia si no explica qué ocurre cuando el contenido se presenta frente a la cámara, cuando se utiliza una cámara virtual o cuando se inyecta directamente una señal manipulada.
También conviene revisar cómo se valida el documento de identidad, qué fuentes se consultan, cuándo interviene una revisión humana, cómo se gestionan falsos positivos y falsos negativos y qué sucede cuando el riesgo supera un umbral definido. La solución debería permitir que una operación de mayor impacto active controles adicionales en lugar de tratar todos los accesos como equivalentes.
Las certificaciones independientes pueden aportar evidencia adicional durante una evaluación de proveedores. FIDO Alliance, por ejemplo, dispone de un programa de certificación para tecnologías de verificación facial que contempla pruebas relacionadas con deepfakes, liveness, correspondencia biométrica e ataques de inyección. Una certificación no elimina todos los riesgos ni sustituye la evaluación del caso de uso, pero permite comprobar que determinadas capacidades fueron sometidas a una metodología de prueba definida. Programa de certificación de verificación facial de FIDO Alliance.
Credenciales: otra capa de confianza
En una institución educativa o empresa de capacitación existen varios momentos de confianza que no deben confundirse. Primero puede ser necesario comprobar quién realiza una evaluación. Después se determina si esa persona cumple las condiciones académicas o de competencia. Finalmente se emite una credencial y, tiempo después, un tercero puede necesitar comprobar si ese documento es auténtico.
La mitigación de deepfakes se concentra principalmente en las primeras etapas cuando existe identificación remota, autenticación biométrica o interacción en tiempo real. La verificación pública de una credencial resuelve otro problema: permite comprobar posteriormente que el certificado consultado corresponde a un registro válido y no a un documento modificado o creado sin respaldo del emisor.
El Instituto Internacional de Ingeniería (3i) trabaja con organizaciones e instructores que ya forman participantes y permite validar certificados propios mediante QR, enlace o código de consulta. Esa función aporta trazabilidad a la credencial, pero no debe confundirse con una tecnología de detección de deepfakes ni con un sistema biométrico de prueba de identidad. En un proceso de mayor riesgo, ambas capas pueden formar parte de una arquitectura más amplia y cumplir funciones diferentes. Modalidades de validación de certificados del Instituto Internacional de Ingeniería (3i).
Conclusión
La defensa frente al fraude por deepfake debe diseñarse como un sistema de confianza y no como la compra de un detector aislado. Biometría, protección contra inyección, validación documental, señales contextuales, autenticación reforzada y controles de proceso responden a riesgos diferentes. Para las organizaciones que además emiten credenciales, mantener una vía pública de verificación añade trazabilidad después de la emisión y evita depender únicamente de la apariencia visual de un certificado.
Añade verificación pública a tus certificados
Si tu organización ya capacita y emite certificados, puedes evaluar la conversión de esas credenciales en registros verificables mediante QR, enlace o código de consulta pública.
Fuentes consultadas
Gartner. Why CIOs Can’t Ignore the Rising Tide of Deepfake Attacks. 2025.
Gartner. Gartner Identifies Four Critical Threats Requiring Urgent Improvements from Cybersecurity Leaders. 2026.
National Institute of Standards and Technology (NIST). NIST SP 800-63A-4: Digital Identity Guidelines — Identity Proofing and Enrollment, Security Considerations. 2025.
European Union Agency for Cybersecurity (ENISA). Remote Identity Proofing — Attacks & Countermeasures. 2022.
FIDO Alliance. Face Verification Certification Program. Consultado en 2026.
Instituto Internacional de Ingeniería (3i). Programa para validación y gestión de certificados verificables. Consultado en 2026.
