Verificación facial y prueba de vida: así funciona el selfie

La verificación facial con prueba de vida es el control que compara un selfie tomado en directo con la foto de su documento de identidad para confirmar que usted es la persona a la que pertenece el documento. La prueba de vida (liveness detection o detección de vida) es el paso que da sentido a este control: comprueba que el selfie procede de una persona real, presente delante de la cámara, y no de una foto impresa, una grabación reproducida en una pantalla, una máscara o un deepfake. Juntas, son lo que la mayoría de la gente entiende por «verificación con selfie» o «verificación biométrica» al abrir una cuenta en un exchange de criptomonedas, un banco o una aplicación fintech.

Esta guía explica cómo funcionan estos controles, la diferencia entre la prueba de vida activa y la pasiva, cómo se evalúa a los proveedores según la norma ISO/IEC 30107-3, por qué los deepfakes y los ataques de inyección son hoy el principal campo de batalla, qué dice la normativa de protección de datos sobre la imagen de su rostro y qué hacer si el control falla una y otra vez.

Qué es la verificación facial y qué no es

La verificación facial es una comparación uno a uno: ¿este rostro es la misma persona que la de esta foto de identidad? Se distingue de la identificación facial, que es una búsqueda uno a muchos de un rostro en una base de datos para averiguar quién es alguien. La distinción importa tanto en lo jurídico como en lo técnico. El Reglamento europeo de Inteligencia Artificial (AI Act) clasifica los sistemas de identificación biométrica remota como de alto riesgo en su anexo III, pero excluye la verificación biométrica cuyo único fin es confirmar que una persona concreta es quien dice ser.

En el uso cotidiano, los términos se solapan:

• La verificación biométrica es el término general para confirmar la identidad mediante un rasgo físico o de comportamiento. En el alta en línea, casi siempre se trata del rostro.
• La verificación con selfie describe la experiencia del usuario: usted se hace un selfie o graba un vídeo corto en la aplicación.
• La comparación facial (face matching) es el algoritmo de comparación que genera una puntuación de similitud entre el selfie y la foto del documento.
• La prueba de vida, conocida en las normas como detección de ataques de presentación (PAD), comprueba que el rostro delante de la cámara es real y está presente.

Cómo funciona una verificación con selfie

El flujo exacto depende del proveedor, pero un control en línea típico sigue este orden:

1. Captura del documento. Usted fotografía su pasaporte, documento de identidad o permiso de conducir. El software lee los datos, comprueba los elementos de seguridad y extrae el retrato.
2. Captura del selfie o del vídeo. La aplicación abre la cámara frontal y le guía para encuadrar el rostro, a veces con indicaciones.
3. Prueba de vida. El software analiza la captura en busca de indicios de suplantación, como la textura del papel, reflejos de pantalla, bordes de una máscara o artefactos sintéticos.
4. Comparación facial. Si la captura se considera viva, el rostro se compara con el retrato del documento y se obtiene una puntuación de similitud.
5. Decisión. Los aprobados claros se validan automáticamente. Los resultados dudosos pasan a un revisor humano y los fallos claros se rechazan o se devuelven para un nuevo intento.

La verificación facial es una capa del KYC, no su totalidad. El mismo proceso de alta suele incluir la comprobación del documento, el cribado de sanciones y PEP y, a veces, un comprobante de domicilio. Nuestro artículo sobre qué significa el KYC en cripto explica el proceso completo.

Prueba de vida activa frente a pasiva

Los controles de vida se presentan en dos grandes estilos, y muchos productos los combinan.

La prueba de vida activa le pide que haga algo: parpadear, sonreír, girar la cabeza, seguir un punto o leer números en voz alta. Las indicaciones suelen ser aleatorias para que un vídeo pregrabado no pueda anticiparlas. Añaden fricción y pueden resultar más difíciles para algunas personas con discapacidad o con teléfonos antiguos.

La prueba de vida pasiva funciona en segundo plano a partir de una sola imagen o un vídeo corto, sin que usted tenga que hacer nada especial. Analiza señales como la textura, la profundidad, la iluminación y los reflejos. Es más rápida, pero depende por completo de la calidad del modelo.

En la práctica, los proveedores superponen ambos enfoques y añaden detección de deepfakes. El servicio de verificación biométrica de iDenfy, por ejemplo, describe indicaciones activas, análisis pasivo de profundidad 3D y textura, y un módulo independiente de detección de deepfakes dentro del mismo flujo. Si está eligiendo proveedor, nuestra comparativa de proveedores de software KYC para cripto cubre el mercado en general.

Cómo se evalúa la prueba de vida: ISO/IEC 30107-3, iBeta y NIST

Como todos los proveedores afirman tener una gran precisión, los compradores buscan pruebas independientes. Hay tres referencias que aparecen una y otra vez.

ISO/IEC 30107-3. La norma internacional para evaluar la detección de ataques de presentación es la ISO/IEC 30107-3:2023, «Biometric presentation attack detection, Part 3: Testing and reporting». La segunda edición, vigente actualmente, se publicó en enero de 2023 y sustituyó a la versión de 2017. Establece principios y métodos para evaluar la PAD, cómo informar de los resultados y una clasificación de los tipos de ataque conocidos. Su alcance es importante: cubre los ataques en el dispositivo de captura durante la presentación, es decir, algo que se coloca delante de la cámara. Los demás ataques quedan fuera de su alcance.

Pruebas PAD de iBeta. iBeta es un laboratorio de pruebas independiente con acreditación NVLAP del NIST que incluye la ISO 30107-3 en su alcance. Sus niveles de prueba publicados se diferencian por el tiempo, los conocimientos y el dinero que se supone que tiene el atacante. El nivel 1 utiliza materiales comunes con un coste de hasta 30 $ por artefacto, y el nivel 2 utiliza artefactos más avanzados, como máscaras, con un coste de hasta 300 $. iBeta señala que sus cartas de confirmación acreditan la conformidad con la metodología de prueba de la ISO 30107-3 para una configuración de producto concreta; no son una certificación del producto. Cuando un proveedor diga «iBeta nivel 2», pida la carta y compruebe qué versión del producto y qué dispositivo cubre.

NIST FATE PAD. El National Institute of Standards and Technology de Estados Unidos evaluó algoritmos pasivos de PAD facial basados en software en el informe NIST IR 8491, publicado en septiembre de 2023. Probó 82 algoritmos de 45 desarrolladores y concluyó que la precisión variaba mucho según el algoritmo y el tipo de ataque. Los ataques con foto impresa y con reproducción, así como algunos tipos de máscara, fueron bien detectados por varios desarrolladores, mientras que otros tipos de ataque produjeron tasas de error elevadas en todas las implementaciones probadas. Muchos algoritmos obtuvieron mejores resultados con vídeo que con una sola imagen fija.

Deepfakes y ataques de inyección

Las notas sobre el alcance anteriores señalan la mayor brecha actual. Un ataque de presentación ocurre delante de la cámara. Un ataque de inyección se salta la cámara por completo: el atacante introduce un vídeo pregrabado o generado con IA directamente en el flujo de vídeo de la aplicación, por ejemplo mediante una cámara virtual, un emulador o una aplicación modificada. La ISO/IEC 30107-3 considera fuera de su alcance los ataques ajenos a la presentación ante el dispositivo de captura, y el informe del NIST indica que no aborda los ataques de inyección. Superar una prueba PAD no demuestra, por sí solo, que un producto resista los deepfakes inyectados.

Los reguladores lo han advertido. En la alerta FIN-2024-Alert004 del 13 de noviembre de 2024, la Financial Crimes Enforcement Network de Estados Unidos afirmó haber observado desde 2023 un aumento de los informes de actividad sospechosa que describían el uso de contenido deepfake en fraudes, a menudo para superar la verificación de identidad. Entre sus señales de alerta figuran:

• una foto del cliente que es incoherente en sí misma o no encaja con sus demás datos, como su fecha de nacimiento;
• el uso de un plugin de webcam de terceros durante un control de verificación en directo;
• «fallos técnicos» repetidos o peticiones de cambiar de canal de comunicación durante un control en directo;
• una foto o un vídeo marcados por un software de detección de deepfakes, o que coinciden con una galería en línea de rostros generados con IA;
• datos geográficos o del dispositivo que no coinciden con los documentos de identidad.

Defenderse de esto exige algo más que un mejor modelo facial: comprobaciones de integridad del dispositivo y de la cámara, detección de cámaras virtuales y emuladores, y contraste con otras señales, como los datos del documento y el historial del dispositivo. Los deepfakes son también una de las herramientas detrás del fraude de identidad sintética.

Privacidad: qué ocurre con los datos de su rostro

En la UE, los datos faciales utilizados para la verificación figuran entre los datos personales más protegidos. El RGPD define los datos biométricos en el artículo 4(14) como datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona, que permiten o confirman su identificación única, y cita las imágenes faciales como ejemplo. El artículo 9 prohíbe tratar datos biométricos para identificar de manera unívoca a una persona salvo que se aplique una excepción, como el consentimiento explícito o un interés público esencial basado en la ley.

Una plataforma debe informarle de quién trata su selfie (a menudo un proveedor de verificación que actúa en nombre del exchange), con qué base jurídica y durante cuánto tiempo. Por otro lado, la normativa AML obliga al exchange a conservar los registros de diligencia debida durante años después de que termine la relación, lo que puede incluir imágenes. Pregunte a la plataforma y lea nuestra guía sobre qué ocurre con sus datos KYC para conocer las reglas de conservación.

Por qué los exchanges de criptomonedas usan la verificación facial

Los exchanges de criptomonedas dan de alta a sus clientes a distancia, a menudo en muchos países, y las normas AML les obligan a identificar a esos clientes y verificar su identidad. Un selfie con prueba de vida es la forma más habitual de vincular a un solicitante remoto con su documento de identidad. También disuade de la toma de control de cuentas, de las mulas de dinero que venden sus cuentas verificadas y de los defraudadores que abren cuentas con identidades robadas o sintéticas.

La DeFi no custodial es diferente. Las aplicaciones de JewelSwap en MultiversX, Sui y Radix son no custodiales y no realizan por sí mismas controles de identidad; consulte el KYC en DeFi explicado.

Consejos si su verificación con selfie falla una y otra vez

• Ilumine su rostro de frente. Evite tener una ventana o una lámpara detrás y evite las sombras marcadas.
• Quítese gorro, gafas y mascarilla, salvo que aparezcan en la foto de su documento, y retire el pelo de la cara.
• Use directamente la cámara del dispositivo. Cierre las aplicaciones de cámara virtual, filtros o compartir pantalla; pueden activar la detección de ataques de inyección.
• Use una conexión estable. Una fuerte compresión de vídeo puede parecer una suplantación a los modelos pasivos.
• Revise la foto del documento. Si su aspecto ha cambiado mucho, o el documento está dañado o a punto de caducar, pida al soporte una revisión manual o usar otro documento.

No utilice nunca el rostro o el documento de otra persona, ni herramientas para burlar el control, ni siquiera para «ayudar»: eso es fraude. Encontrará más consejos prácticos en nuestros consejos de verificación de identidad para exchanges de criptomonedas.

Preguntas frecuentes

¿Cuál es la diferencia entre verificación facial y reconocimiento facial?

La verificación facial es un control uno a uno que confirma que un rostro captado en directo coincide con una foto de identidad concreta. El reconocimiento o identificación facial compara un rostro con muchos rostros almacenados para averiguar quién es alguien. El alta KYC utiliza la verificación.

¿Qué es la prueba de vida?

La prueba de vida (liveness detection), o detección de ataques de presentación, comprueba que un selfie procede de una persona real presente delante de la cámara y no de una foto, una grabación reproducida en pantalla, una máscara o un deepfake. Se ejecuta antes de la comparación facial o en paralelo.

¿Cuál es la diferencia entre la prueba de vida activa y la pasiva?

La prueba de vida activa le pide realizar acciones como parpadear o girar la cabeza. La pasiva analiza una sola imagen o un vídeo corto en segundo plano, sin ninguna acción especial. Muchos productos combinan ambas y añaden detección de deepfakes.

¿Qué significa ISO 30107-3 o iBeta nivel 2?

La ISO/IEC 30107-3 es la norma internacional para evaluar la detección de ataques de presentación. iBeta es un laboratorio acreditado que prueba productos conforme a ella; el nivel 2 supone un atacante más experto, con artefactos más caros que en el nivel 1. Una carta acredita la conformidad de una configuración de producto concreta, no una certificación general, y la propia norma no cubre los ataques de inyección.

¿Por qué falla una y otra vez mi verificación con selfie?

Las causas habituales son una iluminación escasa o a contraluz, gafas o gorro que no aparecen en la foto del documento, una cámara inestable, una conexión débil, aplicaciones de cámara virtual o filtros, y una foto del documento dañada o desactualizada. Si sigue fallando, pida al soporte una revisión manual.

¿Se guardan mis datos faciales después de la verificación?

A menudo, durante un tiempo. En la UE, los datos biométricos son una categoría especial de datos según el RGPD, y la normativa AML obliga a las plataformas a conservar los registros de diligencia debida durante años después de que termine la relación. La política de privacidad de la plataforma debe indicar quién los guarda, durante cuánto tiempo y con qué finalidad.

Siga leyendo

• ¿Qué es el KYC en cripto?
• Consejos de verificación de identidad para exchanges de criptomonedas
• El fraude de identidad sintética explicado
• Comprobante de domicilio para exchanges de criptomonedas
• Qué ocurre con sus datos KYC

Este artículo es educativo y no constituye asesoramiento jurídico ni financiero. Las referencias a normas, laboratorios de pruebas y regulación se comprobaron el 8 de octubre de 2026 con la ISO, iBeta, el NIST IR 8491, la alerta de FinCEN FIN-2024-Alert004, el RGPD y el Reglamento europeo de IA, enlazados en el texto. Los proveedores se mencionan a modo ilustrativo, no como recomendación.