Eduardo Azanza, CEO de Veridas.
El fraude digital se dispara con la inteligencia artificial: suplantar una identidad sólo lleva 33 segundos
Eduardo Azanza, CEO de Veridas, alerta de que "el 42% de los jóvenes cree que hacer fraude en internet no es delito" al mismo tiempo que celebra los avances europeos para crear una cartera digital común en el Viejo Continente.
Más información: Más del 95% de los incidentes de ciberseguridad tienen origen en el error de los usuarios
Eduardo Azanza fundó Veridas convencido de que Internet tenía un defecto de fábrica, pero pocos podrían predecir que, once años después, la inteligencia artificial convertiría ese principio cuasi laguna de diseño en una potencial crisis sistémica.
"Internet nació sin capa de identidad. Operamos en un mundo donde de las 24 horas del día estamos unas 16 en el mundo digital. La línea entre la vida física y la vida digital ya no existe y el problema es que en ese mundo digital la confianza no estaba garantizada desde el principio", detalla en entrevista con DISRUPTORES - EL ESPAÑOL.
Se sientan así las bases ideales o el caldo de cultivo perfecto para el fraude online. Si no podemos confiar en la autenticidad de la persona que está al otro lado de una interacción u operación en internet, no era nada difícil predecir que los ciberdelincuentes encontrarían aquí un importante caladero de oportunidades.
El Banco de España publicó el año pasado que el fraude online creció un 27% en 2024. Pero ese porcentaje es ínfimo ante lo que Eduardo Azanza percibe en el mercado: "Esos datos hablan de fraude consumado, pero si miras los intentos de fraude -no lo que cuela, sino lo que se intenta- estamos hablando de porcentajes del 200%, del 300%. Son dos cifras muy distintas y hay que saber leerlas".
La brecha entre intento y éxito es, precisamente, donde Veridas y sus competidores operan. Pero lo que preocupa a Azanza no es solo la sofisticación técnica de los ataques, sino la normalización cultural del fraude digital. "Hay un dato que dio un compañero mío en una jornada en Madrid que me parece revelador: el 42% de los jóvenes de la generación Z creen que hacer fraude en Internet no es delito. En el mundo físico está clarísimo que si entras en un banco con una pistola y dices dame el dinero, eso es robar. Parece que hacer eso mismo en el mundo digital no es delito. Entonces tenemos una percepción del fraude y del delito diferente, una facilidad enorme de cometerlo de forma masiva, y al mismo tiempo la necesidad de tener una vida digital confiable. Ningún banco está pensando en volver a abrir cuentas corrientes solo de manera presencial. Eso ya no cabe".
La analogía que usa para explicar la dinámica del sector es la de los billetes. Cuando aparecieron las primeras impresoras a color, cualquiera podía fabricar dinero en casa. Cuarenta años después, seguimos confiando en un trozo de papel impreso. "Es realmente ridículo un trozo de papel que vale 50 euros. ¿Cómo seguimos confiando? Porque la industria ha puesto medidas de seguridad de forma continua, y subrayo lo de continua. Los falsificadores se van sofisticando, y si no hicieras nada, al cabo de los años no sabrías distinguir moneda falsa de la auténtica. Pues en identidad digital ocurre exactamente lo mismo."
La llegada de la IA y el reto de la identidad
Azanza lleva más de una década trabajando sobre esa grieta estructural desde Pamplona, con tecnología propia y clientes en 25 países, mayoritariamente bancos y operadores de telecomunicaciones. Pero lo que ha cambiado en los últimos tres años no tiene precedente en la historia de su sector: las mismas empresas que hasta ahora luchaban contra esas identidades falsas -Google, OpenAI, Amazon- han puesto en manos de cualquier ciudadano las herramientas más potentes y fáciles para fabricarlas.
"El gran cambio que se produce es que las mayores compañías del mundo han puesto unas herramientas superpoderosas para hacer el bien, pero también pueden ser utilizadas para hacer el mal. Yo tengo una aplicación en el móvil con la que me hice un vídeo moviendo la cabeza de una determinada manera y en 33 segundos, con coste cero, tenía a Nadal y Alcaraz haciendo exactamente lo mismo. Así de fácil", sintetiza el directivo.
Eso sí, el máximo ejecutivo de Veridas establece a renglón seguido una diferenciación que no podemos obviar: generar el fraude es fácil; introducirlo en un sistema es otra historia.
"Sólo hay dos esquemas de ataque reales. El ataque de presentación: tú tienes un vídeo de una persona y me lo enseñas en la pantalla a la cámara. Y el ataque de inyección, que es un ataque de ciberseguridad en el que alguien intenta hacerse pasar por un dispositivo móvil legítimo cuando lo que está intentando es un ordenador inyectando ese vídeo. Por lo tanto nosotros trabajamos en parar esos dos vectores. El mensaje en positivo es que no tenemos que volver a la época analógica porque hay herramientas para tener confianza en el mundo digital".
Eso no significa que el sistema sea impenetrable, y Eduardo Azanza no pretende que lo sea: "No me atrevería a decir que somos absolutamente seguros, porque entonces no habría más de 5.000 empresas que se dedican a la ciberseguridad en este mundo. Es una carrera permanente. Pero tenemos un orden de certeza suficientemente bueno para dar confianza digital equiparable a la física. Y ojo: en los bancos también hay fraude físico. Nosotros hemos detectado fraude físico abundante, pasaportes falsos, identidades múltiples. Eso existe y ha existido siempre".
Lo que ha cambiado es la escala. Y la capa sobre la capa: "Ya no vale solo con validar tu documento y tu cara y que estás vivo. Hay que validar también el dispositivo, el canal de comunicación. Hay centenares de métricas, telemetría que ocurre de manera transparente para el usuario, que son absolutamente anónimas pero que ayudan a saber si estamos ante un proceso legítimo o no. Son capas de cebolla continuas."
El mito del robo de cara
El argumento más extendido contra la biometría tiene una lógica aplastante en apariencia: si me roban la contraseña, la cambio; pero si me roban la cara, no tenemos recambio.
Empero, Eduardo Azanza lleva años desmontándolo: "Cuando nosotros cogemos una cara y la convertimos en un vector biométrico para poder compararla, generamos lo que se llama una referencia biométrica renovable. Es irreversible, es múltiple -podría generar millones de referencias de una misma cara-, no es compatible con otros sistemas y es revocable. Eso no lo digo yo, lo dice la norma ISO, lo dice el sector. Cuando nosotros cogemos una cara y la tratamos geométricamente, casi mejor sería decir que es un proceso de anonimización de la cara, porque yo con ese vector no puedo hacer nada. Pero con tu foto de Facebook sí puedo hacer un deepfake".
Eduardo Azanza, CEO de Veridas, en el ‘Identity & Business Day’.
El problema, dice, es que la sociedad está protegiendo la valla en lugar de la casa. "Si tú dejas tu cara en internet, te pueden hacer un fraude. Si lo que dejas en internet es tu vector biométrico, no vale para nada. Si alguien roba una base de datos de vectores nuestros, tiene algo completamente inútil: irreversible, no interoperable, solo válido para ese sistema. No hay robos de vectores con impacto real".
Cuando se le señala la existencia de los ataques de replay -usar directamente la representación matemática robada para suplantar la autenticación sin reconstruir la imagen original-, el CEO de Veridas no esquiva la pregunta pero la pone en perspectiva de coste: "Técnicamente no voy a decir que es 0% inviable, pero es que el coste de hacer eso es infinitamente mayor que coger tu cara y crear un deepfake en 30 segundos. Los criminales son racionales y van donde la relación esfuerzo-beneficio les favorece".
Triángulo mágico de la identidad digital
Hay un concepto que Azanza llama "el triángulo mágico de la identidad digital": experiencia de usuario, fraude y coste. Los tres vértices se tensan entre sí y ningún sistema resuelve los tres de forma perfecta. A la sazón, más seguridad implica más fricción; menos fricción abre puertas al fraude; menos coste suele significar menos capas de protección.
"Hay cosas que se pueden hacer de forma transparente para el usuario: la telemetría del dispositivo, los parámetros del canal, centenares de métricas que evaluamos en segundo plano sin que el usuario haga nada. Eso no introduce fricción. Luego hay medidas que sí la introducen, como leer el chip NFC del DNI, que da un nivel de seguridad muy alto pero requiere que esperes unos segundos. Ahí tienes que decidir qué nivel de riesgo justifica qué nivel de fricción", detalla el ejecutivo.
Y tira de ejemplo para explicar su proposición: "Antes, los pensionistas en México tenían que ir físicamente al banco cada mes para demostrar que estaban vivos y seguir cobrando la pensión. Ahora reciben una llamada automática a la que pueden contestar en cualquier idioma, decir lo que quieran y el sistema va a detectar que es la persona y que está viva. El fraude ha bajado muchísimo, el coste también, y la experiencia de usuario es infinitamente mejor. Eso es triangular el triángulo".
De carteras digitales va la cosa
La conversación termina donde la política y la tecnología se encuentran: el modelo europeo de identidad digital, la cartera digital que entrará en vigor en noviembre de 2027 y que dará a todos los ciudadanos europeos el derecho -no la obligación- de tener un mecanismo de acreditación digital soberano.
Eduardo Azanza confía en el éxito de este programa y sienta las diferencias clave entre la propuesta europea y sus equivalentes en Estados Unidos y China: "El modelo chino es de control absoluto estatal. No lo critico, funciona la tecnología, es espectacular. Y luego está el modelo de los monopolios norteamericanos: usa Google, usa LinkedIn, usa Facebook. Es muy cómodo, yo a veces lo uso, pero es todavía más parcela para esos grandes oligopolios. El modelo europeo es un modelo de libertades. Dentro de la complejidad que tiene el mundo, si tenemos que elegir entre control gubernamental absoluto o monopolio de compañías privadas, el modelo que está proponiendo Europa es el más interesante".
La comparación que hace para dimensionar el reto no es menor, puesto que la complejidad y las críticas que arrastra esta iniciativa son de enorme calado: "También nos pusimos de acuerdo en el euro, que era igual de complicado. Creo que es un modelo que se va a imponer a nivel global. Porque cuando ves cómo funciona el wallet en la práctica, dices: yo quiero esto. Entras en una web, te llega una notificación, haces el Face ID, entras directamente, y aquí te queda registrado qué has compartido, con quién y cuándo. Puedo revocarlo. Si voy a demostrar que soy mayor de edad en una web, solo comparto ese atributo. No mi fecha de nacimiento, no mi dirección, nada más".
En última instancia, se trata de confianza digital sin renunciar a nuestras libertades individuales ni ceder más información a los colosos tecnológicos. Pero el camino, concluye Azanza, no ha sido, no es y no será sencillo: "Nosotros trabajamos para que reguladores y tecnólogos vayan mano a mano haciendo que esto avance. El mundo digital es fantástico, es precioso, y ninguno renunciamos a él. Al mismo tiempo, tiene facetas malas, oscuras, complicadas. Pero es la realidad que tenemos que vivir".
