Autenticación de operaciones de alto riesgo: Protegiendo transacciones críticas

La autenticación es el proceso mediante el cual se comprueba que una persona es la titular de una identidad digital previamente verificada y registrada, utilizando uno o varios factores de autenticación. En la práctica, muchos métodos de autenticación se basan en verificar que el usuario conoce algo (como una contraseña o un PIN) o posee algo (como un teléfono móvil o un token). Sin embargo, estos factores pueden verse comprometidos: las credenciales pueden ser robadas o los dispositivos pueden perderse, ser clonados, por ejemplo.

La autenticación mediante la lectura NFC del chip criptográfico de documentos oficiales de identidad, combinada con comprobaciones biométricas de prueba de vida aporta un mayor nivel de confianza al verificar que la persona que está detrás de la pantalla es realmente el titular legítimo de la identidad, y no solo alguien que dispone de un dispositivo o conoce unas credenciales.

La brecha crítica entre la autenticación del dispositivo y la identidad del usuario

La mayoría de los mecanismos de autenticación actuales se basan en dos modelos de confianza:

• Demostrar el conocimiento de un secreto: como es el caso de las contraseñas o los códigos de un solo uso (OTP).
• Demostrar el control de un autenticador de confianza: como sucede con las passkeys, que utilizan claves criptográficas protegidas por el dispositivo.

Aunque las passkeys representan un avance significativo frente a los OTP en términos de seguridad y resistencia al phishing, ambos enfoques persiguen el mismo objetivo: confirmar que el usuario controla una credencial previamente registrada.

Para el acceso cotidiano a servicios digitales, cualquiera de estos modelos suele ser suficiente. Sin embargo, en las operaciones de alto riesgo de tus clientes, como la recuperación de una cuenta, el aumento del límite de crédito o la modificación de datos sensibles, controlar una credencial no siempre equivale a ser el titular legítimo de la identidad. Un código OTP puede verse comprometido mediante ataques como el SIM swapping o el phishing y, aunque las passkeys reducen significativamente estos riesgos, tampoco vuelven a verificar la identidad de la persona frente a una fuente de identidad de alta confianza. En ambos casos, el sistema asume que quien controla la credencial es la persona autorizada.

Las passkeys plantean además un reto operativo. Su funcionamiento depende de que el usuario conserve el acceso a un autenticador previamente registrado, normalmente un teléfono móvil. Si este se pierde, se sustituye por otro o por cualquier razón deja de estar disponible, la empresa debe ofrecer al cliente un mecanismo para recuperar el acceso a su cuenta. Cuando este proceso se basa únicamente en métodos tradicionales, como un código OTP enviado por SMS o preguntas de seguridad, la seguridad se desmorona de inmediato. De hecho, esta vulnerabilidad en la recuperación de credenciales es una de las principales vías de entrada para el robo de cuentas o Account Takeover (ATO), convirtiéndose en el objetivo prioritario de los ciberdelincuentes.

¿Cómo pueden las empresas asegurar las transacciones críticas de sus clientes?

La autenticación basada en la identidad responde precisamente a este reto. En las operaciones de alto riesgo, las empresas, ya sean entidades financieras, aseguradoras, fintech, etc. necesitan un método que combine un alto nivel de seguridad con una experiencia de usuario rápida y sencilla. Para ello, la combinación de la verificación criptográfica del chip NFC de un documento oficial de identidad con una comprobación biométrica de prueba de vida proporciona uno de los niveles de garantía más altos disponibles actualmente y dificulta enormemente los intentos de suplantación de identidad. El proceso vuelve a vincular a la persona con su identidad previamente verificada, reduciendo significativamente el riesgo de fraude durante la fase de transacción.

Desde el punto de vista del usuario, el proceso es notablemente sencillo. Al iniciar una operación de alto riesgo, se solicita al cliente que acerque su documento de identidad electrónico (como un DNI electrónico o pasaporte electrónico) a su smartphone. El teléfono utiliza Near Field Communication (NFC) para leer y verificar criptográficamente los datos cifrados almacenados en el chip del documento. A continuación, el usuario completa una rápida comprobación de prueba de vida biométrica, normalmente un escaneo facial.

Cumplimiento normativo bajo los requisitos de AMLR y ETSI 119 461 v.2.1.1

La adopción de la tecnología NFC y la biometría no solo resuelve las vulnerabilidades de seguridad en las transacciones críticas, sino que se adelanta a las exigencias legales más estrictas de Europa. En concreto, este modelo de verificación de identidad será la pieza central de los procesos de onboarding regulados. El nuevo Reglamento contra el Blanqueo de Capitales (AMLR), que entrará en vigor el 10 de julio de 2027, prioriza el uso de medios de identificación electrónica conformes con eIDAS para la identificación de clientes, entre ellos la firma electrónica cualificada (QES).

Al mismo tiempo, eIDAS 2.0 ha armonizado a nivel europeo los requisitos para la emisión de certificados cualificados, remitiendo al estándar ETSI TS 119 461 V2.1.1. Este estándar establece que la única forma de emitir certificados cualificados de manera totalmente automatizada y remota, sin intervención humana, es mediante la lectura NFC del chip criptográfico de un documento oficial de identidad combinada con comprobaciones biométricas de prueba de vida. Esto convierte a esta tecnología no solo en un mecanismo de autenticación de alta confianza para transacciones críticas, sino también en la base para el onboarding regulado del futuro.

Confianza y pruebas: El impacto de la autenticación con garantía de identidad

La autenticación con garantía de identidad refuerza la confianza al impedir que un atacante pueda hacerse pasar por un usuario legítimo utilizando únicamente credenciales o un dispositivo comprometido. El uso de NFC para verificar criptográficamente el chip de los documentos de identidad ha dado como resultado cero casos de fraude documentados para las empresas que ya utilizan este modelo de autenticación. De hecho, una buena prueba de ello es que los clientes que confían en la tecnología de verificación ReadID de Signicat no han reportado ningún caso de falsos positivos hasta la fecha.

Al aplicar esta tecnología, las empresas no solo protegen sus operaciones, sino que también ofrecen una experiencia fluida y tranquilizadora para los clientes que esperan la máxima seguridad para sus ahorros. 

Protegiendo el futuro de las operaciones críticas

Proteger las transacciones más sensibles de tus clientes requiere mucho más que contraseñas tradicionales o códigos SMS. Al dar el paso hacia la autenticación con garantía de identidad mediante NFC, las organizaciones pueden combatir el robo de cuentas en remoto, cumplir con estrictos requisitos normativos como AMLR y ofrecer una experiencia de usuario altamente segura.
¿Tu empresa necesita asegurar las operaciones críticas de sus clientes? Contacta con nuestros expertos en identidad digital en Signicat para estudiar cómo podemos ayudarte a implementar esta tecnología.