Uno de cada 100: los deepfakes quiebran la verificación de identidad

El 14 de julio de 2026, LexisNexis Risk Solutions publicó un hallazgo que debería reconfigurar el debate de la industria sobre el fraude con deepfakes: uno de cada 100 controles de identidad fallidos involucra ahora un documento, imagen o vídeo de verificación de vida (liveness) generado artificialmente.

Esa estadística es alarmante por sí sola. Se vuelve catastrófica cuando se añade el denominador.

Juniper Research estima que en 2026 se realizarán 100.400 millones de verificaciones de identidad en todo el mundo, un 16 por ciento más que en 2025. Si asumimos una tasa de rechazo del 2 por ciento, la industria absorbe aproximadamente 2.000 millones de controles fallidos al año. El uno por ciento de esos fallos involucran deepfakes. A esa escala, decenas de millones de intentos de fraude asistidos por deepfakes emergen anualmente solo a través de la capa de detección. Y el volumen crece a un ritmo del 180 por ciento interanual.

Esto ya no es un problema de KYC. Es un problema de infraestructura.

Qué significa realmente "1 de cada 100" a escala

Las estadísticas generan mejores titulares que cálculos útiles para la sala de dirección. Hagamos los números correctamente.

100.400 millones de verificaciones al año equivalen a aproximadamente 275 millones de controles al día, o 3.200 controles por segundo a nivel global. La mayoría de esos controles se aprueban. Pero todo sistema que aplique controles antifraude reales rechazará una proporción de intentos. El universo total de controles fallidos es enorme.

Si el 1 por ciento de los 100.000 millones de controles anuales falla, son 1.000 millones de verificaciones rechazadas. El uno por ciento de esas implica deepfakes: 10 millones de intentos de fraude deepfake captados solo en la capa de detección, antes de contabilizar los que no se detectan.

El incremento del 180 por ciento interanual en ataques deepfake que registra LexisNexis no refleja un crecimiento lineal de una amenaza conocida. Refleja la expansión comercial del fraude de identidad mediante IA, con kits de ataque disponibles desde 60 dólares al mes que se despliegan contra múltiples plataformas sin conocimientos técnicos.

Las tres fuerzas que convierten el problema en estructural

La industria ha gestionado antes aceleraciones del fraude. Lo que hace al problema del deepfake en 2026 estructuralmente diferente es la convergencia simultánea de tres fuerzas.

Accesibilidad. Hasta 2024, crear un deepfake convincente requería habilidades técnicas significativas, potencia de cómputo y tiempo. La democratización de las herramientas de IA generativa ha cambiado esto radicalmente. Un deepfake de documento convincente puede crearse en minutos por un operador sin formación técnica. El Identity Fraud Index de Shufti proyecta un crecimiento del 3.892 por ciento en deepfakes de documentos solo en 2026, un aumento 40 veces superior al de 2025, impulsado por la accesibilidad, no por tecnología nueva.

Distribución. La estructura del mercado del fraude de identidad asistido por IA ha pasado de ataques a medida por actores especializados a operaciones de fraude como servicio empaquetado. Como analizamos en profundidad en nuestro estudio sobre las operaciones de bypass KYC como servicio, estos servicios se mantienen activamente, están preconfigurados para plataformas de verificación específicas y tienen precios diseñados para despliegue masivo.

Diversificación de vectores. La superficie de ataque ya no se limita a la detección de vida facial. Los ataques de inyección sobre la detección de vivacidad representan ahora el vector dominante, eludiendo la detección a nivel de sensor al inyectar vídeo sintético directamente en las tuberías de las aplicaciones. Los deepfakes de documentos crecen más rápido que los biométricos. Y la biometría genuina robada permite ataques de suplantación que ningún algoritmo de liveness puede detectar.

La convergencia de herramientas accesibles, distribución comercial y diversificación de vectores significa que abordar una sola capa del problema no resuelve el sistema.

La predicción de Gartner ha llegado

En febrero de 2024, Gartner publicó una predicción: para 2026, el 30 por ciento de las empresas dejarían de considerar fiables de forma aislada las soluciones de verificación de identidad debido a los deepfakes generados por IA.

Estamos en agosto de 2026. Los datos de LexisNexis confirman que la predicción no es teórica: es operativa. Uno de cada 100 controles fallidos implica un deepfake. Los deepfakes generan 1 de cada 5 intentos de fraude biométrico a nivel mundial. Más de la mitad de las organizaciones no puede verificar completamente que sus datos biométricos se capturaron en vivo.

Lo que Gartner señalaba en 2024 no era que la verificación biométrica debía abandonarse. Era que no podía ser la única señal. Una sola verificación biométrica en el onboarding, por sofisticada que sea, no puede mantener la garantía de identidad a lo largo de una relación cuyo perfil de riesgo puede cambiar y cuyas credenciales pueden verse comprometidas.

Esta es la brecha arquitectónica que aborda el KYC perpetuo y la monitorización continua, la brecha que Gartner anticipó dos años antes de que llegaran los datos que la confirman.

Por qué "mejores biométricos" no es la respuesta

El instinto cuando el fraude se acelera es mejorar el control: mejor detección de vida, reconocimiento facial más sofisticado, biometría conductual añadida sobre el reconocimiento facial.

Estas mejoras importan. El enfoque de verificación biométrica multicapa al que pivotaron Regula y AU10TIX en julio de 2026 es una evolución necesaria. Pero la biometría multicapa en la puerta de entrada del onboarding sigue siendo un control puntual en el tiempo. Es un control más defensible, pero responde a la misma pregunta: "¿Quién es esta persona en este momento?"

A 100.000 millones de controles anuales y un crecimiento del 180 por ciento en ataques deepfake, el problema no reside únicamente en la calidad del control puntual. Reside en lo que ocurre en el intervalo entre ese control y todo lo que sucede después.

Un cliente que supera una verificación biométrica de cinco capas en el onboarding en enero puede tener sus credenciales comprometidas en abril. Su huella de dispositivo cambia. Su velocidad de transacción aumenta. Su geolocalización de acceso varía. Ninguna de estas señales activa una re-verificación bajo el modelo puntual. Bajo un modelo de inteligencia continua, cada anomalía es una señal, y la respuesta es calibrada.

El Grupo Wolfsberg, cuyas directrices de banca corresponsal determinan cómo las grandes instituciones financieras evalúan el riesgo de contraparte, ha comenzado a actualizar su orientación para reflejar los fallos en la garantía de identidad como fuente de presión sistémica de des-riesgo. La preocupación no es que las instituciones individuales estén fallando sus controles KYC, sino que la tasa de fallo agregada en todo el ecosistema de verificación crea un déficit de confianza que afecta a las relaciones de banca corresponsal a nivel macro.

La arquitectura que escala

La revisión manual no puede escalar a la amenaza. Un revisor humano trabajando eficientemente puede evaluar unas 40 casos de verificación de identidad por hora. Ante incluso 100 millones de intentos deepfake al año, abordar la amenaza mediante revisión manual requeriría aproximadamente 68.000 revisores a tiempo completo trabajando solo en casos deepfake, sin contar otros vectores de fraude.

Este no es un problema de personal con solución de contratación. Es un problema de arquitectura con solución de arquitectura.

Los agentes de IA de Joinble operan de forma continua a lo largo del ciclo de vida del cliente, evaluando señales conductuales que emergen después de un onboarding limpio: cambios en la huella de dispositivo, variaciones en la velocidad de transacciones, anomalías geográficas, divergencias en el comportamiento de sesión y correlación de señales de riesgo entre sistemas. El agente no espera un ciclo de revisión periódico: monitoriza en tiempo real y actúa en tiempo real.

A la escala de 100.000 millones de controles anuales y un 180 por ciento de crecimiento anual en ataques deepfake, el modelo operativo que falla es el construido en torno a revisores humanos y re-verificaciones periódicas. El modelo que escala es aquel donde los agentes autónomos gestionan la monitorización continua y los humanos gestionan las excepciones.

Qué deben hacer ahora los equipos de cumplimiento

Los datos de LexisNexis no advierten de un problema futuro. Miden uno presente. Los equipos de cumplimiento que siguen dependiendo de un único control biométrico en el onboarding, sin capa de monitorización continua, ya están por detrás de la curva de amenaza.

Las acciones prioritarias:

Auditar la arquitectura de controles. ¿Cuántas señales independientes evalúa el proceso de verificación en el onboarding? Si la respuesta es una (selfie contra documento) o dos (selfie más liveness), la superficie de ataque es demasiado estrecha.

Implementar monitorización conductual continua. El onboarding es el inicio de una relación, no el fin de la evaluación de riesgo. La arquitectura de verificación debe incluir señales conductuales que persistan a lo largo del ciclo de vida del cliente.

Cuantificar la exposición a deepfakes. ¿Cuántos fallos de verificación registró la plataforma en los últimos 12 meses? ¿Qué porcentaje implicó anomalías en documentos, rechazo biométrico o fallo de liveness?

Evaluar la capacidad de detección de ataques de inyección. Preguntar específicamente sobre detección de ataques de inyección, no solo de liveness. Los ataques de inyección de cámara eluden los algoritmos de liveness al alimentar datos sintéticos a nivel de pipeline.

El dato de 1 de cada 100 de LexisNexis es una medición de referencia de mediados de 2026. Dado el crecimiento del 180 por ciento anual, el dato a mediados de 2027 será materialmente mayor. La pregunta para los equipos de cumplimiento no es si el problema empeorará —lo hará— sino si la arquitectura de verificación actual fue diseñada para ese volumen.

---

Preguntas frecuentes

¿Qué encontró el informe de LexisNexis de julio de 2026? LexisNexis Risk Solutions informó de que uno de cada 100 controles de verificación de identidad fallidos involucra ahora un documento deepfake, imagen o vídeo de liveness. La compañía también registró un aumento interanual del 180 por ciento en ataques deepfake. El informe se publicó el 14 de julio de 2026.

¿Por qué "1 de cada 100" es un problema sistémico y no una tasa de fraude manejable? Porque el denominador son 100.000 millones. A esa escala, incluso una pequeña tasa de fallos que impliquen deepfakes se traduce en decenas de millones de intentos de fraude anuales. El volumen absoluto, no el porcentaje, es lo que somete la infraestructura de verificación a presión y hace que la revisión humana sea económicamente inviable.

¿Qué diferencia hay entre el fraude deepfake y el fraude documental tradicional? El fraude documental tradicional implica materiales físicamente alterados o falsificados. Los ataques deepfake utilizan IA generativa para producir imágenes, vídeos o documentos sintéticos que superan los sistemas de verificación automatizados. En 2026, la superficie de ataque se ha ampliado con los ataques de inyección, que alimentan vídeo sintético directamente en las API de verificación eludiendo los sensores de cámara.

¿Por qué la verificación biométrica aislada ya no es suficiente? Porque responde a una pregunta puntual: "¿Es esta persona quien dice ser en este momento?" No puede abordar el compromiso de credenciales posterior al onboarding, las anomalías conductuales que emergen con el tiempo ni los ataques de inyección que eluden la capa biométrica. La predicción de Gartner de 2024 se confirma ahora con los datos operativos de fraude.

¿Cuál es el papel de los agentes de IA ante el fraude deepfake a esta escala? Los agentes de IA proporcionan monitorización continua a lo largo de todo el ciclo de vida del cliente, identificando anomalías conductuales que emergen tras el onboarding y actuando en tiempo real antes de que intervengan los revisores humanos. A la escala de decenas de millones de intentos deepfake anuales, la revisión exclusivamente humana no puede mantener el ritmo.

¿Qué deben hacer primero los equipos de cumplimiento? Auditar cuántas señales independientes evalúa el proceso de verificación actual. Añadir monitorización conductual que persista después del onboarding, evaluar las capacidades de detección de ataques de inyección del proveedor y establecer una métrica base sobre qué proporción de los fallos de verificación actuales implican contenido sintético.

¿Cuándo se aplican las nuevas normas técnicas de diligencia debida de AMLA? AMLA presentó los Proyectos de Normas Técnicas Reglamentarias sobre Diligencia Debida del Cliente a la Comisión Europea en julio de 2026. Estas normas se aplicarán directamente en los 27 estados miembros de la UE a partir del 10 de julio de 2027.