En febrero de 2026, el responsable de OnlyFake se declaró culpable en Estados Unidos por su implicación en un servicio que produjo más de 10 000 documentos de identidad digitales fraudulentos. Los clientes podían generar pasaportes, licencias de conducir, tarjetas de la Seguridad Social y documentos de decenas de países, y escoger si cada uno se presentaba como un escaneo o como una fotografía de un documento físico.
De acuerdo con el Departamento de Justicia de Estados Unidos, esos documentos permitían a los ciberdelincuentes ocultar su identidad, sortear los controles de identidad en bancos y exchanges de criptomonedas y blanquear dinero.
La actividad va más allá de los documentos fabricados. En las comunidades clandestinas que monitoriza la plataforma de Flare, los actores anuncian fotografías y vídeos manipulados, ayuda para verificaciones de identidad en vivo y cuentas que, según ellos, ya han superado los controles de identidad.
Cada año, Flare recopila cientos de miles de resultados de búsqueda relacionados con los servicios Know Your Client (KYC) y el comercio de cuentas verificadas. La actividad observada entre marzo y septiembre de 2026 muestra cómo se empaquetan y promocionan estas ofertas en los mercados clandestinos.
¿Qué es KYC?
Es el proceso que utilizan las entidades financieras para establecer la identidad de un cliente y evaluar el riesgo de prestarle servicios.
Según el nivel de riesgo, pueden validar el documento, comparar su fotografía con una imagen en vivo, confirmar el control de los datos de contacto, solicitar información sobre el origen de los fondos y contrastar al cliente con listas de sanciones y de personas políticamente expuestas.
El KYC continúa después de la apertura de la cuenta mediante la monitorización de transacciones y verificaciones adicionales cuando cambia la información o la actividad parece inusual. El Grupo de Acción Financiera Internacional describe la diligencia debida con el cliente como la identificación del cliente, la comprensión del propósito de la relación y su seguimiento a lo largo del tiempo.
¿Ya está superando sus controles una identidad falsa?
Los vendedores clandestinos empaquetan documentos falsificados, deepfakes y ayuda para verificaciones en vivo con el fin de superar los controles de identidad.
Flare monitoriza foros criminales en busca de identidades expuestas, credenciales robadas y sesiones activas, de modo que las organizaciones puedan invalidar el acceso antes de que se convierta en toma de control de cuentas o fraude.
Cómo funciona el fraude de identidad en el KYC
Los pasos y la imagen siguientes ilustran cómo los actores reúnen los elementos utilizados en el fraude de identidad en el KYC:
- Los datos de identidad establecen los datos personales declarados por el solicitante.
- Los documentos se presentan para respaldar esos datos.
- Las fotografías o vídeos asocian la identidad declarada con un rostro.
- La preparación del dispositivo y del navegador hace que la sesión de solicitud parezca coherente con la de un cliente legítimo.
- La verificación en vivo se intenta mediante un operador humano o con medios sintéticos.
La construcción del paquete de identidad
En marzo de 2026, Flare observó a un vendedor de un foro que ofrecía documentos de identidad y financieros generados o editados a medida para solicitudes de verificación concretas, incluidos extractos bancarios y otros registros que las plataformas pueden usar para confirmar la dirección, los ingresos o la titularidad de la cuenta de un solicitante.
La oferta de paquetes KYC completos muestra cómo los vendedores adaptan varios documentos a los requisitos de una plataforma o un cliente concretos. Los nombres, las fotografías, las direcciones y otros datos deben mantenerse coherentes en toda la solicitud, porque una discrepancia puede provocar el rechazo o una revisión adicional.
Esta preparación crea el paquete de identidad que después se utiliza en la fase de verificación facial o en vivo.
Eludir las verificaciones de identidad en vivo
Muchos sistemas KYC comparan la fotografía de un documento de identidad con una imagen en vivo del solicitante. Algunos utilizan comprobaciones de vitalidad pasivas, que analizan una grabación breve de cámara en busca de indicios de una persona real. Otros emplean comprobaciones activas que piden al solicitante que gire la cabeza, hable, parpadee o lea números que aparecen en pantalla.
Para eludir estos controles, los actores anuncian fotografías alteradas y vídeos generados con IA a partir del rostro que aparece en el documento de identidad. Algunas herramientas afirman que cambian la apariencia del operador durante una sesión en vivo, lo que permite que el rostro falso siga las instrucciones en tiempo real sustituyendo la imagen procedente de la cámara física por material alterado.
Flare también observó anuncios de «KYC humano», en los que una persona completa la verificación facial o por vídeo utilizando material de identidad preparado para la solicitud.
En una publicación de reclutamiento, un actor buscaba a alguien capaz de usar herramientas de deepfake para alterar la imagen de la cámara durante una comprobación en vivo y aparecer como la persona nombrada en los documentos de identidad.
En otro ejemplo, los investigadores de Flare observaron a un actor de amenazas que anunciaba orientación para una comprobación en vivo de lectura de números. El solicitante debe responder a contenido presentado durante la sesión, por lo que la elusión ofrecida requiere coordinación y adaptación en lugar de la entrega de un objeto preparado.
Soporte después de la entrega de la cuenta
Los investigadores de Flare observaron a vendedores que ofrecían asistencia continua de verificación y recuperación de cuentas después de entregar una cuenta ya completada, y la publicación de reclutamiento mencionada incluía ayuda cuando una plataforma solicitaba otra comprobación de identidad tras la entrega.
Cuando una comprobación posterior exige el material de identidad o el participante utilizado durante el registro, el comprador puede quedar dependiente del vendedor, lo que extiende el servicio KYC original más allá de la venta y ayuda a preservar la apariencia de que el cliente verificado sigue controlando la cuenta.
Detección del abuso del KYC
FinCEN ha advertido a las entidades financieras de que los delincuentes utilizan deepfakes y documentos de identidad fraudulentos para eludir los controles de verificación de clientes.
Su alerta recomienda examinar la solicitud completa, porque las diferencias entre la información de identidad del solicitante, los registros de respaldo, las imágenes faciales y la actividad de la cuenta pueden revelar que varios elementos fueron preparados por personas o herramientas distintas.
El NIST recomienda recopilar los documentos de identidad y las imágenes faciales directamente durante la sesión de verificación, comprobar si han sido alterados y detectar el software que sustituye el material procedente de una cámara física.
Las instrucciones impredecibles, como pedir al solicitante que haga un movimiento concreto o lea números cambiantes, pueden dificultar el uso de grabaciones preparadas, mientras que la información sobre el dispositivo puede ayudar a determinar si la sesión procede de equipos de un cliente normal.
Aplicar estas comprobaciones en conjunto da a las organizaciones una mejor oportunidad de detectar el uso combinado de documentos falsos, deepfakes y operadores humanos descrito en los anuncios clandestinos de KYC.
Flare ofrece a las organizaciones visibilidad adicional mediante la monitorización de foros criminales en busca de identidades expuestas, credenciales robadas, sesiones de inicio de sesión activas y amenazas relacionadas con su organización. Los equipos de seguridad pueden usar estas alertas para identificar las cuentas afectadas, invalidar el acceso expuesto e investigar la actividad relacionada con la identidad antes de que se convierta en una toma de control de cuentas o en un fraude mayor.
Más información: regístrese para nuestra prueba gratuita
Patrocinado y escrito por Flare.
Deja una respuesta