10 perspectivas sobre el fraude profundo y la seguridad de la identidad de Money 20/20 Europa
.jpg)
Fernanda Sottil
June 10, 2026•
June 10, 2026•
El 4 de junio me uní Tomas Rubens, Socio Director de DN Capital, y Ahron Geminder, anteriormente Jefe de Identidad Digital Global en HSBC, en el MoneyPot Stage en Money 20/20 Europa para una sesión llamada Luchando contra los Deepfakes: El año de un banco en primera línea.
La conversación cubrió lo que se necesita para defenderse contra el fraude deepfake a escala en 2026, desde la arquitectura de detección hasta las brechas regulatorias que dejan expuestas a la mayoría de las instituciones. Aquí hay diez ideas que vale la pena llevar adelante.
Sabemos que las organizaciones pierden dinero por el fraude. Pero también pierden buenos clientes ante la fricción introducida por tedioso verificación de identidad (IDV) soluciones. Aunque ambas son pérdidas relacionadas con el fraude, se documentan de manera muy diferente. ¿Por qué? Porque las pérdidas de conversión por el bloqueo excesivo casi nunca aparecen en un panel de control. Esto es interesante porque, en algunos casos, la fricción en realidad puede perjudicar el resultado final más que el fraude en sí. Hasta que ambos lados del libro mayor sean visibles, los tomadores de decisiones operarán con la mitad de la información necesaria.
Calibrar los umbrales correctamente requiere conocer el costo total de un incidente de fraude y el costo total de un usuario legítimo bloqueado. La mayoría de las instituciones no pueden cuantificar ambos, por lo que están ajustando umbrales sin el panorama completo. A falta de datos, el instinto es apretar. Ese instinto es comprensible, pero también es incompleto. Para comprender realmente qué pérdidas se derivan del fraude directo frente a la fricción, las organizaciones deben encontrar datos sobre las tasas de abandono y los puntos débiles en el recorrido de sus clientes.
Esa cifra vino de Ahron Geminder, aprovechando su experiencia construyendo la plataforma de identidad digital global de HSBC. Este no es un riesgo futuro que se está modelando. Es un problema operativo actual que los equipos están administrando en este momento, en volumen, todos los días.
La integridad del dispositivo, el comportamiento de la sesión, la autenticidad de los documentos, la vida biométrica, las señales de red y la inteligencia entre clientes son todos vital para defenderse de deepfakes. Cuando una capa falla, las otras permanecen intactas. Un atacante que derrota a uno no ha tocado el resto. Esa independencia estructural es lo que dificulta incluso a los actores más sofisticados batir a escala. Un solo modelo, por bueno que sea, no tiene esa propiedad.
Los ID electrónicos reducen significativamente la superficie de ataque de documentos. Lo que no eliminan es el paso de enlace biométrico. En el momento de la inscripción, una persona aún necesita hacer coincidir una selfie en vivo con la eID, y ese paso aún requiere detección de vivencias y detección de deepfake. A medida que la verificación de documentos se fortalece, la capa de verificación biométrica permanece expuesta si las organizaciones no la abordan. Resolver un lado sin el otro crea una brecha que los atacantes encontrarán.
Esta estadística es válida para los revisores y expertos promedio. Los humanos ciertamente tienen un papel en la IDV, pero en toda la practicidad no puede ser la primera línea de defensa; más bien, para la innovación tecnológica, los casos puntales, las disputas y las llamadas de juicio en los márgenes. Para escalar correctamente y mejorar las tasas de detección de fraude, la capa de detección primaria debe permanecer automatizada.
La mayoría de las instituciones han endurecido la incorporación y han dejado la recuperación ejecutándose en códigos SMS y preguntas basadas en el conocimiento. Las identidades sintéticas se incuban dentro del sistema durante semanas o meses, luego usan la recuperación como reingreso. La acción más concreta que cualquier equipo de fraude o identidad puede tomar esta semana es recorrer el flujo de recuperación de su cuenta como atacante. Patrones similares han afinado en las principales plataformas, incluyendo Instagram. Este no es un caso perimetral.
Las pilas de verificación tradicionales se construyeron sobre una suposición: en algún lugar del proceso, hay un humano. Pero los agentes no tienen caras ni identificaciones gubernamentales. Entonces, la pregunta debe pasar de “¿quién es esta persona?” a “¿Quién es el dueño de este agente, qué están autorizados a hacer, y la sesión sigue dentro del alcance?”
Los reguladores recién ahora se están poniendo al día con las firmas electrónicas y los EIDs. Las interacciones agentic y el fraude agentic aún no están en el marco. Los marcos que se están construyendo hoy ya están detrás de la amenaza actual, y mucho menos hacia dónde se dirigen los ataques. Esperar a que la presión regulatoria actúe no es una estrategia. Para cuando llegue esa presión, la brecha será aún más difícil de cerrar.
Los atacantes se mueven en días. Los bancos se mueven en trimestres. Los reguladores se mueven en años. Esa asimetría no se resuelve por sí sola. Las organizaciones que están construyendo la infraestructura correcta de fraude e identidad ahora estarán en una posición fundamentalmente diferente de las que esperan.
Gracias a Thomas Rubens por moderar, a Ahron Geminder por traer tan claramente la perspectiva del operador, y a todos los que acudieron al MoneyPot Stage por lo que resultó ser una conversación genuinamente energizante.
%20(1).avif)
