El fin de la era de las selfies: por qué la IA generativa exige una identidad determinista

Durante la última década, la verificación de identidad digital (IDV, por sus siglas en inglés) se ha basado en un método visual: escanear una licencia de conducir física, grabar un video tipo selfie y esperar que la persona que aparece en el escaneo y en el video coincidan. Se asemejaba bastante al apretón de manos en persona, en una época en la que las imágenes eran relativamente fiables y aún no existían alternativas.

Pero esa época prácticamente ha terminado. Los avances en la IA generativa y las herramientas de deepfake accesibles han derrumbado el límite de confianza en torno a los métodos de verificación visual, convirtiendo lo que antes era un control razonable en un riesgo creciente.

Hemos alcanzado el límite práctico de lo que la verificación de identidad tradicional puede ofrecer. Actualmente, el sector se encuentra inmerso en una carrera armamentística cada vez mayor: los estafadores producen falsificaciones cada vez mejores, mientras que los proveedores compensan esta situación con sistemas de detección de actividad más exhaustivos e intrusivos para detectarlas, lo que genera fricción sin restablecer la confianza.

La verificación de identidad tradicional es inherentemente probabilística: se basa en conjeturas. Los algoritmos automatizados intentan adivinar si una imagen es auténtica. Pero cuando la IA puede generar “pruebas” hiperrealistas en milisegundos, adivinar se convierte en una estrategia de seguridad insostenible. La implementación de las licencias de conducir móviles (mDL, por sus siglas en inglés) en todo Estados Unidos ofrece una vía para salir por completo de esta carrera armamentista.

En esta publicación, exploramos por qué la industria debe pasar de las comprobaciones visuales probabilísticas a la verificación criptográfica determinista, no solo para combatir los nuevos vectores de ataque basados en IA, sino también para simplificar significativamente la experiencia del usuario, y por qué las mDL, que abordan la gran mayoría de los ataques contra la verificación de selfies en video, son la tecnología superior para la próxima generación de sistemas modernos de identidad digital.

Nota: Exploraremos este tema partiendo de la base de que tiene necesidades sustanciales de verificación de identidad y que su objetivo es cumplir con las directrices de garantía de identidad IAL2 del NIST, que consideramos un requisito mínimo práctico para los casos de uso en línea.

Cómo llegamos aquí

Para entender por qué las selfies son innecesarias para las licencias de conducir móviles, tenemos que entender por qué se introdujeron en primer lugar las comprobaciones de documentos de identidad físicos basadas en selfies.

Internet maduró más rápido de lo que los documentos y sistemas de identidad civil podían evolucionar. A medida que nuestras vidas se trasladaban cada vez más al ámbito digital, también aumentaba la necesidad de verificar la identidad de forma remota. Ante la ausencia de una credencial digital nativa, las empresas se vieron obligadas a depender de documentos diseñados para interacciones físicas y presenciales. Los primeros intentos simplemente pedían a los usuarios que subieran una foto de su licencia de conducir física. Pero se trata de imágenes estáticas, fáciles de copiar, alterar y falsificar. En la era de la IA generativa, producir una licencia falsa convincente no solo es posible, sino que es extremadamente fácil.

Introduzca las verificaciones de selfie

Incluso cuando los datos de una imagen de identificación estática se validan con una base de datos autorizada, como el servicio de búsqueda AAMVA DLDV, solo se confirma que los datos son precisos y que fueron emitidos por un DMV. No confirma que la persona que presenta el documento de identidad sea la persona a la que se le expidió. Estos ataques son reales: se superponen datos de licencia legítimos en tarjetas en blanco junto a una imagen no relacionada y se utilizan para superar las comprobaciones de verificación. 

Para cerrar esa brecha, la industria adoptó la vinculación biométrica del titular, comúnmente conocida como “verificación de selfie” o “verificación de vitalidad”: si se le ha pedido que sostenga la cámara frente a su rostro, mueva la cabeza de un lado a otro, parpadee, etc., ese proceso es una captura biométrica para tratar de demostrar que es el titular legítimo del documento de identidad que está presentando.

El objetivo era vincular un documento estático a un ser humano vivo. Cuando se utilizan documentos físicos y analógicos en línea, este paso se vuelve indispensable. Sin ella, los sistemas son vulnerables a ataques básicos de presentación: capturas de pantalla, reproducciones y documentos robados.

Y así, este se convirtió en el patrón estándar. Tome una foto de su licencia de conducir (¡con un fondo de alto contraste y buena iluminación!) y luego realice una serie de gestos en video. Tras toda esa fricción, el verificador sigue sin obtener una respuesta definitiva, solo un índice de confianza. No es un sí o un no, sino una probabilidad. Y por si fuera poco, la probabilidad podría ser demasiado baja y requerir, en cualquier caso, un método de verificación alternativo.

Por qué los mDL son diferentes

Una licencia de conducir digital no es una foto de una tarjeta en un teléfono. Se trata de un conjunto de afirmaciones verificables codificadas en un documento firmado digitalmente —también conocido como una credencial digital verificable — respaldado por una amplia biblioteca de estándares de la industria. En pocas palabras: es una versión digital de la licencia de conducir física expedida por el Departamento de Vehículos Motorizados (DMV) de su estado. Al comparar las licencias de conducir móviles (mDL) con las identificaciones físicas, surgen tres diferencias fundamentales.

1. Firma del emisor

En Estados Unidos, los documentos de identidad físicos, que generalmente carecen de elementos de seguridad integrados, se basan en hologramas y características de luz ultravioleta para disuadir la falsificación. Los mDL se basan en criptografía robusta. 

Cada licencia de conducir digital (mDL) lleva una firma digital de la autoridad emisora (por ejemplo, el Departamento de Vehículos Motorizados). Cuando una parte confiable (RP) recibe los datos, verifica esa firma. Si se ha alterado incluso un solo bit, la verificación falla. No hace falta adivinar ni hacer estimaciones; el titular de la licencia sabe con certeza que la credencial proviene del DMV (Departamento de Vehículos Motorizados). Además, la criptografía garantiza que sea prácticamente imposible falsificar un mDL.

2. Posesión (vinculación del dispositivo)

La capacidad de un usuario para demostrar criptográficamente la posesión de un mDL es completamente nueva y fundamentalmente diferente de la presentación de una identificación física. Con los documentos físicos, la posesión está implícita. Con los mDL, es demostrable.

Cada mDL está vinculado a material criptográfico no extraíble almacenado en el elemento seguro del dispositivo. Las claves privadas utilizadas para presentar la credencial no se pueden exportar, reproducir ni siquiera copiar a otro teléfono. La prueba de posesión se aplica a nivel de hardware, lo que la convierte en uno de los factores de autenticación más sólidos disponibles en la actualidad. 

Esto no es una heurística. Es un hecho criptográfico. 

Nota: Los emisores imponen activamente la escasez. Por ejemplo, Colorado limita estrictamente la emisión de licencias de conducir móviles a dos dispositivos activos por residente. No puede “cultivar” estas credenciales.

3. Activación del usuario (desbloqueo de la billetera)

En el mundo físico, la “vinculación del titular” se realiza visualmente: una persona compara la foto de la tarjeta con el rostro de la persona que tiene delante. En el mundo digital, la billetera facilita la vinculación del titular al autenticar al usuario en el momento de su uso, a menudo utilizando las capacidades biométricas de la plataforma. 

Este proceso, denominado activación de usuario, normalmente requiere autenticación a nivel de plataforma, como FaceID o desbloqueo mediante huella dactilar. El acto de desbloquear la billetera otorga acceso a la clave de firma de la credencial y autoriza su uso para una presentación específica. 

Debido a que las mDL establecen una sólida cadena de custodia criptográfica desde el emisor hasta el dispositivo y el usuario, la autoridad emisora (por ejemplo, el DMV) confía en que la billetera haga cumplir la vinculación del titular en su nombre.

• La presencia del usuario es obligatoria. Una mDL no se puede compartir ni reproducir de forma silenciosa en segundo plano. El usuario debe desbloquear activamente el dispositivo o la credencial para autorizar cada presentación.
• La biometría se mantiene a nivel local. La clave que desbloquea el mDL —vinculado en el momento de su emisión— normalmente requiere el perfil biométrico del propietario del dispositivo para desbloquearlo. No se transmiten ni se almacenan datos biométricos en la parte que confía en el servicio.

Como mínimo, la billetera es responsable de autenticar al usuario y garantizar su presencia, lo que representa un avance significativo en materia de privacidad y seguridad. Se aleja de la autenticación biométrica del lado del servidor, que es frágil (la biometría no se puede revocar), atenta contra la privacidad (requiere el almacenamiento de biometría en la base de datos de la parte que confía en ella) y representa un enorme vector de ataque remoto escalable (un atacante puede obtener perfiles biométricos de todos).

El flujo se ve así:

El DMV emite la credencial a la billetera → La billetera protege la clave de firma del usuario (también conocido como el sujeto de la credencial), que se almacena en un enclave seguro, detrás de la autenticación de la plataforma (normalmente biométrica) → El usuario desbloquea la clave para presentarla.

En resumen, la vinculación del titular ahora se produce a nivel del dispositivo y del usuario, no de la parte que confía. El verificador ya no necesita realizar comprobaciones biométricas porque confía en que el emisor —y, por extensión, la billetera— lo haya hecho correctamente.

Evolución de la norma SP 800-63-4 del NIST

La publicación especial 800-63-4 del NIST se ha convertido rápidamente en la referencia de facto para la identidad, la autenticación y la federación en los EE. UU. Más que una simple lista de requisitos, proporciona un marco para modelar el riesgo y la garantía de identidad a lo largo de todo el ciclo de vida del usuario.

La revisión 4, finalizada en julio de 2025, introdujo cambios significativos en la forma en que se evalúan las pruebas de identidad, sobre todo en lo que respecta al tratamiento formal de las licencias de conducir móviles. Los detalles completos son extensos, pero un cambio es particularmente relevante: la introducción de una clasificación de evidencia “Superior” capaz de respaldar la verificación de identidad IAL2 al más alto nivel. Resulta muy interesante que, dentro de este marco, las licencias de conducir móviles (mDL) se clasifiquen como prueba superior, mientras que los documentos de identidad físicos sigan clasificados como prueba “fuerte”.

Pruebas contundentes (identificación física)

En la norma SP 800-63A-4, el NIST clasifica los documentos de identidad físicos (como las licencias de conducir físicas) como prueba sólida. Si bien son fiables, son fundamentalmente estáticos.

“Pruebas que… son razonablemente resistentes a la manipulación, pero cuya vinculación con el suscriptor puede falsificarse o imitarse (por ejemplo, mediante el uso de una fotocopia de alta calidad o la inserción de un video).”

Dado que los documentos de identidad físicos no están vinculados a su titular de una manera matemáticamente demostrable (por ejemplo, se puede presentar el documento de identidad robado de otra persona), las partes que confían en ellos deben realizar una comparación biométrica adicional, normalmente mediante la coincidencia facial y la verificación de vitalidad, para vincular esa credencial con quien la presenta.

Evidencia superior (mDL)

Por el contrario, el NIST clasifica las credenciales criptográficas —específicamente las que se encuentran en monederos controlados por el suscriptor, como los mDL— como evidencia superior.

“Pruebas que… contienen una firma digital o un código de autenticación de mensajes (MAC) sobre los datos de la prueba que valida la integridad de la misma… y están vinculadas a un autenticador en posesión del suscriptor.”

La definición se corresponde directamente con el funcionamiento de los mDL: 

• La integridad criptográfica se garantiza mediante la firma digital del emisor
• La vinculación del titular se aplica mediante claves vinculadas al dispositivo
• La presencia del usuario se exige en el momento de la presentación

No hay coincidencia probabilística. Sin inspección visual. Sin selfie.

Cambio en el modelo de unión

NIST SP 800-63A-4 (§ 4.2.6.2) aclara que, para evidencia superior, cuando se utiliza la vía de evidencia digital para la verificación, la activación del usuario en sí misma prueba la posesión y el control.

• Para identificaciones físicas: Se requiere vinculación visual (verificación mediante selfie).
• Para mDL: Necesita una vinculación criptográfica desbloqueada mediante la activación del usuario (firma digital y desbloqueo de la billetera).

Visualizando el cambio

El statu quo ha cambiado

Además de introducir la clasificación de evidencia superior, el NIST también elevó el listón para cumplir con el estándar IAL2 utilizando únicamente evidencia sólida.

Según la Revisión 3 de SP 800-63 (publicada en 2017), una sola prueba sólida junto con una verificación basada en una selfie era suficiente para cumplir con IAL2. La revisión 4 reconoce que este modelo ya no refleja el panorama actual de amenazas. 

Según las directrices actualizadas, el NIST ahora requiere dos pruebas sólidas —o una sólida más una aceptable— para cumplir con el criterio IAL2 en ausencia de pruebas superiores.

La implicación es clara: si todavía confía en un escaneo básico de identificación más una verificación de selfie y da por sentado que cumple con IAL2, no es así. A partir de agosto de 2025, ese modelo resulta insuficiente. 

Si bien es probable que veamos surgir soluciones provisionales, como la combinación de selfies con la verificación del número de teléfono, el camino más directo y sólido hacia IAL2 es el uso de mDL como evidencia superior.

Abordar las preocupaciones

El paso de la verificación de identidad visual a la verificación criptográfica representa un auténtico cambio de paradigma, y el escepticismo es natural. La reacción más común es:

“Si las licencias de conducir móviles no incluyen una comprobación mediante selfie, eso genera menos seguridad. Solo me sentiría cómodo adoptándolas junto con una selfie”.

Sin embargo, si se analiza desde la perspectiva de las amenazas modernas (en particular, el fraude impulsado por la IA), los argumentos para mantener la selfie se desmoronan rápidamente.

1. ¿Acaso mDL no traslada la comprobación de la selfie del momento de verificación al momento de emisión?

Sí, y ahí es precisamente donde debe estar. Esto supone un cambio desde la coincidencia probabilística a la afirmación determinista.

Cuando un proveedor le pide a un usuario que se tome una selfie hoy en día, está realizando una comparación probabilística con la foto de un documento físico. Este proceso es altamente susceptible a los “ataques de inyección”, en los que imágenes o transmisiones de video generadas por IA imitan a un usuario en vivo. La defensa contra estos ataques requiere un ajuste continuo de los algoritmos de detección de actividad en tiempo real: un juego interminable del gato y el ratón.

En cambio, el DMV realiza la verificación biométrica una sola vez durante la emisión, cotejándola con un registro biométrico oficial capturado en persona durante una visita al DMV.

A continuación se presentan dos propiedades críticas:

• Menor superficie de inyección de IA: el DMV compara al individuo con biometría de alta fidelidad capturada en persona (en una estación de trabajo especializada), no con imágenes de baja resolución cargadas desde un dispositivo no administrado.
• La cadena de confianza criptográfica: cuando verifica una licencia de conducir móvil (mDL), no se limita a "confiar" en que el Departamento de Vehículos Motorizados (DMV) hizo un buen trabajo. Está verificando criptográficamente la integridad de esa comprobación —consumiendo el resultado de un evento de vinculación presencial de alta seguridad en lugar de intentar recrear uno remoto de baja seguridad.

La definición de prueba superior del NIST exige explícitamente que el emisor haya realizado un paso de verificación de identidad presencial. Los flujos de emisión basados en billeteras se realizan deliberadamente en la etapa final de la visita presencial de alta seguridad al DMV. 

Aceptar un mDL no significa externalizar su decisión de seguridad, sino consumir el resultado del evento de verificación de mayor garantía en el ecosistema. Esto traslada la responsabilidad de la seguridad al punto de mayor fricción y mayor fidelidad de los datos —la emisión—, reduciendo drásticamente la superficie de ataque para todos los demás. Este es el cambio de unmodelo transaccional de identidad a uno basado en credenciales.

2. ¿Acaso una selfie no sigue siendo útil para la “defensa en profundidad”?

Una verdadera defensa en profundidad implica superponer distintos tipos de controles de seguridad, no simplemente apilar controles redundantes. La postura del NIST es clara: la prueba criptográfica de posesión y activación del usuario (desbloqueo de la billetera) inherente a los mDL proporciona una evidencia “superior” en comparación con la garantía que ofrece una selfie visual.

Agregar una selfie a un flujo mDL no aumenta la confianza; principalmente aumenta la fricción. Las selfies se diseñaron para evitar que alguien mostrara una tarjeta física robada, pero las mDL solucionan este problema mediante la verificación del usuario. No puede “sostener” ni presentar de forma remota el mDL de otra persona porque no puede extraerlo de su dispositivo. Además, las directrices del NIST han evolucionado precisamente porque las comprobaciones mediante selfies son cada vez más vulnerables a los ataques de inyección de IA generativa. Agregar una comprobación débil y vulnerable a la IA sobre una que sea criptográficamente segura no lo hace más seguro.

Si le preocupa que un usuario legítimo pueda ceder la sesión a un estafador inmediatamente después de la verificación, una selfie no le salvará; ese es un problema de seguridad de la sesión , no un problema de verificación de identidad. Para solucionar esto se necesita vinculación de tokens (como OAuth DPoP), no más gestos de video.

3. ¿Qué ocurre si los datos biométricos de mi pareja también pueden desbloquear mi teléfono?

Esta pregunta alude al concepto de “colusión íntima”. Existe una distinción importante entre el fraude criminal a gran escala y la delegación autorizada local. 

Las licencias de conducir móviles (mDL) eliminan el fraude a gran escala (granjas de bots, atacantes remotos) porque las credenciales no se pueden recopilar de forma masiva. Eso nos deja con escenarios locales: un cónyuge o un hijo que conozca el PIN del dispositivo o que tenga su rostro o huella dactilar registrados.

En muchos servicios del mundo real, la delegación de autoridad es normal y necesaria: un padre que gestiona el portal de salud de su hijo, o un adulto que ayuda a un familiar anciano con los servicios gubernamentales. Los sistemas heredados de “escaneo + selfie” a menudo fallan en estos escenarios legítimos de tutela. 

La amenaza existencial para la identidad digital hoy en día no reside en un mal uso local y puntual. Se trata de un fraude escalable impulsado por IA: granjas de bots que crean miles de identidades sintéticas y ataques remotos basados en deepfakes. Las mDL neutralizan directamente esta amenaza porque las credenciales están vinculadas al hardware y no se pueden exportar.

El escenario del “cónyuge que desbloquea el teléfono” es un evento local no escalable —y una comprobación mediante selfie de todos modos sirve de poco para evitarlo. Es igual de probable que un usuario dispuesto a desbloquear su teléfono para otra persona primero lo sostenga para tomarse la selfie.

Si su modelo de amenazas no puede tolerar ese nivel de complicidad íntima, la única solución es la verificación presencial supervisada, lo que requiere que el usuario esté físicamente presente y supervisado durante toda la sesión.

4. De acuerdo, pero ¿qué ocurre con la colusión íntima adversarial?

Si opera un producto o servicio en un entorno donde la colusión íntima y adversarial es una preocupación, sabe quién es. Su preocupación es válida y la industria está trabajando para aclarar (1) qué tipo de proceso de verificación se utilizó para emitir una mDL y (2) qué tipo de autenticación local ocurrió cuando el usuario activó la credencial en su billetera. De esta forma, si se requiere un factor biométrico y no está presente, se pueden realizar controles adicionales.

Sigue siendo preferible realizar la verificación biométrica localmente en el dispositivo del usuario (por motivos de privacidad y para evitar inconvenientes), y la combinación de mDL y la señalización de activación biométrica es el mecanismo para lograrlo.

El NIST está trabajando activamente para generar confianza en el ecosistema mDL, lo que incluye el desarrollo de un perfil específico de SP 800-63A-4 para la emisión de mDL que aborde estas preocupaciones. Esto crea una base de referencia unificada para la seguridad en todo el ecosistema, lo que garantiza que, cuando acepta un mDL, el riguroso escrutinio de este proceso de emisión regulado se le confiere de forma indirecta en el momento de la verificación, y que las señales que necesita estén presentes para informar a su motor de políticas de autorización.

El camino a seguir es seguro

Las licencias de conducir móviles no son simplemente copias digitales de tarjetas físicas. Representan un cambio arquitectónico fundamental en la forma en que se demuestra la identidad. Estamos pasando de un mundo de aproximación visual a un mundo de certeza criptográfica.

El modelo “escaneo + selfie” ha cumplido su función, pero ha alcanzado sus límites técnicos. La IA generativa ha erosionado la confianza que podemos depositar en las pruebas ópticas. Seguir añadiendo controles visuales a las credenciales digitales no es una defensa en profundidad, sino la adhesión a un modelo de seguridad heredado que se está volviendo obsoleto rápidamente.

Conclusión 

La tecnología para combatir el fraude de identidad moderno ya existe y ya no requiere una cámara. Este es uno de esos raros momentos en los que una mayor seguridad y una mejor experiencia de usuario van de la mano. Aprovéchelo.

Si está construyendo para el futuro de la identidad, el camino a seguir es determinista, y Okta puede ayudarle. Estamos creando la plataforma para que las Enterprise incorporen credenciales digitales de alta seguridad y verificables criptográficamente directamente en sus flujo de identidad.

• Confíe en las matemáticas, no en la imagen: las firmas criptográficas no se pueden falsificar mediante deepfake. Las claves vinculadas al dispositivo no se pueden inyectar. 
• Aproveche las pruebas superiores: el NIST ha dejado clara su postura: las mDL clasificadas como pruebas superiores ofrecen una garantía más sólida que las identificaciones físicas clasificadas como pruebas sólidas, por diseño.
• Mejorar la fricción sin reducir la seguridad: Eliminar la selfie elimina uno de los pasos que generan mayor fricción en la verificación de identidad, lo que mejora las tasas de conversión y reduce la revisión manual sin sacrificar la seguridad.

La compatibilidad con mDL en sus flujos de verificación de identidad no crea una brecha de seguridad. Cierra uno. Se sustituye un proceso basado en imágenes, frágil, probabilístico y con mucha fricción, por una interacción fluida basada en pruebas criptográficas.

Para obtener más información sobre cómo Okta está impulsando este cambio, explore nuestra versión beta de verificación de identidad digital de Okta y comprenda cómo la identidad criptográfica determinista puede integrarse en su arquitectura existente.

¿Desea más? Pruebe los VDC en el mundo real con una demostración práctica en vivo directamente desde su teléfono.