¿Cómo saber si quien intenta verificar su identidad es una persona físicamente presente y no una fotografía, un video o una representación falsa?
Esta es una de las preguntas que deben resolver las empresas que incorporan clientes, formalizan operaciones o permiten acceder a servicios mediante canales digitales.
La tecnología conocida como liveness detection o prueba de vida biométrica ayuda a evaluar si la captura facial corresponde a una presentación genuina, en lugar de ciertos intentos de suplantación.
Sin embargo, no todas las pruebas de vida funcionan de la misma manera.
Existen dos enfoques ampliamente utilizados: liveness activo y liveness pasivo. Aunque persiguen una finalidad relacionada, presentan diferencias en la experiencia del usuario, los mecanismos de captura y su implementación.
¿Cuál necesita tu empresa? La respuesta depende de los riesgos que busca mitigar, la experiencia que quiere ofrecer y la evidencia técnica disponible sobre cada solución.
¿Qué es liveness o prueba de vida biométrica?
El término liveness se utiliza para describir tecnologías que analizan características de una captura biométrica con el objetivo de determinar si existe una presentación genuina de una persona.
En biometría facial, estas tecnologías pueden ayudar a detectar determinados intentos de suplantación realizados mediante fotografías, videos reproducidos en pantallas o máscaras.
La prueba de vida forma parte de los mecanismos de detección de ataques de presentación, conocidos como PAD (Presentation Attack Detection).
Su finalidad es agregar una capa de protección al proceso de captura facial.
¿Por qué no basta con tomar una selfie?
Una selfie es una imagen de un rostro. Por sí sola no proporciona garantías suficientes sobre cómo se obtuvo ni sobre la presencia genuina de la persona durante la captura.
Por ejemplo, un sistema que únicamente busca similitudes entre dos fotografías podría ser vulnerable a determinados intentos de suplantación si no incorpora otros controles.
La prueba de vida ayuda a evaluar la captura, mientras que la comparación facial determina el grado de correspondencia entre rostros.
Son funciones diferentes.
Prueba de vida: ¿la captura presenta características compatibles con una persona genuinamente presente?
Comparación facial 1:1: ¿el rostro capturado corresponde con la imagen de referencia?
Validación documental: ¿qué evidencia respalda los datos y el documento de identidad?
Para una verificación digital más completa, estas comprobaciones pueden utilizarse de forma complementaria. Si quieres profundizar, consulta Reconocimiento facial, biometría y prueba de vida: diferencias clave.
¿Qué es la prueba de vida activa?
El liveness activo es una modalidad en la que el sistema solicita a la persona realizar determinadas acciones durante la captura.
Por ejemplo:
- Girar la cabeza hacia una dirección.
- Parpadear cuando se indique.
- Seguir una instrucción visual.
- Realizar determinados movimientos faciales.
El objetivo es analizar la respuesta capturada y comprobar si corresponde a las condiciones esperadas por el sistema.
¿Qué ventajas puede ofrecer?
Una solución activa puede incorporar retos que sirven como señales adicionales para evaluar una interacción.
Según su diseño, puede resultar útil en procesos donde la organización necesita un mecanismo explícito de respuesta durante la captura.
Sin embargo, la existencia de retos no garantiza por sí sola una mayor seguridad. Es necesario evaluar su resistencia real ante distintos ataques.
¿Qué aspectos deben considerarse?
El usuario debe comprender y completar las instrucciones.
Si los retos no se explican claramente, pueden aumentar los intentos de captura, especialmente cuando existen dificultades de iluminación, conectividad, accesibilidad o posicionamiento del dispositivo.
Por ello, la experiencia debe evaluarse con usuarios reales y distintos escenarios operativos.
¿Qué es la prueba de vida pasiva?
El liveness pasivo es una modalidad que analiza información de la captura biométrica sin exigir al usuario los retos de movimiento característicos de una prueba activa.
Por ejemplo, en una implementación facial pasiva, la persona puede necesitar únicamente posicionar su rostro correctamente frente a la cámara y completar la captura indicada.
El sistema analiza señales disponibles para evaluar posibles ataques de presentación.
¿Qué ventajas puede ofrecer?
Al reducir las acciones explícitas, la modalidad pasiva puede simplificar la experiencia de captura.
Esto resulta especialmente interesante para empresas que incorporan clientes desde dispositivos móviles y buscan evitar instrucciones innecesarias.
También puede facilitar procesos donde la experiencia del usuario es un factor importante.
No obstante, la facilidad de captura depende del diseño, del dispositivo y de la implementación.
¿La prueba de vida pasiva es menos segura?
No necesariamente.
La seguridad no puede determinarse únicamente por la presencia o ausencia de movimientos.
Una solución pasiva con buenos resultados en evaluaciones independientes puede ofrecer una protección adecuada frente a las amenazas cubiertas por esas pruebas.
De igual forma, una solución activa puede tener limitaciones frente a ciertos ataques.
La comparación correcta debe considerar resultados de laboratorio, tipos de ataques evaluados, errores de clasificación y condiciones reales de uso.
Liveness activo vs. pasivo: principales diferencias
| Característica | Activo | Pasivo |
|---|---|---|
| Interacción | Solicita acciones específicas | No requiere retos explícitos de movimiento |
| Captura | Se siguen instrucciones o desafíos | Se completa una captura guiada |
| Experiencia | Depende de la facilidad para realizar los retos | Puede requerir menos acciones |
| Tiempo | Depende de los retos y reintentos | Depende de la captura y el procesamiento |
| Seguridad | Depende del sistema y los ataques evaluados | Depende del sistema y los ataques evaluados |
| Integración | Depende del proveedor | Depende del proveedor |
| Accesibilidad | Requiere evaluar si los retos son accesibles | Requiere evaluar captura y condiciones del usuario |
Ninguna modalidad es universalmente superior.
La elección debe basarse en el riesgo, la usabilidad y la evidencia sobre el comportamiento de la solución.
¿Qué tipos de fraude busca detectar el liveness?
Los ataques de presentación intentan engañar al sistema biométrico presentando un artefacto frente al dispositivo de captura.
Entre los ejemplos se encuentran:
Fotografías impresas
Una persona intenta presentar una fotografía del titular legítimo frente a la cámara.
Fotografías en pantalla
Se utiliza otro dispositivo para mostrar el rostro de una persona y hacerlo pasar por una captura genuina.
Videos reproducidos
El atacante presenta una grabación del rostro con movimientos o expresiones.
Máscaras y representaciones tridimensionales
Se utilizan objetos que reproducen determinadas características faciales.
La eficacia de la detección depende de la tecnología y de las condiciones evaluadas.
¿La prueba de vida también detecta deepfakes?
Los deepfakes introducen un desafío adicional.
Una imagen o un video generado o manipulado digitalmente puede utilizarse en intentos de fraude. Además, existen ataques de inyección que buscan introducir contenido digital directamente en el flujo de captura.
La distinción es importante: presentar un video ante una cámara no es el mismo ataque que inyectar una señal manipulada dentro de una aplicación.
Las pruebas tradicionales de detección de ataques de presentación no demuestran necesariamente resistencia contra todas las formas de inyección digital.
Por ello, una arquitectura de seguridad debe considerar controles complementarios para proteger el origen de la captura y la integridad del proceso.
¿Qué significa que una solución de liveness esté evaluada por iBeta?
iBeta es un laboratorio independiente que realiza pruebas de detección de ataques de presentación de acuerdo con metodologías relacionadas con la norma ISO/IEC 30107-3.
Esta norma establece métodos y criterios para probar y reportar el desempeño de mecanismos PAD.
Las pruebas pueden examinar la respuesta de una solución ante determinados artefactos y condiciones de ataque.
¿Qué es iBeta Nivel 1?
El Nivel 1 de iBeta contempla ataques de presentación construidos con recursos relativamente accesibles y sin requerir conocimientos especializados del atacante.
La evaluación utiliza un alcance definido de artefactos, condiciones y métricas.
Superar una evaluación de Nivel 1 no significa que todos los ataques existentes sean detectados ni que una solución haya obtenido el máximo nivel de seguridad posible.
¿Qué métricas conviene revisar?
Dos métricas utilizadas en evaluaciones PAD son:
APCER: proporción de presentaciones de ataque que el sistema clasifica incorrectamente como genuinas, según el escenario evaluado.
BPCER: proporción de presentaciones genuinas que el sistema clasifica incorrectamente como ataques, según las condiciones de prueba.
Estas métricas permiten evaluar aspectos diferentes: resistencia frente a ataques y posibles rechazos de usuarios legítimos.
Para una empresa, es importante revisar ambas y entender qué versión, dispositivo y condiciones fueron evaluados.
¿Qué sectores pueden beneficiarse de una prueba de vida?
La utilidad del liveness depende del proceso en el que se aplica.
Bancos e instituciones financieras
En procesos de incorporación remota, la prueba de vida puede utilizarse como un control adicional para evaluar la presencia genuina de una persona.
Su implementación debe responder a la regulación aplicable, al tipo de producto financiero y a las políticas de riesgo de cada institución.
Una entidad puede combinarla con verificaciones documentales, comparación facial y controles transaccionales.
Fintechs y plataformas de crédito digital
Las fintechs pueden utilizar liveness durante la creación de cuentas, la solicitud de servicios o determinados procedimientos de recuperación de acceso.
En estos procesos es importante equilibrar prevención de fraude y facilidad de uso.
Las verificaciones biométricas no sustituyen la evaluación crediticia ni la autorización de productos financieros.
SOFOMES
Una SOFOM puede incorporar la prueba de vida para apoyar la identificación de solicitantes y complementar su expediente digital.
La información obtenida puede utilizarse como parte de los controles de identificación definidos por la entidad.
Inmobiliarias
En operaciones que requieren identificar a compradores, vendedores, arrendadores o arrendatarios, el liveness puede complementar la revisión de documentos.
Su utilización puede ayudar a evaluar si una persona está presente durante la captura remota.
No sustituye otros requisitos legales de identificación ni las obligaciones aplicables a actividades vulnerables.
Notarías y servicios jurídicos
La verificación biométrica puede aportar una comprobación tecnológica adicional en determinados procedimientos.
Sin embargo, no reemplaza automáticamente la fe pública, la comparecencia ni otras formalidades exigidas por la legislación.
Plataformas y servicios digitales
Las empresas que ofrecen servicios remotos pueden utilizar prueba de vida en situaciones específicas, como el enrolamiento o ciertos procesos de mayor riesgo.
La frecuencia debe definirse de manera proporcional, evitando solicitar datos biométricos cuando no sean necesarios.
¿Cómo elegir una solución de liveness?
Antes de contratar, conviene responder siete preguntas.
1. ¿Qué ataques necesita mitigar tu empresa?
No todas las operaciones enfrentan los mismos riesgos.
Es importante identificar si la preocupación principal son las fotografías, los videos, las máscaras, las inyecciones digitales u otros mecanismos de suplantación.
2. ¿Qué evidencia independiente tiene la solución?
Revisa si cuenta con evaluaciones de laboratorio, los niveles alcanzados, la versión evaluada y las condiciones de las pruebas.
3. ¿Cómo funciona para usuarios legítimos?
La tasa de finalización, los reintentos y los rechazos de usuarios genuinos influyen directamente en la operación.
4. ¿Qué tan accesible es?
El proceso debe considerar personas con distintas capacidades, dispositivos, condiciones de iluminación y conectividad.
5. ¿Cómo se integra?
Revisa las opciones disponibles de plataforma web, API o SDK, así como la compatibilidad y las condiciones técnicas.
6. ¿Cómo maneja resultados inconclusos?
Una captura fallida no debe clasificarse automáticamente como intento de fraude.
Se requieren políticas para reintentos y revisión de incidencias.
7. ¿Cómo protege los datos biométricos?
Antes de implementar es necesario evaluar el tratamiento de datos personales, las medidas de seguridad y los plazos de conservación.
Una prueba de vida bien implementada debe funcionar como parte de una estrategia de identidad y seguridad, no como una decisión tecnológica aislada.
Prueba de vida pasiva con JAAK
En JAAK desarrollamos tecnología de verificación de identidad que incorpora prueba de vida facial pasiva.
Nuestro enfoque busca integrar controles biométricos en procesos digitales sin exigir los retos de movimiento característicos del liveness activo.
La solución permite incorporar la detección de vida dentro de procedimientos de identificación y puede complementarse con otras capacidades, según el servicio contratado:
- Comparación biométrica facial 1:1.
- Captura y extracción documental.
- Validaciones de información.
- Registro de resultados y eventos disponibles.
- Integración con procesos empresariales.
La documentación de Liveness de JAAK contempla resultados y puntuaciones de evaluación, selección de imágenes de captura y registros de eventos.
JAAK comunica una evaluación iBeta Nivel 1 para su prueba de vida pasiva. El alcance, la versión evaluada y la evidencia de dicha evaluación deben confirmarse con la documentación técnica oficial.
Conoce más en Verificación de identidad con JAAK.
¿Qué tipo de empresas pueden utilizar esta solución?
Organizaciones que necesitan incorporar verificaciones biométricas dentro de procesos digitales de identificación, contratación o incorporación de clientes.
Las condiciones de implementación y contratación dependerán del producto y de la modalidad requerida.
Preguntas frecuentes sobre liveness
¿Liveness es lo mismo que reconocimiento facial?
No. Liveness evalúa señales relacionadas con la presencia genuina durante la captura, mientras que el reconocimiento facial compara características de un rostro con una referencia o conjunto de referencias.
¿Cuál es mejor, liveness activo o pasivo?
No existe una respuesta universal. La decisión depende de las amenazas, la experiencia del usuario y los resultados de evaluación de la solución.
¿El liveness pasivo requiere que el usuario mueva la cabeza?
No exige los retos de movimiento propios de la modalidad activa, pero sí requiere una captura adecuada y seguir las instrucciones del sistema.
¿Una prueba de vida evita todos los fraudes biométricos?
No. Ayuda a mitigar determinados ataques, pero debe complementarse con otros controles según los riesgos del proceso.
¿La prueba de vida es obligatoria para todas las empresas en México?
No existe una obligación general de incorporar liveness en todas las actividades empresariales. Las exigencias concretas deben analizarse según el sector y las disposiciones aplicables.
¿Se puede utilizar liveness sin una INE?
Sí. Puede utilizarse como un control biométrico independiente dentro de ciertos procesos, aunque no equivale por sí solo a una verificación completa de identidad documental.
¿Es lo mismo liveness que Face ID?
No. Face ID es una tecnología específica de autenticación facial. Liveness es un concepto más amplio relacionado con la detección de presentaciones genuinas y ataques biométricos.
¿Qué sucede cuando una prueba de vida falla?
Depende del resultado. Puede deberse a problemas de captura, calidad, condiciones ambientales o señales relacionadas con ataques. La empresa debe definir el tratamiento de cada situación.
La mejor solución no es la que pide más movimientos
Una experiencia biométrica segura no depende únicamente de pedirle al usuario que parpadee, gire la cabeza o complete una secuencia de instrucciones.
Depende de comprender las amenazas, utilizar mecanismos evaluados y diseñar un proceso adecuado para cada operación.
El liveness activo y el pasivo son enfoques que deben analizarse con criterios de seguridad, accesibilidad y experiencia.
La pregunta no es cuántos movimientos realiza el usuario, sino qué controles necesita la empresa para verificar una presencia genuina.
En JAAK ayudamos a las organizaciones a incorporar prueba de vida pasiva y verificación de identidad en sus procesos digitales.
¿Tu empresa necesita evaluar una solución de liveness biométrico?
Conoce la tecnología de prueba de vida pasiva de JAAK y solicita una demostración para identificar qué configuración se adapta a tus necesidades. Solicitar una demostración.