Verificación y validación de identidad: ¿Lo estás haciendo bien?

Para algunas empresas, la validación y la verificación de identidad son muy útiles. Para otras, es una parte obligatoria de su proceso KYC. Pero hay más de una forma de sacar el máximo partido a las revisiones.

En este post, cubriremos los aspectos básicos, y demostraremos por qué algunos métodos son más eficaces que otros.

Empecemos con algunas definiciones:

¿Qué es la verificación de identidad?

Tanto la verificación como la validación de identidad se refieren al proceso durante el cual tu empresa confirma la identidad de un usuario. Garantiza que el proceso de identificación es válido, que hay una persona real detrás de una acción y que es quien dice ser.

Es particularmente importante en el contexto de la prevención del fraude, donde la detección de identidades falsas es a menudo la mejor manera de reducir el daño a tu organización. 

¿Qué es la identificación?

La identificación puede provenir de los propios clientes o de tu propio sistema. Es la información que los clientes proporcionan a tu empresa (rellenando campos de formularios), o la que tú recoges (dirección IP, número de tarjeta de crédito, etc.)

¿Cómo la confirman las empresas?

Esto es lo que toda empresa debería poner en marcha para confirmar las identidades, en estos tres pasos:

1. Identificación: recoger y registrar los datos del usuario en cualquier momento.
2. Verificación de identidad: confirmar que los datos son válidos, no robados o falsos.
3. Autenticación de identidad: asegurarse de que los datos verificados son consistentes cada vez que el usuario reaparece en el sitio.

La autentificación de identidad siempre se produce después de la verificación. Mientras que la validación de identidad normalmente solo tiene que realizarse una vez, la autenticación del cliente puede ser necesaria varias veces, por ejemplo, si un usuario se conecta desde un dispositivo o ubicación previamente desconocidos.

¿Por qué es importante la verificación de identidad?

Verificar la identidad de una persona es vital para demostrar que hay una persona real detrás de la transacción o proceso. Los estafadores crean perfiles falsos antes de abusar de tu negocio, ya sea para no pagar un préstamo en línea, crear varias cuentas para abusar de tu sistema de promociones o activar las recompensas de los afiliados.

En pocas palabras, los estafadores y delincuentes hacen todo lo posible para no vincular sus actividades a sus identidades en el mundo real, pero lo más importante es que la verificación de identidad es cada vez más una cuestión de regulación y cumplimiento. 

Si bien esto ha sido durante mucho tiempo así en el mundo de la banca y las instituciones financieras, estamos viendo una necesidad más apresurada de realizar la autenticación basada en la identidad en una variedad de verticales. Esto incluye las tiendas online, las OTAs y los portales de pago, por nombrar solo algunas.

Un ejemplo es la SCA (autenticación fuerte de clientes) de la directiva PSD2, o la Patriot Act en EE.UU, que establece los requisitos mínimos para los servicios de verificación de identidad.

«(2) REQUISITOS MÍNIMOS – La normativa exigirá, como mínimo, que las instituciones financieras implementen, y que los clientes (tras ser debidamente notificados) cumplan, procedimientos razonables para:

(A) verificar la identidad de cualquier persona que desee abrir una cuenta en la medida en que sea razonable y factible;

(B) mantener registros de la información utilizada para verificar la identidad de una persona, incluyendo el nombre, la dirección y otros datos de identificación».

Sección 326 de la US Patriot Act

Ventajas de un proceso eficaz de verificación de identidad

La confirmación de identidad es la piedra angular de la gestión de riesgos. Cuanto más legítimo parezca un cliente, menos probable será que cometa un fraude o un ciberdelito en tu sitio web.

Un proceso eficiente de verificación de identidad en la fase de inicio de sesión tiene los mismos beneficios, pero también mejora las posibilidades de detectar los robos de cuenta cuando los estafadores se registran en las cuentas de los usuarios legítimos.

Además, hay que tener en cuenta las cuantiosas multas impuestas por la falta de seguir con el KYC compliance (cumplimiento de las normas de KYC) o las comprobaciones AML (prevención de lavado de dinero).

¿Cómo se autentifica a alguien?

Hay muchas soluciones confiables disponibles para autenticar a un usuario. Puedes hacerlo mediante la verificación segura de documentos, la biometría o la autenticación multifactorial. Estos métodos sirven para identificar a un usuario y aprobar o rechazar la acción en función de la calidad de los resultados de las fuentes de datos.

¿Cómo utilizar la verificación de identidad para tu negocio?

El punto clave que hay que entender es que generalmente es más asequible y más fácil de escalar cuando se subcontratan estos servicios a una empresa externa. El mantenimiento se lleva a cabo fuera de las instalaciones, lo que puede facilitar la vida a tus desarrolladores, pero puede causar problemas de privacidad de datos.

A grandes rasgos, hay cuatro métodos que puedes implementar para la eKYC o la debida diligencia del cliente (CDD) en tu empresa, pero no todas son creadas iguales.

Veamos ahora qué métodos funcionan, cuáles no y tratemos de entender por qué.

Verificación de documentos y videos

Se pide a los clientes que presenten imágenes o videos de alta calidad de sus documentos de identidad reales. Pueden ser permisos de conducir, pasaportes, tarjetas de identidad, permisos de residencia o tarjetas de identificación de votantes.

En la mayoría de los casos, también hay que presentar una selfie junto con otros documentos de verificación. 

Las imágenes se autentican a través de una red mundial de servicios de verificación de documentos. 

• Fricción: alta. Es un serio obstáculo para quienes esperan un proceso rápido de incorporación de usuarios o una transacción rápida.
• Eficiencia: mixta. Por un lado, algunos clientes pueden sentirse más seguros cuando se verifica su identidad en línea, pero los estafadores no tienen problemas para engañar el proceso. Pueden utilizar una plétora de servicios que crean selfies retocados. También hay muchos escaneos de identificaciones robadas en la dark web. Ten en cuenta que la tecnología de falsificación profunda también está facilitando a los estafadores la creación de videos sin el consentimiento de alguien.

Datos biométricos

Los datos biométricos son mediciones corporales que deben señalar las características únicas de un usuario. Entre ellas se encuentran las huellas dactilares, la identificación facial y el reconocimiento de voz. 

Desde el punto de vista legal, muchos países aún no han adoptado la identificación biométrica como válida, pero cada vez es más habitual. India, Nueva Zelanda, Australia y Pakistán, por ejemplo, aceptan ahora la biometría tanto para la seguridad basada en la identidad como para los métodos de verificación de la misma.

• Fricción: baja. Escanear la huella dactilar o el iris es mucho más rápido que presentar documentos o utilizar una contraseña.
• Eficiencia: mixta. Puede haber problemas legales y la privacidad de los datos es una preocupación para algunos usuarios. Un falso positivo (o un resultado inexacto) también puede ser frustrante para los usuarios y causar picos en la tasa de insultos de tus clientes.

2FA (autenticación de 2 factores) y OTP (contraseña de un solo uso)

2FA, o autenticación de 2 factores y OTP o contraseña de un solo uso son dos formas de autenticación de usuario multifactor que confirman las identidades de los usuarios vinculándolas con más de un dispositivo. 

• Fricción: media-alta. La mayoría de nosotros ya estamos familiarizados con los intentos fallidos de 2FA y con la lucha por reunir el dispositivo correcto en el momento adecuado. No siempre es rápido ni fácil.
• Eficiencia: mixta. El aumento de los ataques de intercambio de SIM, en los que los estafadores se hacen con los mensajes telefónicos de un usuario, está dificultando seriamente la eficiencia de la 2FA. 

Análisis de la huella digital del dispositivo

El concepto de huella digital para la comprobación de la identidad difiere drásticamente de los métodos mencionados. Tus clientes tienen una vida digital, y necesitan enviar información en tu sitio web para incorporarse, iniciar sesión o procesar una transacción. 

¿Por qué no extraer toda la información posible entre bastidores para confirmar su identidad? Aunque esta era una práctica común como parte del método OSINT (Open Source Intelligence), es una tarea que consume muchos recursos y tiempo.

Por último, pero no menos importante, se pueden recopilar datos de las redes sociales vinculados a la dirección de correo electrónico y al número de teléfono. Esta es una poderosa herramienta de verificación de identidad que te permite recolectar: perfiles de redes sociales, incluyendo la biografía, el avatar y la fecha en que fueron vistos por última vez en la plataforma.

Verificación de identidad digital más eficiente

Cuando se trata de la verificación de identidad, cuantos más datos se tengan, mejor. Pero siempre es un acto de equilibrio entre la recopilación de información y la adición de demasiada fricción.

Un proceso de incorporación lento, demasiados obstáculos durante una transacción o un sistema de autenticación astringente pueden aumentar la pérdida de clientes y enviar a tus usuarios hacia la competencia.

La respuesta es la automatización mediante soluciones como:

• El análisis del número de teléfono te permite ver si el número de teléfono es válido, en el país correcto, y utiliza la detección de tarjetas sim virtuales.
• Con el análisis de la IP puedes rastrear los intentos de suplantación de identidad desde proxies, VPNs y el uso de Tor, entre otros, así como ver si la geolocalización cambia repentinamente.
• La huella digital de los dispositivos detecta a los usuarios que dependen de emuladores y cambian sus dispositivos con demasiada frecuencia, ya que podrían considerarse de alto riesgo, especialmente durante el proceso de autenticación de la identidad de inicio de sesión.
• La búsqueda inversa de direcciones de correo electrónico que te permite comprobar si el dominio es válido, si es de un proveedor de baja fricción o si el nombre parece sospechoso. Obtenga más información en nuestra guía sobre herramientas de comprobación del correo electrónico aquí.

En SEON, creemos que el análisis de la huella digital y la búsqueda inversa en las redes sociales ofrecen lo mejor de ambos mundos para tu proceso de comprobación de la identidad, permitiéndote tomar decisiones informadas, cumplir con los requisitos legales y mejorar la experiencia  del cliente al mismo tiempo.

Preguntas frecuentes

SEON: Prueba de identidad: Qué es y como te ayuda
SEON: Verificaciones KYC: Cual es el proceso y para que són
SEON: Qué es la debida diligencia del cliente y sus procesos

Lee más sobre:

Enriquecimiento de Datos | Huella Digital en Internet | Machine Learning en Detección de Fraudes