Qué se necesita para engañar al reconocimiento facial

Jake Moore, de ESET, utilizó gafas inteligentes, deepfakes e intercambios de rostros para «piratear» sistemas de reconocimiento facial ampliamente utilizados, y lo demostrará todo en RSAC 2026.

13 de marzo de 2026
•
,
2 minutos de lectura

El reconocimiento facial se está integrando cada vez más en todo, desde las puertas de los aeropuertos hasta los flujos de incorporación a los bancos. La suposición generalizada es que una La cara es difícil de fingir y que la atribución de un rostro vivo a una fuente confiable es una señal confiable de identidad.

Jake MooreEl asesor de ciberseguridad global de ESET sometió recientemente esta suposición a varias pruebas de estrés prácticas. Sus experimentos demostraron que se podía abusar y derrotar a esta poderosa tecnología.

En una prueba, Jake utilizó gafas inteligentes modificadas disponibles en el mercado que pueden identificar personas en tiempo real. Caminó por un espacio público, capturó los rostros de las personas y los comparó con fuentes de datos en línea disponibles públicamente, obteniendo coincidencias de identidad en segundos. Los nombres y los perfiles de las redes sociales se determinaron únicamente a partir de los ojos de las personas.

Esta capacidad puede ser útil si, por ejemplo, un asistente a una conferencia tiene problemas para recordar los nombres de las personas, pero es mucho menos conveniente si se considera lo que alguien con intenciones maliciosas podría hacer con esa información.

La segunda demostración tuvo un giro diferente. Se trataba de servicios financieros y volvió contra sí mismo un sistema de prevención de fraude. Utilizando imágenes generadas por IA y software disponible gratuitamente, Jake creó una cara ficticia para abrir una cuenta bancaria real. El reconocimiento facial del banco y la plataforma eKYC (Know Your Customer) lo reconocieron como una persona real.

Después de probar esto, Jake cerró la cuenta y compartió toda la información con el banco, que desde entonces detuvo este método particular de suplantación de identidad. Pero queda una pregunta más amplia: ¿cuántas instituciones financieras pueden seguir siendo vulnerables a este tipo de ataque?

Finalmente, Jake se añadió a una lista de vigilancia por reconocimiento facial en una concurrida estación de tren de Londres. Luego caminó por el área monitoreada, ejecutando un software de intercambio facial en tiempo real que superponía la imagen de Tom Cruise en la imagen de la cámara con la de Jake. El sistema, también utilizado por la policía británica, nunca lo reconoció ni lo alertó. Era como si simplemente no estuviera allí y cualquiera que lo buscara activamente en CCTV viera al actor.

El panorama general

Los sistemas de reconocimiento facial se implementan con una confianza implícita que no coincide con su resistencia real cuando alguien intenta destruirlos, incluso si, como Jake, solo usan hardware de consumo comercial y software fácilmente disponible. La verificación de identidad basada únicamente en una coincidencia facial plantea claramente un riesgo mayor de lo que la mayoría de las personas y organizaciones creen.

Los experimentos también envían un mensaje a los proveedores de sistemas de reconocimiento facial y a los responsables de los sistemas de verificación de identidad. Los sistemas deberían probarse, entre otras cosas, en entornos de simulación de ataques y otras condiciones agresivas. La tecnología detrás del reconocimiento facial es tan frágil que importa si alguien intenta socavarla.