Identidades sintéticas y técnicas de fatiga: contraseñas ya no frenan el fraude digital y bancos en Perú encienden las alertas

El avance de los pagos digitales en Perú ha transformado la experiencia bancaria, pero también ha sofisticado las estrategias de fraude, obligando al sector financiero a repensar la seguridad. Las contraseñas y los SMS ya no bastan como barrera principal frente a ataques cada vez más complejos.

Durante 2025, el 67% de los adultos peruanos accedía a una cuenta o billetera digital, según datos de la Superintendencia de Banca, Seguros y AFP (SBS). Este aumento, que representa un salto desde el 42% registrado en 2020, se tradujo en 1.255 millones de operaciones digitales solo en diciembre de ese año.

El Banco Central de Reserva del Perú (BCRP) informó que cada adulto realizó, en promedio, 665 pagos digitales durante 2025. Este volumen ha ampliado los puntos de exposición para bancos y usuarios, que ahora enfrentan amenazas más sofisticadas y difíciles de detectar.

Un crecimiento explosivo en la digitalización financiera

Tradicionalmente, la banca respondió a los riesgos añadiendo nuevas capas de seguridad: contraseñas más largas, tokens, validaciones por SMS y extensos formularios. Pero esta estrategia, según expertos del sector, ya no resulta sostenible.

Pablo García, BDM Cyber de TIVIT Latam, advierte que “cada barrera adicional castiga las métricas de conversión comercial”. Para el especialista, el desafío actual consiste en “lograr que la seguridad sea invisible y efectiva, sin sacrificar la experiencia del usuario”.

El auge del fraude digital se apoya en técnicas que superan los controles tradicionales. Los delincuentes no solo buscan sustraer credenciales, sino también suplantar identidades digitales, manipular procesos de identificación y tomar control de cuentas legítimas.

Entre las amenazas más recientes destacan la evasión biométrica y los deepfakes, capaces de engañar sistemas de reconocimiento facial o de voz utilizando herramientas de inteligencia artificial. También se han detectado identidades sintéticas, creadas con datos reales y ficticios, y el llamado Account Takeover, que implica secuestro de sesiones o agotamiento de los mecanismos de autenticación multifactor.

La autenticación basada en riesgo: una nueva manera de proteger

Ante este escenario, el sector financiero se aleja del modelo de acumulación de barreras y apuesta por mecanismos más inteligentes y dinámicos. La autenticación ya no se limita al inicio de sesión, sino que se convierte en un proceso continuo, que evalúa riesgos a lo largo de toda la interacción digital.

La recomendación de los especialistas apunta a la adopción de arquitecturas CIAM (Customer Identity and Access Management), que permiten monitorizar la identidad y el acceso en segundo plano.

Pablo García sostiene que “cumplir con las normativas de la SBS y mantener la agilidad del negocio exige migrar hacia un enfoque donde la autenticación adicional solo se active ante señales reales de riesgo”.

Nuevas herramientas: biometría, comportamiento y análisis en tiempo real

Existen tres mecanismos destacados para fortalecer la seguridad digital sin afectar la experiencia del usuario:

• Validación de identidad: la integración de fuentes oficiales, como RENIEC, durante el proceso de registro, refuerza la identificación desde el inicio.
• Biometría conductual: el análisis de la interacción con el dispositivo, desde la cadencia de tipeo hasta los patrones de navegación, permite detectar comportamientos atípicos de manera pasiva, sin pedir pasos extras al usuario.
• Autenticación basada en riesgos: cada operación se evalúa en tiempo real. Una transferencia habitual desde un dispositivo conocido puede aprobarse sin fricción, mientras que una operación anómala desde un equipo nuevo puede activar automáticamente una verificación adicional.

Seguridad proporcional: el reto de proteger sin obstaculizar

El desafío para los bancos y las fintech ya no consiste en sumar controles visibles, sino en lograr que la seguridad sea proporcional al riesgo, dinámica y casi invisible para el usuario habitual.

La combinación de gestión de identidad, análisis de comportamiento y autenticación continua permite que el sistema detecte amenazas sin convertir cada transacción digital en un obstáculo, protegiendo tanto al cliente como al negocio en una era donde la identidad digital se ha convertido en el principal objetivo de los ciberdelincuentes.