La IA ha cambiado las reglas del fraude: es hora de replantearse la identidad digital
AI has reduced the cost of executing fraud attacks against knowledge-based authentication — passwords, PIN codes, SMS OTPs — to near zero. Voice cloning, real-time phishing relay kits, and deepfake document generation are now production-grade tools available to any attacker. The only authentication controls with structural resilience against AI-enabled attacks are possession-based: something the user physically holds, verified at the device or network layer, with no credential that can be stolen, replicated, or socially engineered.
La escala y sofisticación de estos ataques están creciendo mucho más allá de lo que las defensas tradicionales -o la intuición humana- pueden manejar. Por eso las organizaciones están empezando a recurrir a formas de seguridad más sólidas, basadas en la posesión, que eliminan al ser humano de la ecuación del fraude.
La IA está rompiendo los modelos tradicionales de fraude e identidad
Con el auge del fraude basado en la IA, los modelos tradicionales de defensa de la identidad y el fraude en línea ya no funcionan. La IA cambia por completo el juego, introduciendo nuevas vulnerabilidades y superficies de ataque:
- Evita la autenticación heredadan - KYC, Factores de conocimiento, Voz, Vídeo
- Multiplica el volumen de ataque - ahora cualquiera puede utilizar herramientas de IA para ser un hacker
- Nuevo riesgo de fraude agentico - ¿cómo podemos confiar en los agentes de la IA?
Este post describe cómo la nueva tecnología del factor de posesión móvil puede resolver todos estos problemas y convertirse en un elemento clave de la seguridad moderna que es vital para proteger contra los ataques actuales y futuros impulsados por la IA.
El móvil como principal superficie de ataque
Ya hoy, más de 80% de los ataques de phishing se dirigen ahora a dispositivos móviles.
El mundo se está volviendo móvil, y el teléfono móvil se está convirtiendo en el principal ordenador (ya más de 60% del tráfico de Internet procede de dispositivos móviles). Más que un ordenador, el móvil se está convirtiendo en tu identidad. Ya usamos el móvil para pagar en vez de la tarjeta de crédito; ya no se llama a la centralita de una empresa o a un número de casa, se llama a la persona. Nuestros billetes de viaje están en la cartera del móvil. Pronto lo estarán también nuestros permisos de conducir y otros documentos de identidad. Y cuando empecemos a adoptar el comercio basado en agentes, muchos de los agentes y las transacciones se ejecutarán en nuestro teléfono.
Estos cambios hacen cada vez más vital que confiemos plenamente en el dispositivo móvil y que exista una cadena de confianza entre el propietario, su cuenta en línea y el dispositivo que tiene en la mano.
En este nuevo mundo de IA, los modelos tradicionales de identidad en línea que utilizan correo electrónico, contraseña, códigos PIN SMS para verificar el número de móvil y la propiedad del dispositivo ya no sirven. Se necesita urgentemente un nuevo enfoque.
Solución 1 - Los conocimientos y la biometría están comprometidos - pase a la seguridad basada en el factor posesión
Las contraseñas pueden ser adivinadas, robadas o suplantadas. Los documentos pueden falsificarse e incluso los datos biométricos. Las preguntas basadas en el conocimiento se eluden fácilmente cuando los delincuentes pueden extraer datos personales de datos violados o de las redes sociales.
El triángulo mágico de factores se basa en:
- Conocimientos – passwords, PIN codes, passkeys*
- Biometría - cara, voz, huella dactilar
- Posesión – physical documents, mobile device, SIM card, security dongle
*Mainstream passkeys (Google, Apple, Microsoft) sync via the cloud and are not tied to a specific device — making them closer to a knowledge factor in practice. See the FAQ below.
La IA ya ha comprometido los factores de conocimiento, los factores biométricos y los documentos físicos.
Lo que queda son factores de posesión digitales seguros: el único factor con verdadera resistencia contra los ataques de IA son los factores de posesión digitales cifrados, algo que el usuario tiene físicamente en la mano, como su teléfono móvil.
Solución 2 - Eliminar el riesgo de "humanos en el bucle"
Ahora que la IA proporciona herramientas potentes y fáciles de usar, cualquiera puede ser un hacker, lo que significa muchos más ataques. Frente a esto, es vital protegerse contra las vulnerabilidades más grandes y más fáciles de atacar, que son las personas. Somos el eslabón débil.
La mayoría de las defensas actuales se basan en la parte humana del modelo de seguridad: tenemos que hacer lo correcto para garantizar que no se produzcan fraudes: detectar el correo electrónico sospechoso, teclear el código SMS, verificar la voz de la persona que llama, no compartir el código PIN o hacer clic en el enlace equivocado. Pero los humanos somos falibles, y cuando el contenido generado por IA parece y suena real, incluso los usuarios más avispados pueden ser engañados. Confiar en los usuarios para detectar el fraude ya no es viable. Tenemos que eliminar al ser humano de la cadena de seguridad.
La mejor defensa contra el fraude inducido por la IA es autenticar a los usuarios basándose en algo que posean físicamente y no puedan revelar sin saberlo. Ahí es donde incrustado seguridad del factor de posesión móvil entra.
Ya está disponible una nueva tecnología que permite verificar de forma segura y silenciosa la tarjeta SIM del dispositivo móvil. Esta comprobación se realiza directamente con la red móvil a través de una conexión segura y cifrada, en tiempo real. El usuario no interviene. Proporciona una prueba de posesión sólida y resistente al phishing.
- Universal: Todo el mundo tiene un teléfono móvil. Cada teléfono lleva incorporado algo criptográficamente seguro: la tarjeta SIM.
- Invisible: Los usuarios no tienen que hacer nada, lo que elimina el riesgo de suplantación de identidad o de errores.
- Determinista: Una verificación Sí/No en tiempo real, directamente desde la red móvil. Sin conjeturas.
Al anclar la autenticación a un factor de posesión que la IA no puede falsificar, las empresas pueden eliminar el riesgo de que haya un humano en el bucle y bloquear el fraude antes de que se produzca.
Solución 3 - Ampliar una cadena de confianza segura para incluir agentes + móviles
El comercio agenético se está creando y desplegando a un ritmo sencillamente increíble. Visa, MasterCard, Stripe, OpenAI y otros han lanzado soluciones de comercio agenético. Aunque las perspectivas son muy emocionantes, esto también conlleva toda una oleada de nuevos riesgos.
El comercio agenético -en el que agentes de IA realizan compras o toman decisiones financieras en nombre de los usuarios- introduce nuevos riesgos de fraude porque resulta más difícil demostrar quién está realmente detrás de cada transacción. Sin vínculos de identidad sólidos, los actores maliciosos o los sistemas de fraude impulsados por IA pueden suplantar a los usuarios, secuestrar las sesiones de los agentes o inyectar identidades falsas en la red. Al establecer una cadena de confianza segura que conecta la identidad digital verificada del usuario con su tarjeta SIM física y su dispositivo móvil y, en última instancia, con la aplicación del agente, cada acción puede vincularse criptográficamente a una persona real y autorizada, lo que reduce significativamente el riesgo de suplantación, apropiación de cuentas y fraude de identidad sintética.
La seguridad del factor móvil de posesión es una base fundamental para la confianza en este nuevo mundo impulsado por la IA
El cambio de la seguridad basada en el conocimiento a la basada en la posesión no es solo una actualización técnica, es una necesidad estratégica en la era del fraude por IA. Los bancos, los proveedores de pagos, las plataformas de comercio electrónico y todas las grandes empresas necesitan actualizar y modernizar sus modelos de autenticación ahora, para estar preparados para el inevitable ataque de IA que sin duda llegará, y antes de lo que piensas.
La seguridad móvil basada en el factor de posesión ofrece un camino a seguir: una protección más sólida, una experiencia de usuario sin fisuras y una prevención del fraude que se amplía tan rápido como las amenazas.
Más información IDlayr ayuda a las empresas a combatir el fraude con IA.
AI has made phishing, voice scams, and identity fraud faster, cheaper, and more convincing. Phishing volumes increased 400% in early 2025 (Gen Digital Q1 Threat Report). Over half of fraud cases now involve some form of AI (Feedzai). Voice cloning takes 30 seconds of audio. Deepfakes can bypass live-selfie KYC. The marginal cost of a sophisticated attack has fallen to near zero.
SMS OTP relies on a human correctly identifying a legitimate authentication request and entering the code only on the real site. AI can now deliver pitch-perfect fake callers, in any language, 24 hours a day, to socially engineer victims into providing the OTP code. AI-powered phishing relay attacks automate the interception in real time — the attacker’s server forwards credentials to the real site, the OTP is sent, the user enters it on the fake site, and the attacker forwards it before it expires. The entire flow takes under 90 seconds.
Phishing-resistant authentication is any mechanism that does not rely on the user transmitting a secret. SNA is phishing-resistant because there is no code for the user to read or enter — the check happens server-side, between the enterprise and the mobile network operator.
Possession-based authentication requires physical access to a specific device or SIM card. AI can replicate knowledge (passwords, OTPs, security questions) and biometrics (faces, voices, documents) at scale. It cannot physically possess someone’s SIM card or device. That structural distinction is what makes possession-based controls resilient as knowledge-based controls degrade.
Knowledge-based authentication (passwords, PINs, OTPs, security questions) relies on information the user knows — information that can be stolen, guessed, phished, or replicated. Possession-based authentication relies on something the user physically holds: a specific SIM card or device. AI can break knowledge factors at scale. It cannot replicate physical possession.
The most effective response is to remove human-mediated steps from authentication and replace them with possession-based controls. Silent Network Authentication verifies mobile identity at the network layer without any user action — there is nothing for an AI-powered attack to phish or intercept.
A SIM-based possession factor uses the cryptographic relationship between a SIM card and a mobile network to verify a user’s identity. The SIM is physically present in the user’s device and cryptographically bound to the mobile network — a binding running silently for 5 billion users since the 1990s. Silent Network Authentication exposes this as an API.
SNA makes no request of the user. There is no credential to phish, no code to intercept, no voice to clone, no document to fake. The check is a silent API call between the business and the mobile network operator. An AI-powered attack has no surface to operate against because there is no human-mediated step to exploit.
Passkeys replace passwords (a knowledge factor at the app layer). SNA verifies the physical SIM card in your device directly with the mobile network — a true, carrier-verified possession factor. They are not competing technologies; they protect different stages of the user lifecycle.
Mainstream passkeys — as deployed by Google, Apple, and Microsoft — sync across your devices via the cloud, which means they are not tied to any specific physical device. That makes them closer to a very long, very strong password stored in a password manager: a knowledge factor, not a true possession factor. A device-bound passkey (stored only on one piece of hardware and never backed up) is a genuine possession factor — but that is not how most consumer passkeys work today.
No. Passkeys replace passwords; SNA replaces SMS OTP. They operate at different stages of the user journey and neither does the other’s job.
Three specific problems arise in any passkey deployment — and SNA resolves each one. First, initial device trust: SNA verifies the SIM belongs to the legitimate user before the passkey is issued, blocking attackers from registering fraudulent passkeys. Second, SCA compliance for banks: synced passkeys cannot prove the user held a specific device at authentication time, creating a PSD2 possession-factor ambiguity that SNA’s carrier-level verification resolves. Third, secure recovery: when a user loses their device, SNA re-establishes trust on the new device without an SMS OTP fallback.
English 
Spanish 
Italian