El 'Fotograma Delator': Detenido en Murcia por Suplantación Biométrica con IA en Tiempo Real

🔍 Resumen Ejecutivo

La Policía Nacional ha detenido en Molina de Segura (Murcia) a un ciberdelincuente de 35 años acusado de utilizar Inteligencia Artificial (IA) y filtros de deepfake en tiempo real para suplantar la identidad de sus víctimas durante videollamadas de verificación obligatorias ante Autoridades de Certificación.

El objetivo del detenido era obtener certificados electrónicos de firma digital legítimos a nombre de terceros. Con ellos, abría cuentas bancarias fraudulentas, solicitaba créditos e inscribía líneas móviles.

A pesar de la complejidad del ataque —que incluía el uso de DNIs falsificados y un sistema casero de luces LED de colores para simular los hologramas del documento—, el sospechoso fue delatado por un fallo de latencia de apenas un segundo en el stream de vídeo que hizo caer la “máscara digital” y grabó su cara real en los servidores de verificación.

🌐 Contexto

En el marco de la normativa europea eIDAS y los procesos de transformación digital, los Prestadores de Servicios de Confianza (PSC) permiten la obtención de certificados de firma electrónica mediante procesos de videoverificación remota.

Hasta la fecha, las amenazas habituales sobre la identidad digital abarcaban el phishing, el SIM swapping o el robo de credenciales mediante stealers. Sin embargo, el caso de Murcia marca un punto de inflexión hacia la suplantación biométrica dinámica en directo, donde las herramientas generativas de IA se convierten en un medio directo para eludir controles de identidad oficial.

⚠️ Qué ha ocurrido

1. Selección de Víctimas y Falsificación de Documentos: El atacante obtuvo copias de documentos de identidad reales de más de 30 ciudadanos. Imprimió DNIs falsificados alterando las imágenes y preparó un modelo de IA de intercambio facial (Live Deepfake Swap).
2. Engaño a la Videoverificación: Durante la videollamada requerida para emitir la firma digital, el software procesaba la cámara web del delincuente y superponía el rostro de la víctima en tiempo real, adaptando parpadeos y movimientos labiales.
3. Bypass del Control Holográfico: Para superar el test de Liveness Detection (donde la certificadora exige mover e inclinar el DNI), montó una estructura con focos de colores que encendía dinámicamente para simular el brillo iridiscente de los hologramas de seguridad.
4. El Fotograma Delator: Durante un intento de verificación, una bajada brusca de velocidad o saturación de la GPU provocó una desincronización de 1 segundo en el renderizado. La máscara de IA desapareció momentáneamente y la cámara registró el rostro real del sospechoso, permitiendo al Grupo de Delitos Tecnológicos de la Policía Nacional aplicar reconocimiento facial y proceder a su localización y arresto tras 38 intentos identificados.

🛠️ Autopsia Técnica del Vector de Ataque

[Cámara Web / OBS Virtual Cam]
               │
               ▼
[Modelo IA Deepfake Real-Time] ───► Superposición facial sobre DNI
               │
               ▼
[Iluminación LED de Colores]   ───► Simulación de Hologramas en directo
               │
               ▼
[Stream de Videoverificación] ───► Glitch de 1s (Caída de Frame / GPU)
               │
               ▼
[Grabación del Rostro Real ───► Identificación y Detención Policial]

🛡️ Guía Práctica de Protección y Prevención

A. Para la Ciudadanía (Prevención de Usurpación)

• Aplica Marcas de Agua en tus DNIs: Si debes enviar una copia digital de tu DNI para algún trámite, añade un texto cruzado e indeleble: “Copia para uso exclusivo en Empresa X el 12/08/2026 - No válida para videoverificación”.
• Oculta Datos Sensibles: Tapa la firma manuscrita y el código de soporte si el trámite no lo requiere expresamente.
• Comprueba tus Riesgos en CIRBE: Revisa periódicamente el informe de riesgos del Banco de España para asegurar que no existen cuentas ni créditos abiertos a tu nombre.
• Revocación Inmediata: En caso de pérdida de documento o sospecha de fraude, denuncia ante la Policía Nacional y solicita la revocación de certificados digitales en las plataformas oficiales de la FNMT.

B. Para Empresas, Bancos y Prestadores de Identificación

• Bloqueo de Cámaras Virtuales: Implementar validación en cliente que prohíba el flujo de vídeo a través de controladores virtuales (OBS Virtual Cam, ManyCam, vMix), exigiendo drivers de hardware nativos (DirectShow / V4L2 hardware-only).
• Desafíos Biométricos Impredecibles (Active Liveness): Solicitar acciones físicas que rompan la malla de profundidad 3D de la IA, como pasar la mano por delante del rostro o verificar cambios espectrales en la piel ante parpadeos de luz en pantalla.
• Análisis de Frecuencia y Micro-Artefactos: Incorporar motores de inspección de vídeo que evalúen la consistencia corneal, el flujo óptico de la piel y patrones de compresión por GPU.

💡 Conclusión

El caso registrado en Murcia pone de manifiesto que los sistemas de seguridad basados en la inspección visual remota pasiva deben evolucionar urgentemente. La Inteligencia Artificial exige pasar de la verificación biométrica estática a controles dinámicos de hardware y desafíos activos en tiempo real para preservar la confianza en el ecosistema digital.