DEF CON 34: muestran cómo se pueden hackear los controles biométricos de bancos y fintech de América Latina
Todos pasamos alguna vez por este proceso: mirar a la cámara, mover la cabeza y seguir las instrucciones que aparecen en la pantalla. En pocos segundos, una aplicación bancaria o financiera determina que detrás del teléfono hay una persona real y que su rostro coincide con el del titular de la cuenta. Y ese procedimiento transmite una sensación de seguridad: una contraseña puede robarse, pero una cara parecería mucho más difícil de falsificar.
Sin embargo, dos equipos de investigadores de Argentina y Ecuador mostraron durante la conferencia de hackers DEF CON, en Las Vegas, que muchos de esos controles pueden ser manipulados desde el propio teléfono. En sus pruebas lograron introducir imágenes y videos preparados dentro del proceso de verificación, superar pruebas de vida y engañar sistemas diseñados para detectar deepfakes.
Lo que ambas charlas permitieron advertir es que el problema más grave aparece cuando una aplicación confía casi por completo en lo que le entrega el teléfono del usuario: que la cámara está mostrando una imagen en vivo, que el video no fue alterado y que el dispositivo no fue manipulado.
“Es muy difícil verificar que los datos obtenidos no hayan sido modificados cuando el atacante tiene control total de la aplicación y del teléfono donde vive”, explicó a Clarín Dan Borgogno, investigador argentino de la empresa de ciberseguridad Faraday.
Acá, los investigadores de ambos equipos, que dieron dos charlas entre el viernes y el sábado en una de las conferencias de ciberseguridad más grandes del mundo, explican cómo se puede engañar a estos sistemas y qué se podría hacer para hacerlos más seguros.
Borgogno presentó junto con Javier Bernardo, de Strike Security, la investigación The Glass Perimeter: Systematic Bypasses in Biometric Frameworks and the Rise of Synthetic Identity. Durante más de seis meses analizaron algunos de los principales sistemas biométricos utilizados por bancos y grandes proveedores tecnológicos.
