La MFA resuelve un problema distinto
La autenticación multifactor se construyó para responder a una pregunta: ¿quien está iniciando sesión también tiene acceso a un segundo factor —un teléfono, una app autenticadora, una llave hardware?—. Eso es valioso para la seguridad de la cuenta. No dice nada sobre si la instrucción concreta que alguien acaba de enviar es genuinamente suya, frente a una cuenta que ha sido comprometida pese a tener MFA activada.
La MFA puede evitarse
El SIM-swap, en el que un atacante convence a un operador para transferir un número de teléfono a otro dispositivo, derrota directamente la MFA por SMS. Las páginas de phishing que retransmiten un código de un solo uso en tiempo real derrotan también la MFA por app. Ninguna de estas técnicas es exótica; ambas son técnicas de ataque bien establecidas y documentadas, lo que significa que "exigimos MFA" no es la protección hermética que puede sonar.
La brecha que deja la MFA en una operación de transferencia
Incluso con MFA plenamente aplicada, la pregunta de fondo en el fraude en transferencias no cambia: ¿la parte que está dando estas instrucciones es realmente quien dice ser? La MFA confirma el acceso a un dispositivo o a una cuenta. No confirma la identidad de un ser humano al otro lado de una operación, que es precisamente lo que importa cuando el dinero está a punto de moverse.
Qué añade la verificación biométrica
Un control biométrico —cotejar un rostro en vivo con una identidad reclamada— cierra una brecha distinta que la MFA. No importa que una cuenta esté comprometida ni que se haya interceptado un código, si la persona real que completa la verificación tiene que coincidir físicamente con quien dice ser. Esa es una comprobación que el phishing y el SIM-swap simplemente no derrotan. Esa verificación, junto con cada otra comprobación del proceso, se escribe en una blockchain privada, así ni siquiera el registro de quién fue verificado puede alterarse en silencio después.
Por capas, no una u otra
Esto no es un argumento contra la MFA: es un argumento a favor de añadir una capa que la MFA nunca fue diseñada para dar. La seguridad de cuentas y la verificación de identidad resuelven problemas distintos, y un proceso de verificación de transferencias que solo se apoya en uno de ellos se está perdiendo el otro.
- ¿No es la MFA ya suficiente seguridad para las operaciones financieras?
- La MFA es valiosa, pero verifica el acceso a un dispositivo o cuenta, no la identidad de la persona detrás de una operación concreta. Son garantías distintas.
- ¿Cómo resiste al phishing la verificación biométrica?
- Una coincidencia biométrica exige la presencia física real de la persona a verificar, algo que un código phishado o un SMS interceptado no pueden replicar.