Canadá acaba de vivir su peor año de fraude registrado—y las identidades digitales detrás de esta ola se están volviendo lo bastante sofisticadas como para engañar no solo a las personas, sino cada vez más a los sistemas diseñados para verificarlas.
Un rostro falso ahora puede pasar por uno real ante la ley canadiense. Para los bancos e instituciones financieras de Canadá, esa realidad tiene implicaciones profundas.
Los canadienses reportaron más de $704 millones en pérdidas por fraude en 2025, según el Canadian Anti-Fraud Centre (CAFC), que estima que los casos reportados representan solo entre el 5% y el 10% de la actividad de fraude real. Desde 2022, las pérdidas reportadas por sí solas han superado los $2.4 mil millones, con el fraude de identidad entre los esquemas más frecuentemente reportados a nivel nacional.
Habiendo pasado casi cuatro décadas en tecnología bancaria y de servicios financieros—gran parte de ese tiempo como CIO dentro de instituciones financieras importantes—puedo afirmar con confianza que el panorama del fraude ha evolucionado de forma más dramática en los últimos dos años que en las dos décadas anteriores.
Este ya no es un mundo de contraseñas robadas y credenciales comprometidas.
La inteligencia artificial ha industrializado el fraude de identidad. Los actores maliciosos de hoy pueden generar identidades sintéticas capaces de pasar los procesos de incorporación de clientes, desplegar videos deepfake diseñados para burlar los controles de Know Your Customer (KYC), clonar voces con una precisión notable, y comprar kits de fraude como servicio que automatizan ataques sofisticados. Incluso la distribución se está automatizando. El CAFC ha vinculado el reciente aumento de estafas masivas por mensaje de texto con herramientas impulsadas por IA capaces de dirigirse a miles de dispositivos simultáneamente.
Lo que el Código Penal de Canadá reconoce ahora
El alcance de esta transformación puede verse en un lugar inesperado: el derecho penal de Canadá.
El mes pasado entró en vigor la Protecting Victims Act, que introduce nuevas protecciones contra los deepfakes sexuales no consensuados—una forma de explotación digital cada vez más dañina que afecta de manera desproporcionada a mujeres y menores. Para que esas protecciones sean aplicables, los legisladores tuvieron que reconocer una nueva realidad dentro del propio Código Penal: que una imagen generada por IA puede ser «susceptible de confundirse con una grabación visual de esa persona.»
Ese lenguaje fue redactado para proteger a las víctimas y respaldar los procesos judiciales. Sin embargo, también refleja una realidad tecnológica más amplia que enfrenta toda institución financiera.
Si una imagen fabricada es lo suficientemente convincente como para que la ley reconozca su potencial de confundirse con una persona real, también es lo suficientemente convincente como para desafiar los sistemas tradicionales de verificación de identidad.
Los reguladores se han dado cuenta.
Cada vez más se espera que las instituciones financieras canadienses demuestren no solo que los programas de cumplimiento existen, sino que son efectivos en la práctica. Los supervisores están poniendo mayor énfasis en controles que sean demostrablemente basados en riesgo, apropiadamente diseñados, y capaces de producir resultados medibles.
La documentación por sí sola ya no es suficiente. Las instituciones deben poder demostrar que sus controles funcionan.
Aquí es donde muchas organizaciones corren el riesgo de abordar el problema desde el ángulo equivocado.
Cuando los requisitos de cumplimiento se intensifican, el instinto suele ser agregar fricción: más formularios, más documentos de identidad, más pasos de verificación. Sin embargo, efectividad y fricción no son lo mismo.
En muchos casos, las identidades sintéticas están mejor preparadas para navegar procesos de incorporación rígidos que los clientes legítimos. Los obstáculos adicionales suelen generar frustración en los usuarios honestos mientras hacen poco por disuadir a los defraudadores sofisticados. En un mercado de servicios financieros cada vez más competitivo—particularmente uno que avanza hacia una mayor portabilidad de datos y open banking—los clientes que encuentran una fricción excesiva simplemente pueden llevarse su negocio a otra parte.
Verificación más inteligente
La respuesta no es más verificación visible. Es verificación más inteligente.
Las estrategias antifraude modernas dependen cada vez más de controles que operan de forma invisible en segundo plano mientras ofrecen mayor garantía. La detección avanzada de vida (liveness detection) puede identificar imágenes y videos manipulados sin interrumpir la experiencia del cliente. El análisis de comportamiento puede evaluar cómo se maneja un dispositivo, cómo se desarrolla una sesión, y si los patrones de actividad se alinean con el comportamiento de un usuario legítimo. El monitoreo continuo puede validar la confianza a lo largo de toda la relación con el cliente, en lugar de depender únicamente de los controles realizados al momento de abrir la cuenta.
Estas capacidades apuntan a las anomalías en lugar de obligar a cada cliente a demostrar quién es una y otra vez.
Las pérdidas récord por fraude reportadas en 2025 no fueron causadas por una falta de regulación. Fueron el resultado de controles diseñados para una era más lenta—controles construidos para describir quién era un cliente en un momento particular, mientras que el fraude moderno opera de forma dinámica y a la velocidad de las máquinas.
Los esquemas de fraude actuales pueden activar cuentas inactivas, mover fondos entre múltiples instituciones en cuestión de horas, y adaptarse más rápido de lo que los modelos de riesgo convencionales pueden responder.
Las instituciones financieras de Canadá ya no necesitan que se les convenza de que esta realidad existe. Lo que necesitan ahora es prueba—de que sus controles de identidad pueden distinguir la diferencia de manera confiable, y de que pueden demostrárselo a un regulador.
El Parlamento ya ha reconocido una realidad que muchos líderes de seguridad llevan años advirtiendo: una imagen fabricada puede confundirse con una persona real. Las implicaciones van mucho más allá de los tribunales. Para los bancos de Canadá, la próxima era de la prevención del fraude no se definirá por la verificación de documentos, sino por la verificación de la confianza misma.
He pasado casi cuatro décadas viendo a los bancos competir en velocidad, y después en conveniencia. El próximo campo de batalla es la confianza—demostrarla, no solo asumirla. Las instituciones que lo entiendan primero no solo evitarán pérdidas; ganarán clientes que ya no dan por sentado que algo está «verificado» solo porque lo parece.
