El sector ha hecho un trabajo enorme blindando la puerta de entrada. Bancos, fintech y aseguradoras verifican quién abre una cuenta con comprobación documental, biometría facial y detección de vida. Y, sin embargo, el fraude sigue evolucionando, porque no se quedó en la puerta. Puede aparecer en cualquier momento de la relación digital: cuando esa persona vuelve a acceder, cambia sus datos o realiza un pago.
Ese es el hueco que cubre la autenticación continua. En lugar de confirmar la identidad una sola vez y dar la pregunta por cerrada, sigue comprobando, con contexto y en segundo plano, si quien actúa ahora sigue siendo la persona que se verificó el primer día.
¿Qué es la autenticación continua?
La autenticación continua consiste en verificar la identidad del usuario durante toda la sesión digital y a lo largo de toda la relación con el cliente, no solo en el inicio de sesión o en el onboarding. Analiza señales como el dispositivo, la red, la ubicación o la forma en que el usuario interactúa, y las compara con su patrón habitual. Mientras todo encaja, el usuario no nota nada. Cuando algo no encaja, el sistema puede pedir una comprobación adicional en ese mismo momento.
No es lo mismo que el KYC perpetuo (pKYC), aunque comparten lógica. El pKYC mantiene actualizado el perfil del cliente y su nivel de riesgo a lo largo del tiempo. La autenticación continua protege cada interacción en tiempo real. Juntos sustituyen la idea de la identidad como un evento puntual.
Por qué la autenticación puntual ya no es suficiente
Cuando se pregunta a un equipo de fraude qué pasa después del onboarding, la respuesta suele ser incómoda. Los datos existen. El acceso está registrado, el cambio de email está registrado, la transferencia está registrada. Pero viven en tres sistemas distintos, gestionados por tres equipos distintos, y nadie los lee juntos.
Cada uno de esos sistemas hace bien su trabajo. El de accesos ve un acceso correcto. El de datos ve un cambio de email legítimo. El de pagos ve una transferencia dentro de límites. Cada acción parece normal por separado. Leídas juntas, sobre la misma identidad y en un intervalo breve, cuentan una historia muy distinta.
Por eso decimos que el déficit no es de datos, es de continuidad. Casi nunca falta información. Lo que falta es la capacidad de relacionar las señales y entender qué significan en el contexto de una misma identidad. Por eso también son tan eficaces los ataques con credenciales válidas: en el inicio de sesión, todo parece correcto.
De un control puntual a una historia continua: el enfoque de identidad continua
Durante años, la identidad respondió a dos preguntas: quién es esta persona y si es quien dice ser. Pero la confianza no se construye únicamente en ese primer momento. En la vida real seguimos preguntando: ¿sigue siendo quien dijo ser? ¿Esto que hace ahora encaja con lo que hace normalmente?
Esa es la idea sobre la que se construye la visión de Facephi: la identidad ya no es un control puntual, es una historia continua construida con contexto. La identidad pasa a ser el elemento que relaciona las distintas señales y permite entender mejor el riesgo. La forma más clara de verlo es seguir a una usuaria a lo largo del tiempo.
Día 1: el onboarding abre la identidad
Una usuaria abre una cuenta en un banco. Un flujo guiado la ayuda a capturar su documento y su selfie correctamente: detecta en tiempo real cuándo una imagen puede no ser válida y le indica cómo corregirla. Para ella, la experiencia es fluida. Para el banco, es el primer paso para establecer una identidad verificada y generar las evidencias que acompañarán su historia.
Es también donde más ha cambiado la amenaza. Ya no se trata solo de un documento falso en un mostrador, sino de deepfakes y de ataques de inyección, en los que un vídeo sintético ni siquiera pasa por la cámara y se inyecta directamente en el flujo. Proteger este primer momento exige detección de vida y defensas específicas frente a la inyección. Pero el onboarding no cierra la identidad. La abre.
Mes 3: contexto acumulado
Tres meses después, la misma usuaria abre la aplicación y hace una transferencia. Desde el primer segundo, la sesión genera señales que amplían el contexto sobre su identidad. Cada capa responde a una pregunta distinta sobre la misma persona:
- ¿Es quien dice ser, aquí y ahora? La verificación de identidad no tiene por qué limitarse al onboarding. Si el contexto lo requiere, se puede volver a comprobar.
- ¿Podemos confiar en esta interacción? La inteligencia de comportamiento lee la sesión en continuo: dispositivo, red y contexto, comparados con su patrón habitual.
- ¿Qué es esta cuenta y representa riesgo? El riesgo de cuenta mira más allá de una operación: la antigüedad, los beneficiarios y el papel que puede estar jugando dentro de una red de cuentas.
- ¿Y este pago? La monitorización de transacciones y AML lee el importe, el corredor y las partes como parte de esa misma red, no como un movimiento aislado.
Dos indicadores ayudan a leer esta historia. Uno es cuánto riesgo representa la identidad ahora mismo. El otro es la madurez del perfil, es decir, cuánto la conocemos. Una cuenta con tres años de historial y otra abierta ayer pueden mostrar el mismo riesgo bajo, pero la confianza detrás de cada valoración es muy distinta. Poco historial no es sospecha. Es desconocimiento legítimo, y merece tratarse como tal.
El jueves que no encaja
Un jueves cualquiera, alguien entra con las credenciales de la usuaria desde otro dispositivo, cambia el email de contacto y añade un beneficiario nuevo. En un stack fragmentado, son tres eventos normales en tres sistemas.
La autenticación continua cambia la pregunta. No mira tres eventos: lee una secuencia sobre la misma identidad. El dispositivo, la red y el contexto muestran anomalías durante la sesión, y la actividad de la cuenta añade nuevas relaciones. En ese momento, la única pregunta que importa es: ¿sigues siendo tú?
La respuesta no tiene por qué ser bloquear. Puede ser proporcional al riesgo: un reto dinámico, como una verificación facial con liveness pasivo, en ese momento de la interacción. Si la comprobación es satisfactoria, la entidad puede permitir que la operación continúe. Si no lo es, puede aplicar medidas adicionales o interrumpirla, según sus propias políticas y su apetito de riesgo. Bloquear a un cliente legítimo cuesta dinero y cuesta relación. La mejor experiencia antifraude es la que el cliente legítimo no percibe.
Semanas después: evidencias que se pueden explicar
No basta con decidir bien; hay que poder demostrarlo. Semanas después de aquel jueves, el equipo de fraude necesita revisar lo ocurrido: qué decisión se tomó, por qué, con qué información y con qué evidencias. Un perfil de identidad completo reúne la actividad, las interacciones y las operaciones de esa identidad, y cada verificación queda respaldada por un registro de auditoría firmado. Esa trazabilidad es lo que convierte un modelo en algo que un auditor o un regulador puede seguir.
Las señales detrás de la autenticación continua
La autenticación continua funciona porque la mayoría de sus señales se recogen de forma pasiva, sin pedir nada al usuario:
- Señales de dispositivo y red: características del dispositivo y del navegador, riesgo de la IP, ubicación y cambios respecto a sesiones anteriores.
- Biometría del comportamiento: ritmo de tecleo, patrones de navegación y otros microcomportamientos tan personales como una huella dactilar. La biometría del comportamiento detecta cambios sutiles que pueden indicar una suplantación, sin añadir fricción.
- Biometría facial con liveness pasivo: cuando hace falta una comprobación adicional, al usuario solo se le pide mirar a la cámara. El liveness pasivo confirma que hay una persona real presente, sin pedir movimientos específicos.
- Secuencia y contexto: el orden y el momento de las acciones sobre una misma identidad, que es donde las señales aisladas cobran sentido. Es el núcleo de la defensa contextualizada.
Autenticación continua y regulación en Estados Unidos y Canadá
No existe una norma única que obligue a la autenticación continua, pero los reguladores de Norteamérica van en la misma dirección: la identidad y el riesgo deben gestionarse durante toda la relación, no solo al principio.
- Estados Unidos, NIST: la guía NIST SP 800-63B-4, publicada en julio de 2025, fija límites de reautenticación por nivel de garantía (en AAL2, un tiempo máximo de sesión de 24 horas y una inactividad máxima de una hora) e incluye orientaciones sobre la monitorización de la sesión para detectar fraude durante una sesión activa.
- Estados Unidos, FinCEN: la Customer Due Diligence Rule exige a las entidades financieras un seguimiento continuo y mantener actualizada la información del cliente en función del riesgo.
- Canadá, FINTRAC: conforme a la PCMLTFA, las entidades obligadas deben realizar un seguimiento continuo de sus relaciones de negocio, con una frecuencia basada en el riesgo de cada cliente, y conservar registro de las medidas aplicadas.
La autenticación continua no sustituye estas obligaciones, pero les aporta lo que los controles puntuales no tienen: señales actualizadas, una visión coherente de cada identidad y las evidencias para justificar cada decisión.
Hacia una identidad continua con Facephi
Facephi Intelligence Platform se construye sobre esta idea: situar la identidad en el centro y conectar verificación, sesión, cuenta y transacción para entender el riesgo a lo largo de todo el ciclo de vida de la identidad. La verificación de identidad y la inteligencia de comportamiento están disponibles hoy, y el riesgo de cuenta y la monitorización de transacciones AML forman parte de la evolución de la plataforma. Funciona con el stack actual de cada entidad, y la decisión final es siempre de la entidad, según sus propias reglas.
Toda identidad tiene una historia. La pregunta no es si tu plataforma la tiene, sino si hoy puedes leerla entera o solo el primer capítulo. El onboarding es el día uno. El fraude puede ocurrir cualquier otro día.
Facephi presenta esta visión en Tech Frontiers of the New Era: La Identidad Continua y el Fraude reimaginados, un evento on demand que se estrena el 18 de noviembre. Si quieres ver cómo encajaría la autenticación continua en tu organización, contacta con nuestro equipo.
Preguntas frequentes
El pKYC (Perpetual Know Your Customer) es un enfoque que sustituye la verificación puntual de identidad por una supervisión continua del perfil del cliente, garantizando la seguridad, el cumplimiento normativo y la prevención de riesgos en tiempo real.
A diferencia de los procesos tradicionales de KYC, que se actualizan de forma periódica, el pKYC ofrece una monitorización constante del perfil del cliente, permitiendo identificar de forma instantánea cualquier cambio relevante o comportamiento sospechoso.
Las normativas de KYC, AML y GDPR están en constante evolución, y el pKYC asegura una adecuación continua a estas regulaciones, además de permitir la evaluación de riesgos en tiempo real, la verificación durante toda la relación con el cliente y una mayor eficiencia operativa.
Facephi combina inteligencia artificial, biometría del comportamiento y análisis en tiempo real, incluyendo el análisis de microcomportamientos como la forma de teclear o los patrones de navegación, para detectar cambios sutiles que podrían indicar fraude.
El liveness pasivo es una tecnología que detecta automáticamente si una persona está presente durante la autenticación, sin necesidad de realizar movimientos específicos. Junto a los algoritmos biométricos avanzados, permite validar identidades de forma continua, natural y segura.
Entre sus beneficios están la protección constante contra fraudes y suplantaciones de identidad, la adaptación automática a nuevas regulaciones, la reducción de costes operativos, la mejora de la experiencia de usuario y una mayor confianza de los clientes.
El pKYC es especialmente relevante en sectores como la banca, los seguros, la salud y las fintech, donde la verificación continua de la identidad resulta esencial para prevenir el fraude y cumplir con la normativa vigente.
Al automatizar los procesos de verificación y la actualización de datos, el pKYC reduce la carga operativa y los costes asociados a la verificación manual y las auditorías periódicas, permitiendo que los equipos de cumplimiento se centren en los casos más críticos.
La autenticación continua comprueba la identidad del usuario durante toda la sesión digital, no solo al iniciarla. Analiza señales como el dispositivo, la red, la ubicación o el comportamiento y las compara con su patrón habitual. Si algo no encaja, puede pedir una verificación adicional, como una comprobación facial, en ese momento.
La autenticación continua protege cada sesión en tiempo real. El pKYC mantiene actualizado el perfil del cliente y su nivel de riesgo durante toda la relación, sin esperar a revisiones periódicas. Se complementan: una confirma quién actúa ahora y el otro, que lo que sabes del cliente sigue siendo válido.
No, cuando se basa en el riesgo. La mayoría de las señales se recogen de forma pasiva y el usuario legítimo no nota nada. Los pasos adicionales solo aparecen cuando el riesgo lo justifica, y la respuesta es proporcional: permitir, retar o bloquear, según las políticas de cada entidad.
En un ATO el atacante usa credenciales válidas, así que el acceso parece legítimo. La autenticación continua detecta la secuencia posterior: un dispositivo nuevo, un cambio de email, un beneficiario nuevo. Por separado, cada evento parece normal. Leídos sobre la misma identidad, muestran el riesgo antes de que se mueva el dinero.
Significa que la identidad ya no es un control puntual, sino una historia continua construida con contexto. El onboarding es el día uno, y cada interacción posterior aporta señales y evidencias a esa identidad, de forma que cada decisión se puede explicar y auditar.
