El nou robatori d’identitat no consisteix a suplantar-te: consisteix a construir-te un nou «jo»

Un ciberdelinqüent detingut a Múrcia va fer servir intel·ligència artificial per modificar-se la cara en temps real i fer-se passar pels titulars de més de 30 DNI falsificats, en un salt del frau tradicional cap a la creació d’identitats digitals completes.

La Policia Nacional ha detingut a Múrcia un delinqüent que feia servir intel·ligència artificial per modificar el seu rostre en temps real durant les videotrucades de verificació i fer-se passar pels titulars de DNI falsificats.

El ciberdelinqüent no necessitava assemblar-se a la seva víctima. La intel·ligència artificial feia la feina per ell. Es col·locava davant de la càmera, mostrava un DNI falsificat i, durant la videotrucada de verificació, un sistema d’hipertrucatge modificava les seves faccions en temps real fins a convertir el seu rostre en el de la persona la identitat de la qual pretenia usurpar.

La tècnica va permetre al sospitós fer 38 intents de suplantació sobre més de 30 identitats reals, amb un objectiu especialment delicat: superar els controls d’una empresa encarregada d’expedir certificats electrònics i obtenir així firmes digitals autoritzades que posteriorment es podien utilitzar per cometre noves estafes.

El cas, investigat per agents de la Policia Nacional a Múrcia, mostra fins a quin punt la intel·ligència artificial transforma el frau d’identitat. Ja no es tracta únicament d’aconseguir un document fals o robar una contrasenya. L’atacant pot fabricar una identitat completa i presentar-la davant d’una càmera com si fos una persona real.

Una identitat falsa construïda peça a peça

Les actuacions van començar després que l’empresa detectés múltiples sol·licituds fraudulentes relacionades amb l’expedició de certificats electrònics.

El sospitós havia perfeccionat un procediment que combinava diverses capes d’engany. Feia servir DNI falsificats amb fotografies manipulades digitalment i, simultàniament, feia servir una eina d’hipertrucatge capaç d’alterar el seu rostre durant la videoconferència d’identificació.

Però el muntatge no s’acabava a la pantalla. Per reforçar l’aparença d’autenticitat dels documents, recorria a focus domèstics amb bombetes de diferents colors, col·locats estratègicament per reproduir els reflexos i llampades que produeixen les mesures de seguretat dels documents d’identitat quan s’observen sota determinades condicions de llum.

Davant la càmera, movia els documents falsificats per simular els seus hologrames i altres elements de seguretat. Alhora, feia servir xarxes VPN per ocultar l’origen de les seves connexions i havia construït una infraestructura complexa d’anonimització.

El resultat era una mena d’«identitat sintètica» en directe: un document fals, un rostre generat per la IA i una connexió preparada per dificultar la traçabilitat.

La decisió d’un segon que va desmuntar la farsa

L’operació va acabar fracassant per un detall tan petit com revelador. Durant un dels processos de videoidentificació, el programa encarregat de modificar les faccions va patir un retard momentani. Durant tot just un segon, la màscara digital va desaparèixer i a la pantalla va aparèixer el rostre real del sospitós.

Amb aquest instant n’hi va haver prou perquè els responsables de seguretat de l’entitat detectessin l’anomalia i proporcionessin als investigadors una pista decisiva. Les indagacions posteriors van permetre identificar i localitzar l’autor, que va ser detingut acusat d’un delicte continuat de falsedat documental en document oficial.

Durant el registre s’han intervingut un ordinador portàtil xifrat amb programari d’alt nivell, nombrosos telèfons mòbils, dispositius d’emmagatzematge i documentació relacionada amb l’activitat investigada.

320 línies telefòniques per construir l’anonimat

La sofisticació del muntatge també va quedar reflectida en la infraestructura utilitzada pel sospitós. Les investigacions sobre els correus electrònics i els mitjans de pagament van permetre identificar més de 320 línies telefòniques vinculades a 24 dispositius mòbils. La majoria d’aquestes línies haurien estat contractades fent servir identitats suplantades i adquirides a diferents punts de venda de Múrcia.

El delinqüent no només intentava convertir-se digitalment en una altra persona. També estava construint una xarxa d’identitats i comunicacions falses al voltant d’aquesta identitat digital.

Quan una trucada de vídeo deixa de demostrar qui està a l’altra banda

El cas de Múrcia ens avança un dels problemes que més preocupa les forces de seguretat i les empreses que fan servir sistemes d’identificació biomètrica: la càmera ja no es pot considerar per si sola una prova que una persona és qui diu que és.

L’Europol ha advertit que la intel·ligència artificial permet combinar clonació de veu, hipertrucatges de vídeo en directe i identitats sintètiques per facilitar noves modalitats de frau, extorsió i robatori d’identitat. A més, en un informe específic sobre biometria, l’agència europea assenyala que els hipertrucatges es poden fer servir per intentar eludir mecanismes d’autenticació facial.

El problema no és només teòric. El 2025, uns investigadors van vincular un grup nord-coreà amb campanyes en què feia servir vídeo i àudio generats mitjançant la IA per fer-se passar per executius durant trucades de Zoom i enganyar empleats perquè instal·lessin programari maliciós. L’objectiu era aprofitar la confiança generada durant una conversa aparentment normal per accedir a sistemes i provocar pèrdues econòmiques.

En un altre front, l’Europol ha documentat com les xarxes de frau estan incorporant hipertrucatges de personatges públics, polítics i celebritats per promocionar inversions falses i captar víctimes. En una operació internacional contra una xarxa de frau amb criptomonedes, l’agència europea va destacar precisament el paper dels anuncis manipulats mitjançant vídeos generats amb la IA per atraure inversors potencials.

La diferència amb el cas de Múrcia és especialment rellevant: aquí la IA no es feia servir per convèncer una víctima mitjançant un vídeo prèviament fabricat, sinó per superar un procés d’identificació en directe. I aquest salt canvia les regles del joc.

Del document fals a l’«humà fals»

Durant anys, els sistemes de seguretat han intentat respondre a una pregunta senzilla: el document és autèntic? Després va arribar una segona: la persona que el presenta coincideix amb la fotografia? Ara apareix una tercera, molt més difícil de respondre: la persona que veig és realment una persona o una representació generada per una màquina a temps real?

L’evolució és significativa perquè els delinqüents poden combinar diverses tècniques: dades personals robades, documents falsificats, fotografies manipulades, clonatge facial, clonatge de veu, hipertrucatges i dispositius o línies telefòniques contractats amb identitats alienes.

L’Europol adverteix que aquesta convergència tecnològica fa que el robatori de dades deixi de ser l’objectiu final per convertir-se en matèria primera d’identitats noves i fraus nous. L’organització criminal pot adquirir dades, construir perfils i fer-los servir posteriorment per suplantar una persona, obrir comptes, superar controls o accedir a serveis.

La paradoxa és que la mateixa tecnologia que permet reforçar la identificació també es pot utilitzar per atacar-la. A Múrcia, un error de tot just un segon en una màscara digital va acabar revelant la veritat. Però a mesura que aquestes eines millorin, la frontera entre una identitat real i una identitat fabricada per la IA serà cada cop més difícil de distingir a simple vista.