Abrir un producto, ingresar a una cuenta, recuperar una contraseña o cambiar de dispositivo son acciones que hoy pueden resolverse digitalmente. Esa facilidad también multiplica los momentos en los que una entidad necesita asegurarse de que quien interactúa es realmente quien dice ser.
El desafío no se limita al inicio de sesión. TransUnion señala que el fraude basado en identidad está ganando protagonismo y que, en América Latina, se observan altos volúmenes de actividad sospechosa en momentos como la creación y el acceso a cuentas. Además, el 41% de los adultos encuestados en la región declaró haber sido impactado por fraude digital entre agosto y diciembre de 2025.
En Colombia, la Ley 2573 de 2026 dio mayor urgencia a la discusión sobre identificación, validación y evidencia frente a posibles casos de suplantación. Pero el desafío es más amplio. Bancos, cooperativas y entidades de microfinanzas operan con modelos y canales distintos, pero comparten una misma necesidad: verificar identidades, autenticar usuarios, gestionar la confianza en los dispositivos y conservar evidencia de esas interacciones.
Para entender dónde pueden aparecer las principales brechas, en este blog revisamos cuatro momentos del ciclo de identidad digital que hoy requieren especial atención por parte de las entidades financieras.
Respuesta rápida
Proteger la identidad digital requiere mirar más allá del login. La autenticación, la recuperación de credenciales, la gestión de dispositivos y la trazabilidad forman parte del mismo proceso de confianza. Revisar estos puntos permite detectar exposiciones y fortalecer la respuesta frente a incidentes o reclamos.
Sumar una segunda validación puede fortalecer la autenticación, pero no necesariamente significa que los factores sean independientes.
En Perú, por ejemplo, la regulación de la SBS exige autenticación reforzada para determinadas operaciones digitales y establece que deben utilizarse al menos dos factores de categorías distintas e independientes entre sí. También contempla este nivel de autenticación para situaciones como la contratación digital de productos o servicios.
Para una entidad, no basta con definir en qué situaciones utilizar doble factor. También es importante revisar qué tan independientes son esos mecanismos y qué ocurre si uno de ellos se ve comprometido.
El nivel de control tampoco tiene por qué ser igual en todas las situaciones. Ingresar a una cuenta, agregar un beneficiario, modificar un tope o realizar una transferencia presentan riesgos diferentes y pueden requerir mecanismos de autenticación acordes con ese contexto.
Una experiencia puede tener un acceso robusto y presentar, al mismo tiempo, un punto más débil cuando el usuario necesita recuperar sus credenciales. OWASP identifica los procesos de recuperación de contraseña como una fuente habitual de vulnerabilidades y recomienda protegerlos frente a riesgos como la enumeración de usuarios, intentos automatizados y uso indebido de tokens o códigos de recuperación.
La preocupación ya aparece también en la regulación regional. En Costa Rica, SUGEF incluye expresamente la recuperación de credenciales entre las acciones de autogestión que requieren mecanismos reforzados de autenticación. En Colombia, la Superintendencia Financiera también exige aplicar mecanismos fuertes de autenticación en las operaciones con mayor exposición a fraude o suplantación.
Los canales utilizados también merecen revisión. NIST indica que el correo electrónico no debe utilizarse como mecanismo de autenticación out-of-band. Esto no significa que no pueda intervenir en otros momentos de un proceso de recuperación, sino que su función y el nivel de seguridad que aporta deben evaluarse de acuerdo con el flujo.
La recuperación de acceso debe ser tan segura como el acceso original. Un login robusto pierde valor si recuperar las credenciales resulta más fácil de vulnerar.
El dispositivo puede convertirse en una señal importante para reconocer al usuario y reducir fricción. Pero registrarlo como confiable es solo el comienzo.
Durante la relación con el cliente pueden ocurrir cambios de teléfono, pérdida o robo del equipo, reemplazos de SIM o situaciones en las que exista sospecha de compromiso. Cada uno de estos eventos puede modificar las condiciones sobre las que se construyó inicialmente la confianza.
NIST contempla la gestión de los mecanismos de autenticación durante todo su ciclo de vida: desde su vinculación inicial hasta escenarios de pérdida, robo o compromiso. Cuando uno de estos mecanismos deja de ser confiable, debe poder suspenderse o invalidarse, y la entidad necesita contar con un proceso para gestionar ese cambio.
La entidad necesita administrar la confianza del dispositivo durante todo su ciclo de vida: cómo se vincula, en qué situaciones debe revocarse y qué controles aplicar cuando el usuario cambia o reemplaza su equipo. Esto cobra todavía más importancia cuando ese mismo dispositivo participa en otros mecanismos de autenticación.
Cuando aparece una operación desconocida, una sospecha de suplantación o un reclamo, la entidad necesita poder reconstruir la interacción: qué mecanismos de autenticación intervinieron, qué dispositivo se utilizó, si hubo cambios recientes y qué información quedó registrada.
OWASP recomienda registrar y monitorear los eventos vinculados con la autenticación, incluidos fallos de acceso y bloqueos de cuentas, tanto para detectar posibles ataques como para facilitar el análisis posterior de incidentes.
En Colombia, además, la Ley 2573 refuerza la importancia de poder aportar la información y documentación utilizada en la aprobación de un producto o servicio ante posibles situaciones de suplantación.
Una experiencia segura no solo necesita tomar una decisión en el momento adecuado. También debe conservar información suficiente para reconstruir cómo se llegó a ella.
Esta capacidad no es útil solo para los equipos de seguridad. También puede ayudar a resolver reclamos, investigar incidentes, respaldar auditorías y dar mayor trazabilidad a los procesos internos.
Las validaciones de identidad pierden efectividad cuando funcionan de manera aislada. Una autenticación segura no resuelve un proceso de recuperación débil. La confianza de un dispositivo necesita poder revocarse y renovarse. Y una validación difícilmente se pueda respaldar si no queda evidencia suficiente para reconstruirla.
Aunque los puntos críticos cambian según el tipo de entidad y sus canales, el desafío de fondo es el mismo: verificar quién está del otro lado, autenticarlo de acuerdo con el riesgo de la interacción, gestionar la confianza a lo largo del tiempo y conservar evidencia del proceso.
Por eso, conviene gestionar la identidad digital como un ciclo que comienza con la identificación, un aspecto que abordamos en nuestro primer blog sobre la Ley 2573:
Identificar → Autenticar → Recuperar → Gestionar dispositivos → Conservar evidencia
Esta mirada también ayuda a evitar que cada nueva necesidad se resuelva agregando controles aislados que aumenten la complejidad para el usuario y para la propia operación.
Una arquitectura modular facilita la evolución progresiva de estas capacidades y su integración con los sistemas existentes.
Una arquitectura modular facilita la evolución progresiva de estas capacidades y su integración con los sistemas existentes. La plataforma digital de servicios financieros de iuvity permite conectar procesos de identidad, autenticación, autogestión y otros servicios sobre la infraestructura existente de la entidad. Con más de 400 APIs reutilizables, facilita esa integración y permite evolucionar capacidades sin sumar complejidad innecesaria.
Antes de incorporar nuevos controles, conviene entender cómo funcionan los procesos actuales.
Revisar los mecanismos de autenticación, los procesos de recuperación de credenciales y cambio de dispositivo, y la información disponible para reconstruir una interacción permite detectar brechas y establecer prioridades.
En Colombia, este análisis adquiere una urgencia adicional con la Ley 2573. iuvity acompaña a las entidades con una revisión contractual y análisis de brechas para identificar qué compromisos existen hoy en materia de identidad y autenticación, cómo están funcionando esos procesos y qué puntos necesitan fortalecerse. A partir de ese diagnóstico, se definen prioridades y una hoja de ruta de evolución.
El desafío, sin embargo, es más amplio que una regulación puntual. En una banca donde cada vez más interacciones suceden digitalmente, la confianza se construye durante toda la relación con el cliente y cada vez que la entidad necesita volver a validar quién está del otro lado.
Revisa los puntos críticos de identidad digital de tu entidad