Reforma biométrica CUB 2026: umbral de 90% y prueba de vida

Un cliente que nunca existió

Son las 2:14 a.m. Una solicitud de crédito entra por la app de una financiera. El rostro parpadea cuando se le pide, sonríe, gira la cabeza. El motor biométrico aprueba y la credencial del INE coincide.

Nadie estuvo frente a esa cámara. El video salió de una cámara virtual instalada en un emulador y fue generado en tiempo real con una herramienta de intercambio de rostro. La identidad era real; la persona, no. Tres semanas después, la cuenta ya había movido dinero de una extorsión.

Este escenario es ilustrativo, pero la técnica no. En el Foro IDentidad Fintech y Sofom Cibersegura 2026, especialistas advirtieron que las pruebas de vida actuales ya pueden burlarse con software libre como OBS combinado con video generado por IA. La selfie, por sí sola, dejó de ser una prueba de identidad.

Por qué murió la selfie estática

Durante una década, el sector compitió por el onboarding más rápido. Bastaba una selfie y, en el mejor caso, una prueba de vida activa: parpadee, sonría, gire. Hoy un atacante tiene tres caminos para vencer ese modelo, y cada uno exige una defensa distinta.

La consecuencia ya es visible: identidades sintéticas y cuentas mula abiertas en serie para dispersar fondos de extorsión y fraude. Para el crimen organizado, un onboarding débil es infraestructura gratuita.

Qué cambió el 1 de julio de 2026: la reforma biométrica a la CUB

El 1 de julio de 2026, la CNBV publicó en el DOF la resolución que modifica la CUB en materia de biométricos. Reforma los artículos 51 Bis a 51 Bis 5 y sustituye el Anexo 71, que ahora fija los requisitos técnicos para capturar huella dactilar y biometría facial. Entró en vigor el 2 de julio, y los bancos tienen 90 días hábiles para apegarse: el plazo vence alrededor del 5 de noviembre de 2026.

Hasta ahora, la verificación biométrica en línea se basaba en la huella. La reforma incorpora expresamente el rostro y fija estas obligaciones para los bancos:

En el Foro RIDMX, la CNBV advirtió que muchas instituciones solo anotan "dijo 80%" en lugar de conservar la respuesta completa del servicio de verificación. Con la reforma, ese registro ya no alcanza: hay un umbral de 90% y una obligación de evidencia documental.

Lo que pide el Anexo 71 para el rostro

El Anexo 71 incluye una tabla de parámetros para la primera captura facial. Estos son los requisitos que más impactan en la tecnología:

Dos matices importan. Primero, la primera captura para la base propia es asistida y en ambiente controlado: no es una selfie tomada en casa. Segundo, el umbral de 90% aplica al cotejo contra INE o SRE; para la autenticación posterior contra su propia base, el umbral lo define y documenta cada institución.

Si la tecnología no se apega a estos parámetros, el banco debe someterla a aprobación de la CNBV (art. 51 Bis 3).

¿Y si no soy banco?

La resolución aplica a instituciones de crédito. Para Sofipos, Sofomes e ITF no es obligatoria, pero ya es el estándar escrito más exigente del país. Es la vara con la que un supervisor, un banco socio o un fondeador medirán su onboarding.

Además, toda financiera queda sujeta a dos reglas comunes. La primera es la LFPDPPP: la biometría es un dato personal sensible y exige consentimiento expreso. La segunda son las disposiciones de PLD/FT: identificar al cliente y conservar la evidencia de cómo se hizo.

ISO/IEC 30107-3 e iBeta: qué certifican y qué no

ISO/IEC 30107-3 es la norma internacional para probar la detección de ataques de presentación. Laboratorios independientes, como iBeta, la aplican con su propio protocolo de dos niveles.

Para los bancos ya no es opcional. El Anexo 71 de la CUB establece como requisito mandatorio, en la primera captura facial, la detección de suplantación conforme a "ISO/IEC 30107-3 o Face Verification Certification". La norma no nombra a iBeta: es uno de los laboratorios que prueban conforme a ISO/IEC 30107-3, y su carta de conformidad es la evidencia más común de ese cumplimiento.

Aquí está el punto que casi nadie explica: un certificado iBeta no prueba resistencia a la inyección. Ese ataque nunca pasa frente a la cámara, así que queda fuera del alcance de la norma. Para la inyección existe la especificación europea CEN/TS 18099, y la ISO trabaja en una norma propia.

El resultado práctico: pida a su proveedor la carta de conformidad iBeta vigente, pero también evidencia de pruebas contra cámaras virtuales, emuladores y hooking. Un certificado no sustituye esa evidencia.

NIST SP 800-63-4: el referente internacional

La cuarta revisión de las guías de identidad digital del NIST, de EE. UU., es el marco técnico más citado del mundo. No es obligatoria en México, pero sirve para traducir "seguridad" en métricas que se pueden medir y auditar. Tiene dos volúmenes relevantes para una financiera:

Lo que exige 800-63B-4 a un sistema biométrico (sección 3.2.3):

La lección de NIST para México es de método. El 90% del Anexo 71 dice cuánto debe coincidir un rostro con el INE; NIST agrega cuántas veces puede equivocarse el sistema y cuántos ataques puede dejar pasar. Una política de umbrales sólida documenta ambas cosas, y por qué.

Prueba de vida activa vs. pasiva

La industria se mueve de la prueba activa a la pasiva, pero "pasiva" no significa "segura" por definición. La diferencia real está en qué se analiza y contra qué ataques se probó.

Ambas fallan igual ante la inyección si el SDK no verifica que la cámara sea física, que el sistema no esté rooteado ni con jailbreak y que no haya librerías de inyección cargadas. La pregunta correcta para el proveedor no es "¿activa o pasiva?", sino "¿qué ataques probó, quién lo certificó y cómo detecta la inyección?".

La postura de Robo de IDentidad MX: Cero Confianza

La tecnología biométrica no resuelve el problema si la arquitectura no parte de una premisa: ningún video, dispositivo ni proveedor es confiable hasta demostrarlo. Eso se traduce en tres decisiones.

1. Privacidad desde el diseño. Un rostro no se puede cambiar como una contraseña. Guarde plantillas biométricas protegidas (ISO/IEC 24745), no fotografías en bases abiertas. Recolecte solo lo proporcional al riesgo de la operación y defina cuándo se bloquea y se borra.

2. Evidencia con valor probatorio. Firme el expediente de onboarding con una constancia de conservación NOM-151, con sello de tiempo de un Prestador de Servicios de Certificación acreditado por la Secretaría de Economía. Así la validación resiste un juicio y una inspección.

3. Responsabilidad que no se delega. El proveedor de biometría o de nube opera la tecnología; la institución responde ante la CNBV, la UIF y la Secretaría Anticorrupción y Buen Gobierno. El Oficial de Cumplimiento y el Consejo deben saber dónde están los datos, quién accede y cuándo se destruyen.

Un onboarding débil no solo arriesga multas. También permite que el nombre de un ciudadano inocente quede ligado a delitos que no cometió.

Checklist: 8 preguntas para cualquier financiera

Sea banco, Sofipo, Sofom o Fintech, si no puede responder "sí, y aquí está la evidencia" a cada punto, su onboarding tiene una brecha.

1. Umbral del 90%: ¿su verificación en línea contra INE o SRE exige al menos 90% de coincidencia y conserva el resultado completo, no solo un "sí"? (Art. 51 Bis 4)

2. Antisuplantación: ¿su motor facial acredita ISO/IEC 30107-3, como exige el Anexo 71, con carta de laboratorio vigente para la versión que usted opera?

3. Inyección: ¿el SDK detecta cámaras virtuales, emuladores, root/jailbreak y hooking, con evidencia de pruebas?

4. Base biométrica propia: ¿cada registro se cotejó contra INE, SRE o autoridad fiscal, con CURP validada en RENAPO y evidencia guardada? (Art. 51 Bis 2)

5. Controles del Anexo 71: ¿cumple los ocho controles, incluidas pruebas de penetración y bitácora de usuarios privilegiados?

6. Validación anual: ¿tiene calendario, responsable y formato para la validación anual y el reporte de desviaciones a la CNBV? (Art. 51 Bis 2)

7. Datos sensibles: ¿hay consentimiento expreso, prohibición contractual de compartir la base y un procedimiento de supresión irrecuperable?

8. Gobierno: ¿el Consejo y el Oficial de Cumplimiento saben dónde están los datos biométricos, quién accede y cuándo se destruyen?

El estándar de la banca, a su alcance

La reforma biométrica a la CUB obliga a los bancos, y su plazo de 90 días hábiles vence alrededor del 5 de noviembre de 2026. Para el resto del sistema financiero marca el nivel que el mercado ya espera. La diferencia entre cumplir y quedar expuesto no está en tener biometría, sino en poder demostrar que funciona.

En Robo de IDentidad MX ayudamos a bancos, Sofipos, Sofomes y Fintechs a llevar su onboarding a ese estándar y a sustentarlo con evidencia. Somos independientes de los proveedores de biometría, por eso podemos auditarlos.

Agende un diagnóstico ejecutivo de 30 minutos. Revisamos su flujo contra las 8 preguntas de este artículo y le entregamos un semáforo de brechas, sin costo. [email protected]

Este artículo es de carácter informativo y no constituye asesoría legal. Las referencias regulatorias deben revisarse contra el texto vigente publicado en el DOF.