Reforma biométrica CUB 2026: umbral de 90% y prueba de vida
Un cliente que nunca existió
Son las 2:14 a.m. Una solicitud de crédito entra por la app de una financiera. El rostro parpadea cuando se le pide, sonríe, gira la cabeza. El motor biométrico aprueba y la credencial del INE coincide.
Nadie estuvo frente a esa cámara. El video salió de una cámara virtual instalada en un emulador y fue generado en tiempo real con una herramienta de intercambio de rostro. La identidad era real; la persona, no. Tres semanas después, la cuenta ya había movido dinero de una extorsión.
Este escenario es ilustrativo, pero la técnica no. En el Foro IDentidad Fintech y Sofom Cibersegura 2026, especialistas advirtieron que las pruebas de vida actuales ya pueden burlarse con software libre como OBS combinado con video generado por IA. La selfie, por sí sola, dejó de ser una prueba de identidad.
Por qué murió la selfie estática
Durante una década, el sector compitió por el onboarding más rápido. Bastaba una selfie y, en el mejor caso, una prueba de vida activa: parpadee, sonría, gire. Hoy un atacante tiene tres caminos para vencer ese modelo, y cada uno exige una defensa distinta.
Tipo de ataque | Cómo funciona | Qué lo detiene |
|---|---|---|
Presentación | Se muestra algo frente a la cámara: foto impresa, pantalla, máscara 3D | Detección de ataques de presentación (PAD), probada bajo ISO/IEC 30107-3 |
Inyección | El video nunca pasa por la cámara: entra por una cámara virtual, un emulador o la intercepción del SDK (hooking) | Controles de integridad del dispositivo y del flujo de captura (CEN/TS 18099) |
Deepfake en tiempo real | Un rostro sintético responde a las instrucciones de la prueba activa, casi siempre entregado por inyección | Combinación de PAD, detección de inyección y análisis de señales sintéticas |
La consecuencia ya es visible: identidades sintéticas y cuentas mula abiertas en serie para dispersar fondos de extorsión y fraude. Para el crimen organizado, un onboarding débil es infraestructura gratuita.
Qué cambió el 1 de julio de 2026: la reforma biométrica a la CUB
El 1 de julio de 2026, la CNBV publicó en el DOF la resolución que modifica la CUB en materia de biométricos. Reforma los artículos 51 Bis a 51 Bis 5 y sustituye el Anexo 71, que ahora fija los requisitos técnicos para capturar huella dactilar y biometría facial. Entró en vigor el 2 de julio, y los bancos tienen 90 días hábiles para apegarse: el plazo vence alrededor del 5 de noviembre de 2026.
Hasta ahora, la verificación biométrica en línea se basaba en la huella. La reforma incorpora expresamente el rostro y fija estas obligaciones para los bancos:
Obligación | Qué dice la norma | Dónde |
|---|---|---|
Coincidencia mínima | Verificar en línea que la biometría coincida al menos en 90% con los registros del INE (credencial) o de la SRE (pasaporte, matrícula consular) | Art. 51 Bis 4 |
Antisuplantación | Lectores y aplicaciones deben asegurar que la biometría se obtenga directamente del titular, evitando mecanismos que pretendan simularla | Art. 51 Bis 4 |
Base biométrica propia | Cotejar contra INE, SRE o autoridad fiscal; validar la CURP con RENAPO; conservar evidencia de cada verificación | Art. 51 Bis 2 |
Prohibición de compartir | La base no puede venderse, transferirse, compartirse ni usarse en esquemas de interoperabilidad con otras instituciones o terceros | Art. 51 Bis 2 |
Ocho controles de seguridad | Segregación lógica, infraestructura dedicada, configuración segura, control de accesos privilegiados con bitácora, cifrado, pruebas de penetración, integridad y borrado seguro, restricción de extracción | Anexo 71 |
Validación anual | Validar cada año los mecanismos de seguridad y enviar a la CNBV, en 20 días hábiles, las acciones contra las desviaciones | Art. 51 Bis 2 |
Supresión segura | Al dejar de usar la base, borrar los datos de forma irrecuperable y conservar la evidencia | Arts. 51 Bis 2 y 51 Bis 3 |
Consecuencia | La CNBV puede suspender, parcial o totalmente, el uso de la base biométrica por incumplimiento grave o reiterado | Art. 51 Bis 2 |
En el Foro RIDMX, la CNBV advirtió que muchas instituciones solo anotan "dijo 80%" en lugar de conservar la respuesta completa del servicio de verificación. Con la reforma, ese registro ya no alcanza: hay un umbral de 90% y una obligación de evidencia documental.
Lo que pide el Anexo 71 para el rostro
El Anexo 71 incluye una tabla de parámetros para la primera captura facial. Estos son los requisitos que más impactan en la tecnología:
Parámetro | Requisito | Tipo |
|---|---|---|
Suplantación de identidad | ISO/IEC 30107-3 o "Face Verification Certification" | Mandatorio |
Deduplicación | Validar que el rostro no esté registrado con otro cliente o empleado, conforme a NIST FRVT 1:N | Mandatorio |
Calidad de imagen | ISO/IEC 19794-5 (secciones 7.3, 7.4, 8.3 y 8.4) y calidad ICAO evaluada por software | Mandatorio |
Imagen | 2D frontal completa, color de 24 bits, distancia entre ojos de al menos 90 píxeles | Mandatorio |
Condiciones de captura | Expresión neutral, sin lentes ni accesorios que cubran el rostro, iluminación controlada | Mandatorio |
Operación | Asistida por personal de la institución | Mandatorio |
Transmisión | Plantilla biométrica o imagen comprimida conforme a ISO/IEC 19794-5:2011 | Mandatorio |
Dos matices importan. Primero, la primera captura para la base propia es asistida y en ambiente controlado: no es una selfie tomada en casa. Segundo, el umbral de 90% aplica al cotejo contra INE o SRE; para la autenticación posterior contra su propia base, el umbral lo define y documenta cada institución.
Si la tecnología no se apega a estos parámetros, el banco debe someterla a aprobación de la CNBV (art. 51 Bis 3).
¿Y si no soy banco?
La resolución aplica a instituciones de crédito. Para Sofipos, Sofomes e ITF no es obligatoria, pero ya es el estándar escrito más exigente del país. Es la vara con la que un supervisor, un banco socio o un fondeador medirán su onboarding.
Además, toda financiera queda sujeta a dos reglas comunes. La primera es la LFPDPPP: la biometría es un dato personal sensible y exige consentimiento expreso. La segunda son las disposiciones de PLD/FT: identificar al cliente y conservar la evidencia de cómo se hizo.
ISO/IEC 30107-3 e iBeta: qué certifican y qué no
ISO/IEC 30107-3 es la norma internacional para probar la detección de ataques de presentación. Laboratorios independientes, como iBeta, la aplican con su propio protocolo de dos niveles.
Para los bancos ya no es opcional. El Anexo 71 de la CUB establece como requisito mandatorio, en la primera captura facial, la detección de suplantación conforme a "ISO/IEC 30107-3 o Face Verification Certification". La norma no nombra a iBeta: es uno de los laboratorios que prueban conforme a ISO/IEC 30107-3, y su carta de conformidad es la evidencia más común de ese cumplimiento.
Nivel iBeta | Qué ataques prueba | Ejemplos |
|---|---|---|
Nivel 1 | Artefactos de bajo costo y poco tiempo de preparación | Fotos impresas, imágenes en pantalla, recortes en ojos y boca |
Nivel 2 | Artefactos más elaborados | Máscaras de silicona, látex o resina; réplicas 3D |
Aquí está el punto que casi nadie explica: un certificado iBeta no prueba resistencia a la inyección. Ese ataque nunca pasa frente a la cámara, así que queda fuera del alcance de la norma. Para la inyección existe la especificación europea CEN/TS 18099, y la ISO trabaja en una norma propia.
El resultado práctico: pida a su proveedor la carta de conformidad iBeta vigente, pero también evidencia de pruebas contra cámaras virtuales, emuladores y hooking. Un certificado no sustituye esa evidencia.
NIST SP 800-63-4: el referente internacional
La cuarta revisión de las guías de identidad digital del NIST, de EE. UU., es el marco técnico más citado del mundo. No es obligatoria en México, pero sirve para traducir "seguridad" en métricas que se pueden medir y auditar. Tiene dos volúmenes relevantes para una financiera:
Volumen | Qué cubre | Qué aporta al onboarding |
|---|---|---|
Alta y verificación de identidad (niveles IAL) | Verificación remota contra documento oficial y prueba de vida | |
SP 800-63B-4 (versión final, agosto de 2025) | Autenticación posterior (niveles AAL) | Reglas medibles para la biometría, en la tabla siguiente |
Lo que exige 800-63B-4 a un sistema biométrico (sección 3.2.3):
Requisito | Nivel | Valor |
|---|---|---|
Uso de la biometría | Obligatorio | Solo como parte de autenticación multifactor con un dispositivo físico, y siempre con una alternativa no biométrica |
Tasa de falsa coincidencia (FMR) | Obligatorio | 1 en 10,000 o mejor, para todos los grupos demográficos (al menos sexo y tono de piel) |
Tasa de falso rechazo (FNMR) | Recomendado | Menor a 5% |
Umbral | Obligatorio | Fijo y probado conforme a ISO/IEC 19795-1 |
Detección de ataques de presentación | Obligatorio para rostro | Tasa de aceptación de ataques (IAPAR) menor a 0.07, probada según la cláusula 13 de ISO/IEC 30107-3 (recomendado) |
Intentos fallidos | Obligatorio | Máximo 5 seguidos (10 con PAD); después, 30 segundos de espera por intento y tope de 50 (100 con PAD) |
Integridad del sensor | Recomendado | Verificar el sensor y el dispositivo para detectar inyección y emuladores: sensor conocido, pruebas o atestación |
La lección de NIST para México es de método. El 90% del Anexo 71 dice cuánto debe coincidir un rostro con el INE; NIST agrega cuántas veces puede equivocarse el sistema y cuántos ataques puede dejar pasar. Una política de umbrales sólida documenta ambas cosas, y por qué.
Prueba de vida activa vs. pasiva
La industria se mueve de la prueba activa a la pasiva, pero "pasiva" no significa "segura" por definición. La diferencia real está en qué se analiza y contra qué ataques se probó.
Prueba activa | Prueba pasiva | |
|---|---|---|
Qué pide al usuario | Seguir instrucciones: parpadear, sonreír, girar | Solo mirar a la cámara unos segundos |
Qué analiza | Que el rostro responda a la instrucción | Textura de piel, reflejos de luz, profundidad, artefactos de pantalla o de síntesis |
Fricción | Mayor, sobre todo en adultos mayores y usuarios con poca experiencia digital | Menor |
Punto débil | Un deepfake en tiempo real puede obedecer las instrucciones | Si no hay control de inyección, el análisis recibe video que nunca vio una cámara |
Ambas fallan igual ante la inyección si el SDK no verifica que la cámara sea física, que el sistema no esté rooteado ni con jailbreak y que no haya librerías de inyección cargadas. La pregunta correcta para el proveedor no es "¿activa o pasiva?", sino "¿qué ataques probó, quién lo certificó y cómo detecta la inyección?".
La postura de Robo de IDentidad MX: Cero Confianza
La tecnología biométrica no resuelve el problema si la arquitectura no parte de una premisa: ningún video, dispositivo ni proveedor es confiable hasta demostrarlo. Eso se traduce en tres decisiones.
Privacidad desde el diseño. Un rostro no se puede cambiar como una contraseña. Guarde plantillas biométricas protegidas (ISO/IEC 24745), no fotografías en bases abiertas. Recolecte solo lo proporcional al riesgo de la operación y defina cuándo se bloquea y se borra.
Evidencia con valor probatorio. Firme el expediente de onboarding con una constancia de conservación NOM-151, con sello de tiempo de un Prestador de Servicios de Certificación acreditado por la Secretaría de Economía. Así la validación resiste un juicio y una inspección.
Responsabilidad que no se delega. El proveedor de biometría o de nube opera la tecnología; la institución responde ante la CNBV, la UIF y la Secretaría Anticorrupción y Buen Gobierno. El Oficial de Cumplimiento y el Consejo deben saber dónde están los datos, quién accede y cuándo se destruyen.
Un onboarding débil no solo arriesga multas. También permite que el nombre de un ciudadano inocente quede ligado a delitos que no cometió.
Checklist: 8 preguntas para cualquier financiera
Sea banco, Sofipo, Sofom o Fintech, si no puede responder "sí, y aquí está la evidencia" a cada punto, su onboarding tiene una brecha.
Umbral del 90%: ¿su verificación en línea contra INE o SRE exige al menos 90% de coincidencia y conserva el resultado completo, no solo un "sí"? (Art. 51 Bis 4)
Antisuplantación: ¿su motor facial acredita ISO/IEC 30107-3, como exige el Anexo 71, con carta de laboratorio vigente para la versión que usted opera?
Inyección: ¿el SDK detecta cámaras virtuales, emuladores, root/jailbreak y hooking, con evidencia de pruebas?
Base biométrica propia: ¿cada registro se cotejó contra INE, SRE o autoridad fiscal, con CURP validada en RENAPO y evidencia guardada? (Art. 51 Bis 2)
Controles del Anexo 71: ¿cumple los ocho controles, incluidas pruebas de penetración y bitácora de usuarios privilegiados?
Validación anual: ¿tiene calendario, responsable y formato para la validación anual y el reporte de desviaciones a la CNBV? (Art. 51 Bis 2)
Datos sensibles: ¿hay consentimiento expreso, prohibición contractual de compartir la base y un procedimiento de supresión irrecuperable?
Gobierno: ¿el Consejo y el Oficial de Cumplimiento saben dónde están los datos biométricos, quién accede y cuándo se destruyen?
El estándar de la banca, a su alcance
La reforma biométrica a la CUB obliga a los bancos, y su plazo de 90 días hábiles vence alrededor del 5 de noviembre de 2026. Para el resto del sistema financiero marca el nivel que el mercado ya espera. La diferencia entre cumplir y quedar expuesto no está en tener biometría, sino en poder demostrar que funciona.
En Robo de IDentidad MX ayudamos a bancos, Sofipos, Sofomes y Fintechs a llevar su onboarding a ese estándar y a sustentarlo con evidencia. Somos independientes de los proveedores de biometría, por eso podemos auditarlos.
Agende un diagnóstico ejecutivo de 30 minutos. Revisamos su flujo contra las 8 preguntas de este artículo y le entregamos un semáforo de brechas, sin costo. [email protected]
Este artículo es de carácter informativo y no constituye asesoría legal. Las referencias regulatorias deben revisarse contra el texto vigente publicado en el DOF.
