Las identidades sintéticas y las técnicas de inyección de video se encuentran entre los principales métodos utilizados para cometer fraude en plataformas de apuestas digitales, mientras que la IA generativa comienza a ampliar la capacidad de los atacantes, de acuerdo con el estudio Blindar el Juego 2026, elaborado por Unico.
El reporte reveló que el 48% de los casos de fraude identificados en Latinoamérica corresponde al uso de identidades sintéticas y 46% está relacionado con técnicas de inyección. Además, 57% de las empresas consultadas confirmó haber enfrentado ataques en el último año mediante deepfakes o inteligencia artificial generativa.
El avance del problema también se refleja en la percepción de las compañías: 34% reportó un aumento en los intentos de fraude digital, mientras que pare el 67% el volumen de fraude se mantuvo igual o empeoró durante los últimos 12 meses.
Fernando Paulín, CEO Unico México
Fernando Paulin, CEO de Unico, explicó a Mobile Time Latinoamérica que la identidad sintética resulta atractiva para los defraudadores porque permite crear perfiles ficticios sin utilizar directamente los datos de una persona real.
“Cuando es un robo de identidad, se roba la identidad de otra persona, ahí hay consecuencias reales para esa persona. Pero si yo invento una identidad que no existe, nadie sale afectado”, explicó.
Al no corresponder necesariamente con una persona real, este tipo de fraude tampoco genera una víctima directa que pueda detectar de inmediato el uso indebido de sus datos, lo que reduce el riesgo para el defraudador.
IA amplia el impacto del fraude
La expansión del fraude ocurre en un mercado cada vez más dependiente de los dispositivos móviles. El estudio señala que 8 de cada 10 jugadores en línea utilizan el teléfono móvil como su dispositivo principal y que estos equipos representan más de la mitad de las conexiones a las plataformas.
Para Paulin, la evolución de la inteligencia artificial puede incrementar todavía más el problema durante los próximos años, particularmente por el uso de herramientas capaces de generar contenido sintético y facilitar ataques contra los sistemas de identificación.
En este escenario, considera que las compañías deben comenzar desde ahora a invertir en tecnologías capaces de detectar ataques cada vez más sofisticados, en lugar de esperar a que aumente su incidencia.
El fraude se da en todas las etapas de la transacción
Aunque el fraude puede presentarse en diferentes etapas del recorrido de un jugador, el estudio señala que la mayor concentración de casos ocurre durante las fases iniciales. El 35% se detecta al ingresar los datos obligatorios, mientras que el 21% ocurre durante la verificación de identidad con documento o en el uso de OTP o un segundo factor.
Uno de los mecanismos utilizados para atacar estos controles es la inyección de video. Esta técnica consiste en interceptar la comunicación entre la cámara del dispositivo y el software que captura la imagen para introducir un video que el sistema interpreta como si hubiera sido tomado directamente por la cámara.
“Imagínate que yo me quiero meter a tus cuentas. Yo no lo voy a lograr por tu rostro, porque tú y yo no nos parecemos. Pero sí lo voy a lograr si yo grabo un video tuyo y lo inyecto tecnológicamente al sistema para hacerle creer que, en vez de ser yo quien está al otro lado de la pantalla, eres tú. Entonces, mediante esto, desbloqueo el sistema, meto tus cuentas, hago apuestas a tu nombre, extraigo el dinero, etc.”, ejemplificó Paulín, y agregó que no todos los sistemas de prueba de vida ofrecen el mismo nivel de protección y que existen soluciones con barreras tecnológicas bajas frente a ataques de inyección y deepfakes.
Seguridad debe adaptarse al riesgo
Entre los retos que enfrentan las plataformas de apuestas digitales se encuentra elevar la seguridad sin añadir demasiados pasos al proceso y afectar la conversión de usuarios. Según el estudio, 35% de las empresas identifica el abandono de jugadores legítimos como una consecuencia de la fricción, mientras que el 36% reporta un impacto en sus ingresos. Además, 29% de los jugadores espera que el proceso de verificación tarde menos de un minuto.
Para el experto, es necesario mantener un balance entre fricción y seguridad dada la naturaleza de las apuestas, ya que suelen responder a un impulso. “Si de pronto me ponen dos, tres pantallas para darme de alta, quizás reflexione mejor sobre esa apuesta que voy a hacer”, señaló. Por lo que recomienda utilizar mecanismos de validación que funcionen de manera silenciosa y reservar medidas adicionales para operaciones que presenten un mayor riesgo.
Por ejemplo, indicó que un cambio de la cuenta bancaria a la que se retiran los recursos puede justificar un nivel de validación mayor que el registro inicial, debido a que se trata de una operación menos frecuente y con un impacto financiero potencialmente mayor. La lógica es mantener una validación de baja fricción en operaciones habituales y aumentar los controles cuando el comportamiento o la operación representen un riesgo mayor.
El estudio plantea que la verificación no debería limitarse al momento del registro. Iniciar sesión, cambiar de dispositivo, modificar datos, realizar depósitos, retirar fondos o recuperar una cuenta también pueden representar momentos de riesgo.
33% de empresas no mide el fraude
Otro de los problemas identificados por Unico es que una parte de las empresas ni siquiera conoce la magnitud de las pérdidas asociadas con el fraude. Un 33% de las compañías no mide el fraude porque no sabe si está siendo afectada por este tipo de operaciones. Mientras que solo 8% de las empresas identifica en qué etapa específica del proceso pierde usuarios, lo que dificulta determinar dónde la fricción está afectando la conversión.
Para Paulin, esto refleja una diferencia entre implementar controles únicamente para cumplir con requisitos regulatorios y hacerlo como parte de una estrategia de protección del negocio y de los usuarios. “Las empresas que realmente están preocupadas por sus usuarios miden el fraude”, sostuvo. Por eso, considera que las compañías deberían evaluar a sus proveedores de seguridad con base en su capacidad para reducir el fraude y no únicamente por el presupuesto destinado a estas herramientas.
De acuerdo con el estudio, 14% de las empresas pierde hasta 10% de sus ingresos brutos anuales por fraude, mientras que 62% registra pérdidas de hasta 1%. Al respecto, Paulin advirtió que esta situación podría agravarse a medida que aumenten las capacidades de la inteligencia artificial.
Según su estimación, las empresas que actualmente registran pérdidas de hasta 1% de sus ingresos podrían llegar a enfrentar pérdidas de hasta 10% si no incorporan tecnologías capaces de prevenir fraudes cada vez más sofisticados.
Solo 29% de empresas está preparada para el fraude con IA
Aunque 81% de las empresas se considera al menos medianamente preparada para enfrentar el fraude de próxima generación, solo 29% afirma estar bien o completamente preparada. Paulin recomienda que las empresas evalúen varios factores antes de contratar sistemas de prueba de vida.
Entre ellos mencionó las certificaciones de iBeta, particularmente los niveles 1, 2 y 3. En el caso de iBeta 1 e iBeta 2 evalúan la resistencia de los sistemas frente a distintos ataques de presentación, mientras que iBeta 3 contempla ataques mediante deepfakes. También recomendó revisar qué ocurre con los datos biométricos de los usuarios, el cumplimiento de las normas de protección de datos y los casos de éxito del proveedor.
Otro aspecto son las métricas de desempeño. El false acceptance rate (FAR) mide con qué frecuencia un sistema acepta por error a usuarios fraudulentos, mientras que el false rejection rate (FRR) indica con qué frecuencia rechaza a usuarios legítimos.
El objetivo, sostuvo, es encontrar un equilibrio en el que las herramientas de seguridad reduzcan el fraude sin generar una fricción innecesaria para los usuarios legítimos. “La seguridad no tiene que ser un freno, tiene que ser un habilitador”, concluyó Paulin.
