Reconocimiento facial y aplicaciones bancarias móviles (BBVA)

Hace unos días me encontré con que la aplicación móvil de mi amigable banco local – BBVA –  me pedía registrar mi rostro para facilitar el registro de nuevos dispositivos y aumentar la seguridad de mi cuenta.

Lo ignoré, a pesar de que era una molestia tener que reafirmar dos veces mi negativa cada vez que intentaba usar la aplicación,hasta que la plataforma me indicó que ya no podía postergarlo una vez más.. Lo volví a omitir tantas veces como pude  y la app  cumplió su promesa impidiéndome ingresar.

Seguí desoyendo sus advertencias, puesto que todavía me permitía utilizarla como token. Solo migré a la plataforma web y listo. Continué con mis movimientos al no recordar los alcances y restricciones del contrato sobre ese servicio móvil; no sabía si podía quitarme el acceso de esa manera.

Pero, ¿por qué mi negativa a otorgar datos biométricos?

Vamos por partes:

¿Qué es el reconocimiento facial?

En términos simples, como su nombre lo indica, es una tecnología biométrica capaz de identificar o verificar la identidad de una persona desde una imagen digital, comparando los rasgos faciales con una base de datos de rostros conocidos.

O, como bien se define en el sitio de, BBVA:

“Es una tecnología que determina la identidad de una persona analizando sus características físicas, únicas e intransferibles del rostro, transformando esta información en un patrón matemático”.

En teoría una cara es única considerando todos los rasgos faciales con los que contamos para generar una huella facial exclusiva. Como otros datos biométricos, esta huella tiene aplicaciones no solo en seguridad, sino también en interacciones humano-computadora. Por lo que se entiende la intención de implementarlo en el ámbito bancario como medida de seguridad, aunque ésta es la de menor nivel de confianza si se compara con una huella digital o el reconocimiento de iris ocular.

La implementación de esta tecnología en ámbitos más personales está siendo impulsada por el incremento de seguridad en dispositivos personales:

Cabe mencionar que en la página del banco, al momento de escribir este artículo, no se proporciona información precisa sobre cómo funciona su tecnología o cómo almacena y procesa la información de rostros, aunque el BBVA lleva desarrollando esta tecnología un par de años, tras su colaboración con Sodexo Iberia.

El reconocimiento facial, para funcionar, requiere tres de elementos principales:

• • Sistema de reconocimiento de rasgos faciales
  • Imagen digital del rostro
  • Base de datos de rostros y procesamiento de patrones.

¿Por qué no usar el reconocimiento facial de la app?

En principio, el reconocimiento facial para volver más seguras tus finanzas y datos personales es algo que ya usábamos, dando confianza y facilitando procesos como lo son la adquisición de una visa o el desbloqueo de un celular sin siquiera tocarlo. La tendencia es implementar más este tipo de seguridad como capa adicional a los métodos tradicionales.

Tiene ventajas perceptibles sobre las ya citadas. Hace más fácil y rápidas las transacciones, es más conveniente que usar contraseñas y se le considera más segura si la comparamos con  contraseñas de baja complejidad o de fácil adquisición.

Pero la cuestión, como siempre, se encuentra en los detalles y las distintas formas de implementarla.

Como se menciona en la gráfica siguiente, la mayor preocupación del usuario final es por los falsos positivos, la facilidad de duplicación y la inexistencia de estándares. Todos estos riesgos se ven influidos y a su vez mitigados por los tres elementos que mencioné al principio.

Pero, ¿qué ocurre  al tratar datos hipersensibles, más allá de simples verificaciones en dispositivos que normalmente se combinan con contraseñas y cifrado? Nacen preocupaciones sobre la susceptibilidad de los sistemas de ser engañados o, de que un actor malicioso obtenga esas huellas biométricas, pues ya no es posible reemplazarlas o generar nuevas una vez comprometidas.

Analicemos esta implementación a través de los tres elementos que componen el reconocimiento facial  y comparemos con algunas otras tecnologías en el mercado:

Sistema de reconocimiento de rasgos faciales

Es el sistema que registra tu rostro y genera un patrón matemático único con él. Hay distintos niveles de profundidad que se pueden alcanzar al generar la imagen digital de un rostro. Desde la forma tradicional, en donde se analiza la posición relativa, proporciones o formas de los distintos elementos del rostro en dos dimensiones; hasta análisis tridimensional y reconocimiento de textura de piel. Esto depende del sistema que se use para generar la imagen digital.

Dado que la mayoría de los celulares en su cámara frontal no cuentan con la capacidad de análisis tridimensional o de piel, puedo suponer que el implementado por BBVA es principalmente tradicional, apoyado con los avances en inteligencia artificial de su base de datos.

Esto se traduce en  el nivel de confianza y seguridad más bajo de un sistema de reconocimiento facial.

Al parecer BBVA solo lo está usando para activar una cuenta en un dispositivo, requiriendo también contraseña para ingresar a la aplicación, por lo que no se considera el único factor de seguridad y le doy puntos de confianza a considerar registrar mi rostro. Agrega una capa de seguridad al cambiar de dispositivo, pero no lo hace inherentemente más seguro puesto que existe la posibilidad de engañar al sistema con fotografías o máscaras.

¿Cómo se compara el sistema de reconocimiento facial del BBVA con otra tecnología?

El FaceID de Apple, por ejemplo, utiliza reconocimiento 3D para obtener un mapa mucho más detallado y único del rostro, tecnología que aún en dispositivos Apple, la app de BBVA no es capaz de generar un mapa del rostro del usuario.

Inclusive, la tecnología de Apple ha mostrado dificultad en reconocer gemelos, que ha mitigado con implementación de inteligencia artificial y aprendizaje automático.

Imagen digital del rostro

Otro elemento es la huella, patrón matemático o simplemente la cara que se almacena en una base de datos.

Ésta puede ir siendo mejorada constantemente gracias a avances en inteligencia artificial o mediante combinación de otros sistemas de reconocimiento que provean más factores sobre los rasgos del rostro (ej. gestos, vello facial o diferencias de edad y los cambios del rostro).

En el caso del BBVA supongo que es aquí donde apuestan por subir el nivel de confianza. La huella facial registrada la pueden complementar a futuro con diferentes capturas de un mismo rostro. A pesar de esto, su sección sobre el reconocimiento facial declara que no considera gestos:

 “¿Reconocerá mi rostro si tengo una expresión diferente al que guarde en el registro, como sonriendo, frunciendo el ceño, etc.?
No, es necesario mantener una expresión neutra, sin sonreír ni hacer muecas ya que esto modifica la forma del rostro al capturar y validar.”

Por esta respuesta, infiero que no se está implementando un sistema de aprendizaje, lo que le resta puntos de confiabilidad.

Adicionalmente, dicha captura facial, BBVA no la almacena en el dispositivo, sino que la agrega a una base de datos remota, agregando una capa de riesgo en cuanto a la intercepción de dicha imagen.

¿Cómo se compara con otra tecnología de imagen digital del rostro?

Esta imagen biométrica, en gran parte de las implementaciones a dispositivos personales como Windows Hello, se almacena solamente en el dispositivo y no se transmite a servidores remotos, limitando  la obtención de la misma por un tercero.

Este escenario no se puede aplicar en la implementación del BBVA, ya que para activar otro dispositivo es necesario tener esta imagen en una base de datos independiente. Para que funcione de acuerdo a este caso de uso, la seguridad que proporcione el mismo dispositivo y el canal por donde se envía, es primordial. 

Base de datos de rostros y procesamiento de patrones.

Es aquí donde se encuentra el gran fallo actual y el por qué de mi negativa.

En ocasiones anteriores, ya se ha logrado obtener las bases de datos de bancos donde no solo se almacenaban las huellas faciales, sino también otros datos personales como direcciones o contraseñas, abriéndose a terceros maliciosos o al público en general.

En el caso de BBVA, no menciona o hace diferencia sobre cómo se manejan dichos datos, por lo que puedo suponer que están al mismo nivel que otros datos almacenados y se pueden comprometer en cualquier punto de la cadena, desde el dispositivo que usa la aplicación hasta los servidores en donde se almacenan los datos.

Uno pensaría que, si es igual a otros datos en nivel de riesgo, pero aumenta la seguridad en general, sería una ganancia neta usarlo.

Esto no es así dado que, a diferencia de una contraseña o un código temporal de un token, la imagen facial no es posible reemplazarla. Esto sin mencionar que en muchos lugares la huella facial es considerada un dato privado y por ley se trata de distintas maneras.

Aquí, al no haber claridad de cómo se trata este tipo de información, es donde se presenta mi mayor desconfianza a la recopilación del mismo. Más aún al ser condicionado al uso de la aplicación móvil de manera repentina.

“Pero esta información ya está disponible si usaste un filtro de instagram, o bien tienes una visa estadounidense o simplemente subiste fotografías tuyas a internet y una compañía está recopilando tus fotos y armando tu perfil facial sin tu consentimiento, vendiéndolo al mejor postor.”

Efectivamente la gran mayoría de los rostros ya se encuentran almacenados en algún lugar, probablemente a partir de un método 2D. Sin embargo, el uso y adquisición de éstos podría considerarse ilegal o bien una falta a los derechos civiles, previniendo su uso o implementación a pesar de su existencia. El único uso que queda es el ilegal, reforzando mi argumento sobre que la tecnología como tal no es la panacea de seguridad que aparenta.

Adicionalmente, todos siguen siendo datos de baja definición esparcidos en diferentes bases de datos que requieren de más datos para ser útiles.. Por lo que la gran diferencia es que aquí estoy entregando mi huella facial a una base de datos que ya tiene mi información fiscal, financiera, personal y ahora, al parecer, biométrica. Aceptando así que se aplique la tecnología sin un estándar que respalde la seguridad y manejo de los datos.

Es por esto que prefiero no registrar mi huella facial por el momento en la aplicación de BBVA.