Robos de identidad en Revolut exponen los peligros del KYC: la verificación de identidad con pruebas de conocimiento cero

Los recientes casos de robo de identidad vinculados a usuarios de Revolut volvieron a poner el foco sobre un problema estructural del sistema financiero: la forma en que empresas y bancos recopilan y almacenan documentos personales para cumplir con los procesos de conocimiento del cliente (KYC, por sus siglas en inglés). Cada vez que alguien abre una cuenta y sube su pasaporte o licencia, esos datos quedan guardados en servidores que se convierten en un blanco atractivo para los atacantes.

El debate no es menor. La tecnología de pruebas de conocimiento cero (zero-knowledge) permitiría a las compañías comprobar quién es una persona sin conservar sus documentos de identidad. La pregunta que muchos se hacen es por qué esa verificación de identidad más segura todavía no se ha convertido en práctica estándar.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Por qué el KYC tradicional es un riesgo

El esquema actual obliga a las plataformas reguladas a recolectar información sensible: nombre completo, domicilio, fecha de nacimiento y copias de documentos oficiales. Toda esa información se almacena, muchas veces durante años, para satisfacer requisitos regulatorios y de prevención de lavado de dinero.

El problema es que cada base de datos con documentos escaneados es un objetivo. Las filtraciones masivas se han vuelto rutina. En Estados Unidos, el FBI llegó a investigar la exposición de millones de licencias de conducir, y los reportes independientes sobre brechas de datos muestran cifras que crecen año tras año, según el informe de mitad de año sobre filtraciones de Privacy Rights Clearinghouse.

Cuando esos datos terminan en manos equivocadas, el daño es difícil de revertir: una tarjeta bancaria se cancela y se reemplaza en minutos, pero un documento de identidad filtrado acompaña a la víctima durante años y habilita fraudes en cadena.

Cómo funciona la verificación de identidad con conocimiento cero

Una prueba de conocimiento cero es un método criptográfico que permite demostrar que una afirmación es verdadera sin revelar la información que la respalda. Aplicado al KYC, significa que una persona podría probar que es mayor de edad, que reside en determinado país o que superó una verificación oficial, sin entregar ni almacenar el documento en sí.

La plataforma recibe una confirmación válida —un sí o un no criptográficamente garantizado— en lugar de una copia del pasaporte. Así, aunque un atacante vulnere los servidores, no encontraría documentos que robar, porque nunca estuvieron ahí. Es el mismo principio que sostiene buena parte de la innovación en privacidad dentro del sector, desde protocolos de redes centradas en la privacidad como Zcash hasta soluciones de identidad descentralizada.

La activista Lyudmyla Kozlovska difundió en un mensaje en X su experiencia con este tipo de riesgos, un ejemplo de cómo la exposición de datos personales afecta especialmente a perfiles vulnerables.

Los frenos: regulación, costos e inercia

Si la tecnología existe, ¿qué la detiene? Buena parte de la respuesta está en el marco regulatorio. Las normas antilavado se diseñaron pensando en la retención de documentos, no en pruebas criptográficas, y muchos supervisores todavía esperan poder auditar los expedientes de identidad de forma tradicional.

Organismos internacionales han empezado a moverse. El Grupo de Acción Financiera Internacional (GAFI) ya considera el uso de identidad digital en sus guías, mientras la Unión Europea avanza con su billetera de identidad digital, que contempla mecanismos de verificación de edad con mínima exposición de datos.

A los obstáculos regulatorios se suman los costos de integración y la inercia institucional. Cambiar la arquitectura de verificación de identidad implica rediseñar procesos que las entidades financieras llevan décadas ejecutando de la misma manera. Para muchas, resulta más cómodo asumir el riesgo de una filtración que reconstruir sus sistemas.

El interés de la banca por la infraestructura cripto, sin embargo, podría acelerar el cambio. Instituciones que hoy exploran servicios de custodia cripto institucional también están mirando de cerca las herramientas de privacidad que ofrece la criptografía avanzada.

Qué significa para usuarios y empresas

Para el usuario común, la diferencia es tangible: menos documentos circulando implica menos posibilidades de que su identidad termine a la venta en foros clandestinos. Para las empresas, adoptar verificación con conocimiento cero podría reducir su exposición legal y reputacional ante una brecha.

El sector cripto, acostumbrado a experimentar con criptografía de frontera, aparece como un terreno natural para probar estos modelos antes que la banca tradicional. La adopción dependerá de que reguladores, proveedores tecnológicos y plataformas encuentren un punto de encuentro entre cumplimiento normativo y protección de datos.

Mientras tanto, cada nuevo caso de robo de identidad refuerza el argumento de quienes sostienen que almacenar montañas de documentos personales es un modelo que quedó atrás. La tecnología para dejar de hacerlo ya está disponible; falta la voluntad —y las reglas— para usarla a gran escala.