Los robos de identificaciones en Revolut ponen de relieve los peligros del KYC: así se puede solucionar

El robo masivo de más de 153 millones de licencias de conducir estadounidenses y canadienses a principios de este mes debería dejar algo absolutamente claro: el lugar más seguro para guardar una copia de tu licencia de conducir es ningún lugar.

Los documentos de identidad filtrados, que al parecer procedían de un proveedor de verificación de identidad, terminaron en un servicio de identidad de la dark web llamado Nexus, junto con millones de otros documentos de identidad y de viaje robados.

El peligro quedó de manifiesto esta semana después de que la fintech Revolut revelara que un hacker la había engañado para que entregara grandes cantidades de datos confidenciales de clientes, incluidas copias de pasaportes y selfies de verificación. El hacker ahora está difundiendo gradualmente los documentos de identidad de 680 clientes en internet en un intento de obtener un rescate de 10.000 Bitcoin.

La ironía es difícil de pasar por alto: los procesos de conocimiento del cliente (KYC) están diseñados para hacer más seguros los sistemas financieros al establecer quiénes son los clientes y asegurarse de que no participen en actividades ilícitas.

Pero la forma en que normalmente se implementa el KYC exige que las empresas almacenen enormes cantidades de información confidencial, lo que crea valiosos honeypots para los delincuentes.

Y el problema es cada vez más difícil de ignorar. Solo en la primera mitad de 2026, las filtraciones de datos en Estados Unidos afectaron al menos a 343 millones de personas, según Privacy Rights Clearinghouse. Y, lo que resulta aún más frustrante, ya es posible verificar la identidad de una persona sin almacenar sus documentos de identidad mediante pruebas de conocimiento cero:

Efrat Fenigson, presentadora del pódcast You’re The Voice, escribe y habla extensamente sobre privacidad y KYC. Le dijo a Magazine:

«Cuando los reguladores siguen imponiendo un modelo que garantiza este resultado —mientras ya existe la tecnología para verificar sin almacenar—, eso es una señal de alarma. Implica que falta pensamiento racional y voluntad real para resolver los problemas».

Entonces, ¿cuántas filtraciones más harán falta antes de que esa voluntad empiece a ceder?

El KYC se creó para recopilar tu identidad, no solo para verificarla

Los sistemas de KYC actuales han evolucionado prácticamente en torno al supuesto de que las instituciones deben ver los pasaportes o licencias de conducir de los clientes, registrar la información pertinente y luego almacenar pruebas de la comprobación.

343 millones de personas ya se han visto afectadas por filtraciones de datos en Estados Unidos en 2026. Fuente: Privacy Rights Clearinghouse.

Pero ese enfoque tiene un problema evidente: ha creado un vasto ecosistema de proveedores de identidad, bases de datos, vendedores y sistemas de cumplimiento que almacenan, por separado, enormes reservas de tus datos individuales de KYC. Cada copia adicional de tus datos crea otro posible punto de fallo, y los hackers son cada vez más creativos a la hora de idear formas de acceder a ellos.

En el caso de Revolut, el hacker envió correos electrónicos solicitando los datos de KYC desde una dirección legítima de las fuerzas del orden italianas. Lyudmyla Kozlovska, presidenta de Open Dialogue, afirmó en X que las leyes de la UE no dejaban a Revolut otra opción que cumplir.

«La legislación de la UE contra el blanqueo de capitales no impone al banco ninguna obligación de verificación ni ofrece un mecanismo significativo para comprobar quién se encuentra realmente detrás de una solicitud estatal autenticada. Negarse a responder conlleva multas millonarias. En la práctica, la verificación es imposible».

Relacionado: 200.000 «víctimas» falsas de IA desplegadas para estafar a defraudadores en internet

Susie Violet Ward, directora y cofundadora de Bitcoin Policy UK, advierte que el verdadero problema radica en almacenar datos de identidad innecesariamente:

«Tenemos que dejar de tratar la verificación de identidad y la entrega de tu identidad como si fueran lo mismo».

Si una empresa solo necesita saber que alguien es mayor de 18 años, sostiene, no debería necesitar automáticamente datos adicionales como tu nombre completo, dirección, fecha exacta de nacimiento y una copia permanente de los documentos de identidad correspondientes:

«La ironía es que el KYC está diseñado para hacer más seguros los sistemas, pero la forma en que lo implementamos actualmente puede crear un problema de seguridad completamente distinto. Puedes restablecer una contraseña después de una filtración, pero no puedes restablecer tu identidad de la misma manera».

La tecnología para dejar de acumular documentos de identidad ya existe

Para los defensores de las criptomonedas, la solución obvia es utilizar pruebas de conocimiento cero. Se trata de una prueba matemática que demuestra que algo es cierto sin revelar los detalles. Por ejemplo, puedes usar una aplicación telefónica para generar una prueba que confirme que tu licencia de conducir indica que tienes más de 18 años, sin enviar tu fecha de nacimiento ni una imagen de la propia licencia.

El fundador de Zcash, Zooko Wilcox, ofrece una explicación útil de la tecnología ZK en este video.

Una explicación útil de la tecnología ZK. Fuente: Crypto Fireside

Evin McMullen, director ejecutivo y cofundador de Billions Network, que desarrolla soluciones de identidad digital y ZK que preservan la privacidad, declaró a Magazine:

«La tecnología funciona y ya está en producción, en miles de aplicaciones e instituciones reguladas. Lo que la frena es que toda la estructura de cumplimiento se construyó en torno a recopilar y almacenar copias de documentos».

McMullen afirma que la barrera «nunca fue la tecnología», sino las normas, los incentivos y la infraestructura construidos a su alrededor:

«Este es un problema de gobernanza y estándares disfrazado de problema tecnológico».

Si la tecnología funciona, ¿qué la está frenando?

La Unión Europea ya está incorporando tecnología ZK al diseño de sus sistemas de identidad digital y verificación de edad, desarrollando una verificación de edad que preserva la privacidad y permite a los usuarios demostrar su edad sin revelar su identidad completa ni su fecha exacta de nacimiento.

Relacionado: Los temores a una epidemia de hackeos de DeFi impulsados por IA son exagerados por ahora, pero no por mucho tiempo

Su billetera de identidad digital también admite la «divulgación selectiva», de modo que los usuarios revelan únicamente la información necesaria para una transacción concreta.

Entonces, ¿por qué no se está implementando esto de forma más amplia para el KYC financiero?

Según McMullen, «la regulación y la comprensión» son los mayores obstáculos para su adopción:

«El obstáculo más común es que los equipos de cumplimiento confunden “vimos el documento de identidad” con “debemos conservar el documento de identidad”, así que recopilan datos en exceso para estar seguros».

Afirma que la interoperabilidad es otro problema, ya que las pruebas criptográficas solo son útiles «si la parte que depende de ellas puede comprobarlas sin volver a contactar con quien las emitió». Eso exige establecer estándares compartidos, algo más fácil de decir que de hacer.

La ZK no resuelve mágicamente el KYC

Hay otra salvedad importante: sustituir un documento de identidad por una prueba de conocimiento cero no elimina automáticamente todos los problemas de privacidad o seguridad.

Fenigson señala que aquello a lo que queda vinculada una credencial ZK es igualmente importante:

«Los incentivos apuntan al control, no a la privacidad. Las pruebas de conocimiento cero permiten demostrar un hecho, como tener más de 18 años o no figurar en una lista de sanciones [...] Lo que falta es aquello a lo que se vincula esa prueba. Ahora mismo, normalmente se vincula a una cuenta dentro de la base de datos de otra persona».

La billetera de identidad digital de la UE admite la divulgación selectiva. Fuente: Comisión Europea

Por tanto, todo se reduce a quién controla en última instancia la credencial. Si una persona genera una prueba que preserva la privacidad, pero esa prueba está vinculada a una cuenta en la base de datos de otra persona, sigue dependiendo de un intermediario centralizado.

Las reglas no son tan claras como podría pensarse

En muchos casos, las reglas en realidad no exigen almacenar los datos de identidad; es más una convención, porque así es como siempre se ha hecho.

La orientación del Grupo de Acción Financiera Internacional (GAFI) considera explícitamente cómo pueden utilizarse los sistemas de identidad digital para llevar a cabo la diligencia debida con respecto al cliente, en lugar de exigir a las instituciones que dependan de documentos físicos de identidad.

Las recomendaciones del GAFI también funcionan como un marco basado en el riesgo, dejando que cada país implemente las normas mediante sus propios sistemas jurídicos y regulatorios.

«En muchos regímenes, la regla es que hay que verificar la identidad y conservar registros de esa verificación, no que haya que guardar para siempre una imagen del documento original», afirma McMullen.

Eso significa que una atestación verificable criptográficamente, acompañada de un registro que demuestre que se realizó la comprobación pertinente, podría bastar para cumplir la normativa sin crear otra copia permanente del documento de identidad.

Pero, como la orientación es «ambigua», McMullen afirma que las instituciones simplemente optan por conservarlo todo, porque sus equipos de cumplimiento saben que los auditores y examinadores lo aceptarán.

En otras palabras, aunque las reglas permitan técnicamente un enfoque diferente, nadie está dispuesto a ser el primero en correr ese riesgo, como explica Ward:

«Existe una tendencia instintiva en la regulación a pensar que más información implica más control y, por tanto, más seguridad».

Es difícil imaginar que eso cambie a menos que se modifiquen las reglas para permitir explícitamente las pruebas de conocimiento cero. Y aunque ningún sistema es perfecto, al menos la tecnología ZK evita la necesidad de recopilar y conservar tanta información confidencial. Como afirma McMullen:

«No se puede perder lo que nunca se tuvo».

Revista: 10 de los mayores misterios no resueltos de las criptomonedas