Didit supera iBeta Level 2: 300 ataques, ninguno pasó

Hemos superado iBeta Level 2. El 9 de noviembre de 2026, iBeta Quality Assurance confirmó que la prueba de vida de Didit cumple la norma ISO/IEC 30107-3 de detección de ataques de presentación en el nivel 2: el laboratorio lanzó 300 ataques de presentación y ninguno pasó.

Quiero contar por qué esto me importa a mí, y por qué creo que debería importar a cualquiera que tenga un producto en internet. Esto no es una nota de prensa. Es la razón por la que construimos Didit como lo hemos construido.

Qué hemos superado

iBeta Quality Assurance es un laboratorio biométrico independiente, acreditado por NIST/NVLAP (código de laboratorio 200962) para hacer pruebas según ISO/IEC 30107-3, el estándar internacional para evaluar la detección de ataques de presentación. Un ataque de presentación es cualquier intento de engañar una verificación facial con algo que no es una persona viva: una foto, un vídeo en una pantalla, una máscara.

El resultado es sencillo. 300 ataques. 0 aceptados. Una tasa de éxito de ataque del 0%.

Level 2 es el segundo de los niveles de iBeta. Usa instrumentos de ataque más avanzados y más caros que Level 1, fabricados por atacantes con más habilidad y más tiempo. En Level 2 se probó nuestra prueba de vida activa. Nuestra prueba de vida pasiva superó Level 1 en febrero de 2026, con 360 intentos y un 0% de éxito de ataque. Así que hoy Didit tiene los dos: iBeta Level 1 y Level 2.

Lee la carta de confirmación. El resto de certificaciones y auditorías que tenemos están en nuestra página de confianza.

Level 1 frente a Level 2, en palabras sencillas

	Level 1	Level 2
Habilidad del atacante	Sin conocimientos especiales	Moderada: ya ha hecho al menos otra prueba de este tipo y entiende cómo funciona la prueba de vida
Instrumentos de ataque	Cosas que encuentras en casa o en una oficina, hasta 30 dólares en materiales	Herramientas más caras como impresoras 3D, máscaras de resina y máscaras de látex, hasta 300 dólares en materiales
Ataques que pueden pasar	0%	Hasta el 1%
Qué demuestra	El sistema frena las suplantaciones baratas y habituales	El sistema aguanta frente a un atacante experto con falsificaciones mejores

Fuente: la metodología de pruebas PAD publicada por iBeta. El método de iBeta permite que pase hasta el 1% de los ataques en Level 2. Nosotros tuvimos 0.

Los dos niveles se prueban igual: un laboratorio que no trabaja para nosotros fabrica falsificaciones, se las presenta al sistema y cuenta cuántas pasan. Lo que cambia es la calidad de las falsificaciones. Level 1 pregunta si frenas los ataques baratos y habituales. Level 2 pregunta si sigues aguantando cuando alguien le dedica un esfuerzo de verdad.

Por qué importa ahora

Hace diez años, falsificar una cara requería habilidad. Hoy basta con un portátil y una tarde.

No es una opinión mía. En noviembre de 2024, la unidad de delitos financieros del Tesoro de Estados Unidos, FinCEN, publicó una alerta sobre contenidos deepfake en la que decía haber visto, desde 2023, más informes de actividad sospechosa que describen deepfakes usados «para eludir los métodos de verificación de identidad y de autenticación». Una de sus señales de alerta: un cliente que usa «un complemento de webcam de terceros durante una verificación en directo».

El Center for Financial Services de Deloitte estimó en 2024 que la IA generativa podría elevar las pérdidas por fraude en Estados Unidos hasta 40.000 millones de dólares en 2027, frente a 12.300 millones en 2023. En enero de 2026, el Cybercrime Atlas del Foro Económico Mundial analizó 17 herramientas de intercambio de caras y concluyó que algunas ya ofrecen una «suplantación en tiempo real y de alta fidelidad capaz de socavar el KYC digital». La agencia europea de ciberseguridad, ENISA, informó en 2022 de que los ataques con máscaras y con inyección de vídeo iban en aumento.

Estos son los ataques que una verificación facial tiene que frenar:

• Fotos impresas. El truco más antiguo. Alguien pone delante de la cámara una foto impresa de la cara de otra persona. Barato, y se sigue intentando cada día.
• Reproducciones en pantalla. Un vídeo de la persona real reproducido en un móvil o una tableta delante de la cámara. Parpadea, se mueve, parece vivo.
• Máscaras. De papel, látex, resina o silicona. Las buenas tienen una profundidad y una textura que una imagen plana no tiene.
• Deepfakes. Una cara sintética, o una cara real superpuesta sobre otra persona en tiempo real. Si se muestra a la cámara en una pantalla, es un ataque de presentación.
• Ataques de inyección. El atacante se salta la cámara por completo y mete en la app un vídeo pregrabado o sintético, con una cámara virtual, un emulador o un dispositivo modificado. No hay ninguna falsificación física que ver. Lo explicamos en detalle en nuestro artículo sobre la detección de ataques de inyección.

La prueba de iBeta trata de ataques de presentación: falsificaciones que se muestran a la cámara. La inyección es otra vía de ataque, y es la razón por la que la prueba de vida por sí sola no es toda la respuesta.

Demostrar que hay una persona detrás de la pantalla

Esto es lo que creo. Internet se está llenando de cosas que parecen personas y no lo son. Bots que se registran. Granjas de cuentas que abren miles de perfiles con identidades robadas o sintéticas. Agentes de IA que actúan en nombre de alguien a quien no ves.

La evaluación de amenazas del cibercrimen de 2026 de Europol describe un único servicio de granja de SIM detrás de más de 49 millones de cuentas online, y dice que estas granjas permiten a las redes criminales «saltarse los protocolos KYC y darse de alta en miles de servicios a la vez». El equipo de pagos de la Reserva Federal de Estados Unidos describe el fraude de identidad sintética como, «según los informes, el tipo de delito financiero que más rápido crece en Estados Unidos», con pérdidas de miles de millones cada año.

Los estándares van en la misma dirección. Las directrices de identidad digital del NIST, SP 800-63A-4 (julio de 2025), exigen detección de ataques de presentación siempre que se comparen datos biométricos en remoto, probada según ISO/IEC 30107-3, «para confirmar la presencia real de un ser humano vivo».

Las contraseñas y los códigos demuestran que alguien sabe algo. No demuestran que haya una persona real. La prueba de vida y la autenticación biométrica sí. Una cara viva, vinculada a una identidad verificada, es la señal más fuerte que tenemos de que una persona concreta está presente, ahora mismo, y no un bot ni una granja.

Pero una sola señal nunca basta. En Didit ponemos la cara junto a todo lo demás que vemos en la misma verificación:

• Prueba de vida. Pasiva, 3D Flash o 3D Action and Flash, según cuánto riesgo quieras asumir.
• Comparación y búsqueda facial. La cara en vivo se compara con la del documento y se busca entre tus propios usuarios y listas de bloqueo para detectar a la misma persona abriendo una segunda cuenta.
• Autenticación biométrica. Cuando un usuario que vuelve hace algo sensible, una nueva prueba de vida más una comparación con la cara con la que se verificó.
• Análisis de dispositivo e IP. La huella del dispositivo encuentra el mismo aparato físico detrás de muchas cuentas, y las comprobaciones de IP marcan VPN, proxies, Tor y ubicaciones que no cuadran.
• Señales de email y teléfono en el mismo registro que el resultado de identidad.

Todo junto, creo que esto se convierte en la primera línea de defensa de internet. No un muro alrededor de una app, sino una pregunta sencilla en los momentos que importan: ¿es una persona real, y es la persona correcta?

Level 2 es una prueba independiente de que la parte facial de esa respuesta aguanta frente a ataques avanzados. No lo decimos nosotros. Lo dice un laboratorio.

Todo lo que nos han evaluado

No pedimos a nadie que se fíe de nuestra palabra en seguridad. Esta es la lista completa a día de hoy, con los detalles en nuestra página de confianza y en nuestro resumen de certificaciones y auditorías.

Certificación	Qué cubre	Fecha
iBeta PAD Level 2 (ISO/IEC 30107-3)	Prueba de vida activa frente a ataques de presentación avanzados. 300 ataques, 0% de éxito.	Noviembre de 2026
iBeta PAD Level 1 (ISO/IEC 30107-3)	Prueba de vida pasiva frente a ataques de presentación habituales. 360 intentos, 0% de éxito.	Febrero de 2026
SOC 2 Type 1	Diseño de nuestros controles de seguridad, disponibilidad y confidencialidad.	Abril de 2026
SOC 2 Type 2	Cómo funcionaron esos mismos controles durante un periodo de observación.	Informe emitido en julio de 2026
ISO/IEC 27001:2022	Nuestro sistema de gestión de la seguridad de la información, certificado por Bureau Veritas.	Válido hasta junio de 2027
Sandbox del Tesoro español	Tesoro, Banco de España, SEPBLAC y CNMV concluyeron que nuestra verificación remota es al menos tan segura como identificar a alguien en persona.	De noviembre de 2024 a julio de 2025
Verificación de edad FSM	Nuestro sistema de verificación de edad, certificado según las normas alemanas de protección de menores.	Junio de 2026
FIDO Alliance	Miembro asociado de la organización detrás de FIDO2 y las passkeys. Es una membresía, no una certificación.	Agosto de 2026
Dictamen sobre onboarding remoto de la EBA	Dictamen jurídico independiente de que nuestro onboarding remoto cumple las directrices de la EBA sobre incorporación remota de clientes.	Bajo petición
GDPR	Actuamos como encargado del tratamiento según el GDPR, con controles del artículo 32 y un contrato de encargo de tratamiento.	Continuo

El resultado del sandbox español es del que más orgulloso estoy, porque los reguladores llegaron a él por su cuenta. Puedes leer sus conclusiones.

Qué significa esto si usas Didit

• No tienes que cambiar nada. El resultado cubre la prueba de vida activa de Didit. Si tu flujo la usa, no hay nada que cambiar en tu integración.
• Pruebas que puedes entregar. Cuando un banco socio, un auditor o un regulador te pregunte cómo frenas la suplantación, puedes señalar el resultado de un laboratorio acreditado frente a un estándar publicado, en lugar de la promesa de un proveedor.
• Más que una verificación facial. Combina la prueba de vida con la búsqueda facial, el análisis de dispositivo e IP y la autenticación biométrica en un solo flujo, en un solo registro.

Preguntas frecuentes

¿Qué es iBeta Level 2?

Es el segundo nivel de las pruebas de detección de ataques de presentación que hace iBeta Quality Assurance según ISO/IEC 30107-3. Frente a Level 1, el laboratorio usa instrumentos de ataque más avanzados y más caros, fabricados con más tiempo y habilidad.

¿Qué ha conseguido Didit?

iBeta lanzó 300 ataques de presentación contra la prueba de vida de Didit y ninguno fue aceptado: una tasa de éxito de ataque del 0%. La carta de confirmación tiene fecha del 9 de noviembre de 2026.

¿Didit tiene iBeta Level 1 o Level 2?

Los dos. Didit superó iBeta Level 1 en febrero de 2026 con la prueba de vida pasiva y Level 2 en noviembre de 2026 con la prueba de vida activa, ambos con un 0% de éxito de ataque.

¿Qué es ISO/IEC 30107-3?

Es la parte del estándar ISO/IEC 30107 que define cómo probar y documentar la detección de ataques de presentación en sistemas biométricos, para que se puedan comparar resultados de distintos laboratorios y proveedores.

¿Quién es iBeta?

iBeta Quality Assurance es un laboratorio de pruebas independiente de Estados Unidos, acreditado por NIST/NVLAP (código de laboratorio 200962) para probar la detección de ataques de presentación según ISO/IEC 30107-3.

¿iBeta Level 2 cubre deepfakes y ataques de inyección?

iBeta Level 2 prueba ataques de presentación, es decir, falsificaciones que se muestran a la cámara. No prueba ataques de inyección, que se saltan la cámara. Por eso combinamos la prueba de vida con señales de dispositivo, IP y otras.

¿Puedo ver la carta?

Sí. Lee la carta de confirmación y encuentra nuestros otros informes en la página de confianza.

¿Tengo que cambiar mi integración?

No. Eliges prueba de vida pasiva o activa por flujo en la Business Console, y no cambia nada en tu integración.

¿Cómo lo pruebo?

Crea una cuenta gratis en business.didit.me, monta un flujo con prueba de vida y ejecútalo en el sandbox. La documentación de la prueba de vida explica cada método.

Para terminar

El fraude se ha abaratado. Demostrar que eres humano también debería ser barato, y debería ser sólido. Ese es el listón que nos ponemos, y Level 2 es una comprobación independiente más de que lo cumplimos.

Si quieres verlo funcionando, empieza gratis. Si prefieres ver antes los informes, están en nuestra página de confianza.

Alberto Rosas, CEO de Didit