Google ha introducido un nuevo método de autenticación de cuentas que permite a los usuarios subir un video selfie a sus servidores y posteriormente utilizar un video selfie nuevo para iniciar sesión o recuperar el acceso. El sistema compara ambas grabaciones mediante algoritmos de reconocimiento facial, ofreciendo una alternativa a las contraseñas, las llaves de seguridad o los códigos de respaldo. Sin embargo, la función llega en un momento en que la tecnología necesaria para vulnerarla avanza al menos tan rápido como las defensas diseñadas para detenerla.
La principal preocupación son los deepfakes. Los sistemas de inteligencia artificial que pueden mapear el rostro de una persona sobre el cuerpo de otra en tiempo real se han vuelto ampliamente accesibles, y los investigadores han demostrado ataques contra sistemas de autenticación basados en video similares que emplean exactamente esta técnica. Un atacante que obtenga una foto de un objetivo, ya sea de redes sociales, una filtración de datos o una cuenta comprometida, podría generar un video sintético que supere una verificación de vida, realizando los giros de cabeza y movimientos requeridos que el sistema de autenticación utiliza para verificar que el usuario está físicamente presente.
Google ha declarado que cuenta con protecciones implementadas y que sus sistemas están diseñados para detectar y rechazar contenido sintético. La compañía también monitorea otras señales de inicio de sesión sospechosas junto con la verificación del video selfie. Sin embargo, el ritmo de mejora de los modelos generativos de video dificulta el mantenimiento de defensas estáticas. Un método de detección que funciona hoy podría no sobrevivir a la próxima generación de síntesis de video basada en difusión.
Las preocupaciones sobre la privacidad se suman a los cuestionamientos de seguridad. Google señala en su documentación de ayuda que los videos selfie subidos podrían utilizarse para entrenar los modelos de reconocimiento facial y estimación de edad de la compañía si el usuario lo permite. La intersección entre la recolección de datos biométricos y la ola de leyes gubernamentales de verificación de edad que se debaten en múltiples jurisdicciones crea un camino regulatorio incierto sobre cómo estos datos podrían ser utilizados, compartidos o requeridos.
Para los usuarios, la pregunta práctica es si la conveniencia de la recuperación mediante video selfie supera los riesgos de expandir la exposición de datos biométricos. Las passkeys, que dependen de claves criptográficas vinculadas al dispositivo en lugar de grabaciones biométricas, ofrecen una alternativa más madura que evita subir datos faciales a un servidor. Las llaves de seguridad físicas brindan una protección similar contra la apropiación de cuentas sin la superficie de ataque de los deepfakes.
El impulso general de Google hacia la autenticación asistida por dispositivos es una tendencia positiva, ya que reducir la dependencia de contraseñas reutilizadas es una de las mejoras de seguridad más impactantes disponibles. Pero el enfoque del video selfie, específicamente, introduce una clase de riesgo biométrico que los métodos de autenticación existentes ya han resuelto. El camino más prudente para la mayoría de los usuarios es esperar a que se verifique de forma independiente que el sistema puede resistir los ataques de deepfakes que inevitablemente lo tendrán como objetivo.
Traducido por Alessandra
Fuentes: Google wants your face to be your backup password. I’d wait. (PCWorld, 27 de julio de 2026); Google video selfie account recovery (The Register, 27 de julio de 2026)