Un ciudadano ucraniano admite haber gestionado OnlyFake, una web que vendía miles de documentos falsos generados por IA
## Introducción
En un caso que pone de manifiesto el creciente impacto de la inteligencia artificial en el ámbito del fraude documental, un ciudadano ucraniano se ha declarado culpable de operar «OnlyFake», una plataforma online capaz de crear y comercializar fotografías de documentos de identidad falsos a escala mundial. Esta operación, que ha salido a la luz tras una investigación internacional, revela cómo las nuevas tecnologías están transformando el cibercrimen y la sofisticación de las amenazas asociadas a la suplantación de identidad.
## Contexto del Incidente
OnlyFake surgió como un servicio web aparentemente legítimo, dirigido a clientes de todo el mundo que buscaban obtener documentos de identidad falsificados para sortear controles de verificación en servicios financieros, plataformas de intercambio de criptomonedas y otras aplicaciones reguladas. A diferencia de los métodos tradicionales de falsificación, OnlyFake integraba modelos de inteligencia artificial generativa para crear imágenes de alta calidad de documentos como pasaportes, carnés de conducir y tarjetas de identificación nacionales, imitando los patrones de seguridad y microtextos que exigen los controles automatizados KYC (Know Your Customer).
El responsable, de nacionalidad ucraniana, ha admitido la creación y venta de más de 10.000 imágenes falsas de documentos de identidad, aprovechando lagunas en los sistemas de verificación de identidad online y la falta de mecanismos sólidos de detección de deepfakes en muchas plataformas.
## Detalles Técnicos
La plataforma OnlyFake estaba diseñada para ser altamente automatizada y eficiente. Utilizaba técnicas de IA generativa, probablemente basadas en redes generativas antagónicas (GANs), para producir imágenes de documentos con un realismo suficiente como para evadir controles automáticos de validación de imagen y análisis de metadatos. Los usuarios podían seleccionar el tipo de documento, país, nombre, fotografía y otros datos personalizados. Después, el sistema generaba y entregaba la imagen digital mediante un sistema de pago anónimo, generalmente con criptomonedas.
La investigación ha desvelado que los documentos generados por OnlyFake superaban controles de plataformas de verificación como Sumsub y otros proveedores de KYC, gracias a la manipulación precisa de las características visuales y de los metadatos EXIF.
Aunque no se han publicado CVEs específicos asociados a este caso, el vector de ataque principal era la explotación de la debilidad de los sistemas de onboarding digital ante documentos manipulados por IA. Las TTP observadas corresponden al marco MITRE ATT&CK en las técnicas T1195 (Supply Chain Compromise) y T1586 (Compromise Accounts), ya que los documentos falsos permitían el acceso fraudulento a servicios regulados.
Como IoC (Indicadores de Compromiso), se identificaron patrones de metadatos y artefactos digitales específicos de las imágenes generadas por OnlyFake, así como transacciones con wallets de criptomonedas asociadas a la operación.
## Impacto y Riesgos
El alcance de la operación es considerable: se estima que más de 10.000 identidades falsas fueron generadas y distribuidas a clientes de 50 países, incluyendo estados miembros de la UE y Estados Unidos. El uso de estos documentos ha facilitado actividades ilícitas como el blanqueo de capitales, la evasión de sanciones, el acceso a cuentas bancarias y de criptomonedas, y la creación de empresas pantalla.
Según datos preliminares, los ingresos generados por OnlyFake superan los 1,5 millones de dólares, con un coste medio de 150 dólares por documento falsificado. Además, la proliferación de este tipo de servicios amenaza la integridad de los sistemas de verificación de identidad, incrementando el riesgo de fraude financiero y de cumplimiento normativo, especialmente en sectores sujetos a la GDPR y la directiva europea NIS2.
## Medidas de Mitigación y Recomendaciones
Para mitigar el riesgo que representan servicios similares a OnlyFake, los expertos recomiendan:
– Implementar mecanismos avanzados de detección de deepfakes y manipulación de imágenes en los procesos KYC.
– Realizar análisis de metadatos y huellas digitales en los documentos subidos por los usuarios.
– Adoptar tecnologías de verificación biométrica activa (liveness detection) complementarias a la revisión documental.
– Actualizar los procedimientos de onboarding digital para incluir revisiones manuales en casos sospechosos.
– Compartir IoCs y patrones identificados con la comunidad de ciberseguridad y organismos reguladores.
– Cumplir escrupulosamente con las obligaciones de reporte establecidas en la NIS2 y la GDPR ante incidentes de fraude documental.
## Opinión de Expertos
Especialistas en ciberseguridad y fraude documental destacan que “el caso OnlyFake marca un antes y un después en el uso de IA para la suplantación de identidad. La sofisticación de los documentos generados obliga a replantear los controles de onboarding digital y la colaboración entre proveedores de servicios y organismos públicos”. Además, advierten que la detección de deepfakes y la autenticación biométrica serán áreas críticas de inversión en los próximos años.
## Implicaciones para Empresas y Usuarios
Para las organizaciones, especialmente aquellas en sectores regulados como el financiero o el de criptoactivos, este caso subraya la necesidad de fortalecer los controles de identidad digital. La exposición a documentos falsificados puede derivar en sanciones regulatorias, daños reputacionales y pérdidas económicas significativas. Los usuarios, por su parte, deben ser conscientes de los riesgos asociados a la compraventa de identidades falsas y sus posibles repercusiones legales.
## Conclusiones
El caso OnlyFake pone de relieve la velocidad a la que evoluciona el cibercrimen gracias a las capacidades de la inteligencia artificial. La industria debe adaptarse rápidamente, reforzando los controles de verificación y colaborando de forma proactiva para detectar y neutralizar estas amenazas. La cooperación internacional y la inversión en tecnologías antifraude serán claves para contener este tipo de actividades ilícitas en el futuro.
(Fuente: www.bleepingcomputer.com)