Cuando se trata de la identidad, la mayoría de los servicios bancarios parecen haberse quedado en la Edad de Piedra, mientras internet transformaba el mundo que los rodea. Para abrir una cuenta, las personas debían presentarse en una sucursal física con varios documentos de identidad diferentes que acreditaran quiénes son. Una vez abierta la cuenta, los usuarios dependen de tarjetas bancarias y contraseñas para realizar transacciones. Estos protocolos de identidad, basados en objetos físicos, son vulnerables a la pérdida, el fraude y el error humano. En el pasado eran suficientes, pero las formas y los lugares en que las personas demuestran su identidad están cambiando. Si quieren mantener seguros a sus usuarios, los protocolos de identidad también deben cambiar.
Hoy en día, el mundo es digital. El usuario promedio de internet en EE. UU. dedica 32 horas al mes en línea. Diariamente, los usuarios de internet envían más de 200 000 millones de correos electrónicos y buscan en Google 3 000 millones de veces. El comercio electrónico representa actualmente el 7,2 % de las ventas minoristas, un mercado de 4,5 billones de dólares en EE. UU. Los servicios esenciales se están digitalizando: el 54 % de los adultos estadounidenses que se informaron o solicitaron prestaciones gubernamentales en 2014 lo hicieron en línea, y más de la mitad realiza operaciones bancarias en línea. Cuando se trata de la identidad en línea, lo que está en juego es alto, y hasta ahora el mundo digital no hace un buen trabajo protegiendo a sus usuarios.
Cuando los proveedores de servicios comenzaron a migrar a plataformas en línea, modificaron el modelo de identidad, sustituyendo una tarjeta física y un PIN por un nombre de usuario y una contraseña. La identidad pasó a basarse por completo en información, apoyándose en datos que, presumiblemente, solo conocía el usuario real. Esto dejó de funcionar a medida que el mundo digital se expandía. Para 2007, el usuario estadounidense promedio tenía 25 cuentas protegidas con contraseña. Hoy, los problemas son aún peores.
Número promedio de cuentas registradas con una misma dirección de correo electrónico
Fuente: Dashlane
Las exigencias que hoy se imponen a los usuarios son poco realistas: cada cuenta debería tener una contraseña única, que probablemente debería combinar más de 10 caracteres en mayúsculas y minúsculas con símbolos; debería cambiarse con frecuencia y, por supuesto, nunca anotarse. El lápiz y el papel no son seguros, y el software de gestión de contraseñas es un blanco principal de los ataques informáticos.
Una consecuencia es que los usuarios legítimos pulsan con frecuencia el botón de «restablecer contraseña». A pesar del costo para las organizaciones – entre el 10 % y el 30 % de las llamadas a la mesa de ayuda corresponden a contraseñas olvidadas, con costos que van de 51 a 147 dólares por mano de obra–, este no es, ni con mucho, el problema más grave.
Los usuarios frustrados recurren a soluciones alternativas que hacen vulnerable el sistema. Eligen contraseñas fáciles de recordar y, por tanto, vulnerables a ser descifradas mediante fuerza bruta computacional. Repiten contraseñas entre distintas cuentas: en 2007, la contraseña promedio estaba asociada a cuatro cuentas en línea, lo que genera un efecto dominó si se compromete una cuenta. Las preguntas de seguridad pueden descifrarse mediante investigación e ingeniería social: el hacker que irrumpió en el correo electrónico de la candidata presidencial Sarah Palin en 2008 simplemente respondió las preguntas de seguridad con información biográfica que estaba fácilmente disponible en línea.
La vulnerabilidad de la identidad en línea alimenta la ciberdelincuencia. Ya se trate de datos personales, nombres de usuario y contraseñas, o números de tarjetas de crédito, Statista estima que en 2014 los hackers expusieron información de más de 85 millones de cuentas en EE. UU.: una cifra asombrosa.
Fuente: Statista
Aunque publicar tuits ridículos en la cuenta de Twitter de una celebridad pueda no parecer grave –los tuits sobre desastres en el perfil de New York Post, algo menos grave–, los hackers pueden causar enormes daños. Un hacker puede vaciar una cuenta bancaria, solicitar falsamente prestaciones gubernamentales, difundir información o imágenes personales y arruinar reputaciones desde cualquier parte del mundo; y, dada la falta de estructuras internacionales para hacer frente a la ciberdelincuencia, es posible que nunca tengan que afrontar consecuencias. Esto deja a las personas luchando por reparar el daño.
La llamada a repensar la autenticación basada en contraseñas es clara y fuerte, y hay señales prometedoras de que está siendo escuchada. Los proveedores avanzan hacia la autenticación multifactor, que se apoya en factores contextuales como el dispositivo específico que se utiliza como parte de la autenticación. Los sistemas biométricos están ganando terreno rápidamente: el sistema operativo Windows 10 de Microsoft permite a los usuarios iniciar sesión mediante huella dactilar o reconocimiento facial, mientras que la tecnología patentada de la startup canadiense Nymi autentica a los usuarios a partir de sus latidos cardíacos. EE. UU., que lleva mucho tiempo rezagado, está por fin dando el paso de las tarjetas de crédito con banda magnética a las tarjetas EMV con chip y PIN, más seguras, y en el horizonte se perfilan tarjetas aún más seguras basadas en biometría . Aunque todavía queda un largo camino por recorrer, el mundo digital empieza a cuidar mejor de sus usuarios.
Las soluciones de identidad eficaces tienen algo en común: reducen la carga para el usuario. Una buena autenticación es a la vez sólida y sencilla, y facilita a los usuarios gestionar y proteger su información personal. Las instituciones financieras, los gobiernos y los proveedores de servicios deben colaborar para que los usuarios puedan aprovechar los beneficios del mundo en línea sin poner en riesgo su vida digital.
¿Ya lo ha leído?
¿Qué puede hacer la Nueva Ruta de la Seda por el comercio mundial?
5 razones por las que necesitamos servicios financieros para los pobres
Autora: Christine Robson, Gerente de Proyecto, Servicios Financieros, Foro Económico Mundial. Lidera el trabajo sobre identidad digital como parte del proyecto Innovación Disruptiva en Servicios Financieros del Foro. Christine está en comisión de servicios en el Foro procedente de Deloitte Canadá, donde forma parte del grupo de estrategia corporativa Monitor Deloitte.
Imagen: Un hombre posa con su tableta iPad mientras está sentado en un bar, en esta ilustración fotográfica tomada en Roma el 20 de septiembre de 2012. REUTERS/Tony Gentile
