Pasaporte falso: cómo detectarlo con IA y ley mexicana

Un pasaporte falso ya no es solo una libreta alterada con hologramas robados. Cada vez más es un archivo digital generado por IA, o una selfie sintética que engaña la comprobación de vida de un onboarding bancario, sin que ningún documento físico haya existido. Bancos, fintechs, aseguradoras, arrendadoras de autos y financieras en México reciben este documento a diario como prueba de identidad de extranjeros, casi siempre bajo presión de tiempo y sin capacitación forense.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoría legal o regulatoria.

Qué es un pasaporte falso y qué formas adopta hoy

Un pasaporte falso simula acreditar identidad y nacionalidad sin una emisión legítima de por medio, y adopta tres formas, cada una con un rastro y un método de detección distinto: la falsificación física, que reproduce el soporte con equipo industrial —laminado, hologramas, tintas variables—; la alteración digital, que parte de un escaneo real y modifica un campo —foto, fecha de vigencia, número de documento—; y la generación sintética por IA, que no parte de ningún documento auténtico, sino que un modelo de difusión crea desde cero una página de datos con MRZ y rostro inventados, pensada para superar un control de carga en una app.

Los documentos nacionales de identidad, categoría que incluye a los pasaportes junto con credenciales tipo INE, representaron cerca del 46 % de todos los documentos fraudulentos presentados a nivel mundial, según el informe Identity Fraud Report 2026 de Entrust, que analiza más de mil millones de verificaciones de identidad en 195 países.

Por qué el pasaporte es un blanco prioritario de fraude en México

El pasaporte acredita identidad, nacionalidad y elegibilidad para relaciones de alto riesgo: en banca y fintech, para el onboarding KYC de extranjeros o mexicanos en el exterior; en seguros, para suscribir pólizas o acreditar al beneficiario tras un siniestro; en renta de autos, como referencia para conductores extranjeros; y en crédito al consumo, cuando falta INE vigente.

El pasaporte mexicano lo expide en exclusiva la Secretaría de Relaciones Exteriores (SRE), facultada para verificar la autenticidad de un trámite ante la autoridad emisora cuando detecta inconsistencias, según información oficial de la SRE. La Fiscalía de San Luis Potosí ha alertado sobre sitios apócrifos que suplantan a la SRE y cobran por trámites que nunca se completan, según la propia Fiscalía, un fraude que suele preceder al uso del documento falso en un onboarding.

Elementos de seguridad físicos y señales de falsificación

Un pasaporte biométrico auténtico combina capas visuales, ópticas y electrónicas que rara vez coinciden todas en una falsificación. El estándar que las define es el Doc 9303 de la ICAO, vigente desde el 1 de enero de 2026.

Alterar cualquier dato del chip invalida la firma digital del emisor, lo que hace de la verificación electrónica la comprobación más difícil de falsificar, según el propio Doc 9303 de la ICAO. Ningún indicador aislado es concluyente: un holograma puede verse desgastado en un documento legítimo tras años de uso; es la coherencia conjunta la que permite decidir con fiabilidad.

Pasaportes generados por IA: deepfakes e inyección de imagen

Un pasaporte generado por IA no imita un soporte físico: produce una imagen digital de la página de datos, pensada para una verificación a distancia. La técnica más extendida en 2026 combina una plantilla MRTD sintética con un face swap sobre la foto del solicitante fraudulento.

Los deepfakes representan ya una de cada cinco tentativas de fraude biométrico detectadas, las selfies con deepfake aumentaron un 58 % en 2025, y los ataques de inyección crecieron un 40 % interanual, según el informe Identity Fraud Report 2026 de Entrust. Un ataque de inyección no manipula el documento, sino el flujo de captura: el fraudulento inyecta una imagen o video pregenerado en vez de usar la cámara, evitando buena parte de las comprobaciones de vivacidad.

¿Qué diferencia hay entre una falsificación física y un pasaporte generado por IA?

La falsificación física deja artefactos sobre un soporte tangible: laminado irregular, holograma sin reacción a la luz. Un pasaporte generado por IA no tiene soporte que inspeccionar, así que la detección depende del archivo —metadatos, tipografía, artefactos de compresión— y del contraste entre la foto y una selfie con vivacidad activa. Un estudio de Regula con Sapio Research entre 850 responsables de fraude en mercados que incluyen a México concluye que los deepfakes preocupan hoy casi tanto como la falsificación clásica, según GlobeNewswire.

Marco legal mexicano aplicable a la falsificación de pasaportes

Falsificar un pasaporte es en México un delito federal. El Capítulo IV del Título Decimotercero del Código Penal Federal, artículos 243 a 246, castiga la falsificación de documentos públicos con prisión de cuatro a ocho años y multa, pena que sube hasta en una mitad si el falsificador es servidor público, según el texto vigente de la Cámara de Diputados. Al ser un documento público federal, su falsificación se persigue por vía federal, distinta de los delitos de los códigos estatales.

Falsificar un pasaporte con fines de lavado activa además obligaciones reforzadas bajo la LFPIORPI, norma antilavado federal que enmarca las obligaciones de sujetos obligados frente a la UIF; en banca, la CNBV supervisa estos controles. Los datos personales de la verificación están sujetos a la LFPDPPP, vigilada por el INAI. La CURP, identificador exclusivamente mexicano, suele cruzarse con el pasaporte y el RFC al dar de alta a un cliente mexicano, aunque no aplica a extranjeros; a escala internacional, INTERPOL mantiene una base de documentos de viaje robados o extraviados.

Lo que preguntan los profesionales en foros mexicanos

En foros de banca y seguros, y en comunidades como r/mexico, los analistas preguntan cómo distinguir un pasaporte extranjero legítimo de uno fabricado para imitarlo; la respuesta no pasa por memorizar cada formato nacional, sino por verificar que la MRZ cumple el algoritmo de dígitos de control de la OACI y contrastar la foto con una selfie en vivo. Otra duda frecuente entre gestores de onboarding de fintechs es qué hacer cuando el pasaporte pasa la revisión visual, pero el chip no responde o la selfie no coincide del todo; la práctica más extendida es escalar antes de rechazar, documentando el motivo ante una eventual auditoría.

Verificación manual frente a verificación asistida por IA

Según el Report to the Nations de la ACFE, solo el 37 % de los casos de fraude documental se detecta mediante controles activos, con un retraso medio de 87 días, según el Report to the Nations 2024 de la ACFE, un plazo incompatible con abrir una cuenta o entregar las llaves de un auto rentado.

Protocolo de verificación para banca, seguros, renta de autos y financiamiento

Un protocolo estructurado reduce la dependencia de la vigilancia individual, sobre todo en picos de solicitudes: contrastar la MRZ contra los dígitos de control esperados; leer el chip por NFC cuando el flujo lo permita; exigir una selfie con vivacidad activa y compararla con la foto del documento; y analizar los metadatos del archivo para detectar edición incompatible con un simple escaneo.

En banca y fintech, se aplica en el alta de un cliente extranjero; nuestra solución de banca y KYC lo integra en el onboarding digital. En seguros, se aplica en la suscripción de pólizas y en la verificación de beneficiarios tras un siniestro, caso que detallamos en nuestra solución para aseguradoras. En renta de autos, el pasaporte sigue siendo la referencia para conductores extranjeros, flujo cubierto en nuestra solución para el sector automotriz. Para una visión comparada por actividad regulada, consulte la guía de verificación sectorial.

Cómo complementa CheckFile sus controles

Ningún proveedor puede garantizar la intercepción del cien por cien de las falsificaciones en circulación; el objetivo realista es reducir el margen de error humano. La detección de pasaportes falsificados se apoya en una cobertura optimizada mediante validación cruzada sobre varios campos por documento, combinada con un análisis estructural y de metadatos. Una capa adicional de señales de generación por IA puede desplegarse según la configuración del cliente, como complemento a los controles estructurales ya existentes sobre los pasaportes.

Para los casos en que un pasaporte parece generado o retocado digitalmente, la detección de documentos generados por IA y deepfakes de CheckFile señala indicios de generación sintética y enruta los expedientes de mayor riesgo hacia una revisión forense adicional del partner especializado Label4 — como capa complementaria, nunca como sustituto de los controles regulatorios ya vigentes de UIF y CNBV. Conozca las garantías de la plataforma en seguridad, consulte nuestras tarifas o conozca más sobre CheckFile.

Preguntas frecuentes

¿Cómo puedo saber si un pasaporte es falso sin acceso a un lector de chip?

Compare la foto del documento con una selfie con controles de vivacidad, revise que la MRZ cumpla el algoritmo de dígitos de control de la ICAO, y examine el holograma bajo distintos ángulos de luz. Si el proceso es digital, un análisis de metadatos aporta un control adicional.

¿Es delito presentar un pasaporte falso para abrir una cuenta en México?

Sí. El Código Penal Federal castiga la falsificación de documentos públicos como el pasaporte con prisión de cuatro a ocho años y multa, según los artículos 243 a 246. La institución afectada puede además reportar la operación ante la UIF y ejercer acciones civiles si hay perjuicio económico.

¿Debe una fintech rechazar automáticamente un onboarding si detecta dudas sobre un pasaporte?

No necesariamente. La práctica habitual entre equipos de cumplimiento en México es escalar el expediente a una revisión manual reforzada, documentando el motivo, en lugar de rechazar un documento que podría ser legítimo pero de baja calidad de escaneo. El rechazo automático se justifica solo cuando la señal es clara, como una MRZ con checksum inválido o un chip sin firma válida.

¿El pasaporte reemplaza a la CURP o al RFC en un proceso de KYC en México?

No. El pasaporte acredita identidad y nacionalidad, pero no sustituye a la CURP ni al RFC, identificadores fiscales y de población exclusivamente mexicanos. En el onboarding de un extranjero sin CURP ni RFC, el pasaporte suele quedar como documento de identidad primario, lo que exige un control reforzado sobre su autenticidad.