Fraude bancario con IA: detectar extractos e identidades falsificadas

La inteligencia artificial genera hoy extractos bancarios y documentos de identidad indistinguibles de los originales a simple vista. Modelos de difusión latente, redes generativas adversariales y grandes modelos de lenguaje permiten producir, en cuestión de minutos, documentos que reproducen con exactitud los formatos bancarios, los hologramas de los documentos de identidad y la tipografía oficial. Los bancos y entidades financieras deben combinar análisis forense, modelos de aprendizaje automático y procesos de KYC reforzado para identificar estas falsificaciones antes de que se materialice el daño.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias reglamentarias son exactas en la fecha de publicación.

En el análisis de más de 840 000 expedientes KYC procesados por nuestra plataforma en el sector bancario, el 5,1 % presentaba indicadores de fraude de identidad. La proporción de documentos bancarios falsificados con componente de IA pasó del 3 % en 2024 al 12 % en 2025, según nuestro análisis de tendencias de fraude documental. Estas cifras confirman que el fraude con IA ya no es un riesgo teórico: es una realidad operativa que exige respuestas técnicas y regulatorias concretas.

Cómo la IA falsifica documentos bancarios

Los modelos generativos modernos utilizan tres técnicas principales para crear documentos bancarios fraudulentos que superan los controles visuales básicos.

Modelos de difusión y redes GAN aplicados a documentos

Los modelos de difusión latente (Stable Diffusion, DALL-E 3, Midjourney) y las redes generativas adversariales (GAN) pueden reproducir con alta fidelidad el aspecto visual de un extracto bancario auténtico, incluyendo logotipos, cabeceras, tipografías propietarias e incluso códigos QR. Un modelo GAN entrenado sobre un corpus de extractos bancarios de una entidad concreta puede generar documentos visualmente coherentes en menos de diez segundos. Los documentos resultantes reproducen la paleta de colores corporativa, el espaciado característico y los campos de formato de las instituciones objetivo.

Esta tecnología está disponible comercialmente a bajo coste, lo que democratiza el acceso a herramientas de falsificación que antes requerían conocimientos técnicos avanzados. Los mercados especializados de la dark web ofrecen kits de generación de extractos por entidad bancaria, actualizados periódicamente para reflejar los cambios de formato de las instituciones.

Manipulación de PDF y falsificación de metadatos

Más allá de la generación completa de imágenes, los defraudadores utilizan técnicas de manipulación directa de archivos PDF. La inyección de contenido en capas invisibles del PDF, la modificación de flujos de datos internos y la regeneración selectiva de fragmentos del documento permiten alterar cifras, fechas e IBANs sin que el documento presente artefactos visuales detectables a simple vista. La firma digital del documento modificado se invalida automáticamente, pero muchos sistemas de verificación manual no comprueban la integridad criptográfica del PDF de forma sistemática.

Los grandes modelos de lenguaje (LLM) completan la cadena: pueden generar el texto completo de un extracto bancario con transacciones sintéticas coherentes, saldos acumulados correctos y referencias de operaciones que superan las validaciones de formato. Un LLM ajustado sobre corpus bancarios produce extractos con coherencia interna en todos los campos en menos de un minuto.

Falsificación de documentos de identidad vinculados al expediente KYC

El fraude bancario con IA no se limita a los documentos financieros. Los expedientes KYC fraudulentos combinan un extracto bancario generado por IA con un documento de identidad sintético: un DNI o pasaporte producido por GAN que reproduce las especificaciones técnicas del documento oficial, incluyendo microimpresiones, elementos de seguridad simulados y números de documento que superan la validación por dígito de control.

El DNI español, regulado por el Real Decreto 1553/2005, de 23 de diciembre, incorpora elementos de seguridad físicos que no pueden reproducirse en documentos impresos: chips NFC, tintas OVI y hologramas de difracción. Sin embargo, en los procesos de onboarding digital donde solo se verifica una imagen del documento, estos elementos físicos no son verificables directamente. Para profundizar en las técnicas de detección de identidades sintéticas, consulte nuestro análisis sobre fraude de identidad sintética en procesos KYC.

Técnicas de detección de documentos bancarios falsificados por IA

Detectar documentos bancarios generados o modificados por IA requiere un enfoque multicapa que combine análisis forense de imagen, análisis de metadatos, coherencia semántica y modelos de aprendizaje automático especializados.

Análisis de metadatos y huella técnica del documento

Cada documento auténtico generado por el sistema informático de una entidad bancaria lleva una huella técnica característica: software de creación específico, cadena de procesamiento de imagen, perfil de color ICC, resolución de origen y metadatos EXIF coherentes con el flujo de producción bancaria. Un extracto bancario auténtico generado por el sistema core bancario de una entidad tiene una firma técnica radicalmente diferente a un archivo producido por un modelo generativo o editado manualmente.

El análisis de metadatos detecta anomalías como: software de creación inconsistente con el tipo de documento (un extracto bancario generado con Stable Diffusion en lugar de con el sistema de reporting del banco), cadenas de compresión atípicas, fechas de modificación posteriores a la fecha del documento, o ausencia de perfil ICC corporativo.

Análisis de coherencia semántica y verificación cruzada

Un extracto bancario generado por IA puede ser visualmente convincente pero semánticamente inconsistente. La verificación cruzada entre el extracto bancario, el documento de identidad, los justificantes de ingresos y los datos declarados en la solicitud detecta incoherencias con una tasa de éxito superior al 95 % cuando el expediente incluye cuatro o más documentos.

Los campos objeto de verificación cruzada incluyen: coherencia entre IBAN del extracto y titular declarado, consistencia entre saldos mensuales y movimientos listados, coherencia entre el código BIC del banco emisor y el formato del documento, y correspondencia entre el domicilio del extracto y el domicilio declarado en el DNI. Para un análisis ampliado de las técnicas forenses, consulte nuestra guía sobre detección de fraude documental con IA en 2026.

Modelos de aprendizaje automático forenses

Los modelos de ML forenses entrenados sobre corpus mixtos de documentos auténticos y sintéticos detectan las firmas estadísticas características de los generadores de IA. Los modelos GAN producen artefactos periódicos en el dominio de la frecuencia — detectables mediante análisis de transformada de Fourier — y patrones de ruido característicos ausentes en imágenes auténticas. Los modelos de difusión latente dejan patrones de ruido de difusión inversa distintos, también detectables algorítmicamente.

La plataforma CheckFile integra modelos forenses actualizados trimestralmente para incorporar los patrones de los generadores más recientes, alcanzando una tasa de detección del 94,8 % con una tasa de falsos positivos del 3,2 % sobre el corpus bancario.

Marcas de agua digitales y trazabilidad de documentos

Las entidades bancarias avanzadas incorporan marcas de agua digitales imperceptibles en los extractos que emiten, lo que permite verificar su autenticidad y trazabilidad. Estas marcas de agua robustas, basadas en esteganografía espectral, sobreviven a la impresión, el escaneo y la compresión de imagen, y son detectables por sistemas de verificación autorizados. Su ausencia en un documento que afirma ser un extracto oficial de una entidad que las implementa es un indicador de fraude directo.

La Resolución SEPBLAC de 17 de octubre de 2023 sobre criterios de due diligence reforzada recomienda explícitamente el uso de sistemas de verificación de autenticidad documental para expedientes de alto riesgo.

Marco regulatorio español: obligaciones para entidades financieras

La Ley 10/2010 y el Real Decreto 304/2014 como marco base

La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo obliga a las entidades financieras a establecer procedimientos de diligencia debida para la identificación y verificación de la identidad de sus clientes. El artículo 3 exige que la identificación incluya la comprobación de la identidad mediante documentos fehacientes, lo que implica la verificación de la autenticidad de los documentos presentados y no únicamente la comprobación de que existen formalmente.

El Real Decreto 304/2014, de 5 de mayo, que aprueba el Reglamento de la Ley 10/2010, desarrolla los procedimientos de diligencia debida y establece en su artículo 21 la obligación de verificar que los documentos presentados no han sido alterados o falsificados. Las entidades con niveles de riesgo elevados deben aplicar medidas de diligencia debida reforzada, que incluyen la verificación independiente de los documentos presentados.

El umbral de declaración de operaciones sospechosas al SEPBLAC se sitúa en 15 000 euros para las operaciones en efectivo, pero la obligación de verificar la identidad se aplica independientemente del importe cuando existe sospecha de fraude o blanqueo.

AMLD6 y la incorporación del riesgo de fraude documental con IA

La Directiva (UE) 2024/1640 — AMLD6 —, en vigor desde enero de 2025, introduce por primera vez referencias explícitas a los documentos generados por IA como factor de riesgo en los procesos de verificación de identidad. Las entidades obligadas deben actualizar sus evaluaciones de riesgo para incorporar este vector específico y documentar los controles implementados frente al mismo.

El Banco de España y la CNMV han incorporado en sus guías supervisoras referencias a los documentos sintéticos como factor de riesgo específico en las evaluaciones de diligencia debida. Los incumplimientos en materia de verificación de documentos pueden dar lugar a sanciones administrativas que oscilan entre 60 000 euros y el 10 % del volumen de negocio anual para las infracciones graves.

Requisitos específicos para el DNI como documento principal

El DNI, regulado por el Real Decreto 1553/2005, es el documento de identidad principal en España para los procesos KYC. Su verificación debe incluir, según las guías del SEPBLAC: comprobación de los elementos de seguridad físicos cuando el documento se presenta presencialmente, verificación de la vigencia del documento, y cotejo de los datos del chip NFC cuando el proceso de onboarding se realiza de forma remota mediante lectura electrónica del documento.

En los procesos de onboarding digital sin presencia física, la Resolución SEPBLAC de 17 de octubre de 2023 exige controles adicionales de verificación de vivacidad y análisis de autenticidad del documento escaneado o fotografiado para los clientes clasificados como de riesgo medio o alto.

Detección manual versus automatizada: análisis comparativo

La detección manual sigue siendo necesaria para los casos complejos que requieren juicio contextual, pero su uso como único mecanismo de control es estructuralmente insuficiente frente al volumen y sofisticación actuales del fraude con IA. Para un análisis detallado del retorno sobre la inversión de la automatización, consulte nuestra sección de precios y planes.

Implementación en 4 pasos: guía práctica

Paso 1 — Evaluar la exposición actual al riesgo

El primer paso consiste en cuantificar la exposición real de la entidad: volumen de expedientes KYC procesados mensualmente, proporción con documentos bancarios, canales de onboarding utilizados (presencial, remoto, digital) y resultados históricos de los controles de fraude. Esta evaluación permite dimensionar la solución necesaria y priorizar los segmentos de mayor riesgo.

Paso 2 — Seleccionar e integrar la plataforma de verificación

La integración técnica de una plataforma de verificación documental como CheckFile se realiza mediante API REST con documentación completa. La integración en los sistemas de onboarding existentes suele completarse en dos a cuatro semanas, con la posibilidad de procesar documentos en tiempo real durante el proceso de solicitud o en modo batch para la revisión de expedientes históricos. Consulte nuestra página de seguridad para los detalles técnicos de la arquitectura de datos.

Paso 3 — Establecer umbrales y flujos de escalado

No todos los documentos marcados como sospechosos requieren la misma respuesta. La implementación debe definir: umbral de puntuación de riesgo para la aprobación automática, umbral para la revisión manual, y umbral para el rechazo o la solicitud de documentación adicional. Los expedientes con indicadores de fraude alto deben escalarse a los equipos de cumplimiento con toda la evidencia forense generada automáticamente.

Paso 4 — Documentar los controles para la auditoría regulatoria

El SEPBLAC y el Banco de España exigen que las entidades financieras documenten los controles realizados en los procesos de verificación de identidad. La plataforma debe generar automáticamente un registro de auditoría que incluya: qué documentos fueron verificados, qué controles se aplicaron, qué resultado arrojaron, y qué decisión tomó el sistema o el operador humano. Esta trazabilidad es imprescindible para demostrar el cumplimiento en caso de inspección regulatoria.

Para un marco de referencia completo sobre los procesos de verificación documental en el sector financiero, consulte nuestra guía sectorial de verificación.

---

Preguntas frecuentes

¿Cómo distinguir un extracto bancario real de uno generado por IA?

Un extracto bancario auténtico presenta varias características técnicas que los documentos generados por IA reproducen con dificultad: metadatos de archivo coherentes con el sistema de producción documental del banco, firma digital válida en el PDF, perfil de color ICC corporativo, y marcas de agua digitales imperceptibles cuando la entidad las implementa. A nivel de contenido, la coherencia perfecta entre IBAN, código BIC, titular, domicilio y transacciones es verificable de forma automatizada. La inconsistencia en cualquiera de estos campos, detectada mediante verificación cruzada con otros documentos del expediente, es el indicador más fiable de fraude. Los sistemas de detección automatizados como CheckFile combinan estos análisis en tiempo real durante el proceso de onboarding.

¿Qué obligaciones impone el SEPBLAC en materia de verificación de documentos bancarios?

El SEPBLAC, en sus guías de supervisión y en la Resolución de 17 de octubre de 2023, exige que las entidades obligadas implementen procedimientos de verificación de la autenticidad documental proporcionales al riesgo del cliente y de la operación. Para clientes de riesgo alto o en procesos de onboarding digital, se requieren controles adicionales que incluyan verificación tecnológica de los documentos presentados, no únicamente la comprobación visual. El incumplimiento de estas obligaciones puede dar lugar a la imposición de medidas correctoras o sanciones administrativas conforme a los artículos 51 a 58 de la Ley 10/2010.

¿Qué documentos de identidad tienen mayor riesgo de falsificación en el sector bancario español?

El DNI español, el pasaporte y el NIE para clientes extranjeros son los documentos de identidad con mayor índice de falsificación en los expedientes KYC del sector bancario, según los datos de la plataforma CheckFile. El DNI tiene elementos de seguridad físicos difíciles de reproducir (chip NFC, hologramas), pero en los procesos de onboarding digital solo se verifica una imagen del documento, lo que elimina la protección de los elementos físicos. Los pasaportes de algunos países presentan mayor vulnerabilidad por la menor estandarización de sus elementos de seguridad. La verificación del chip NFC mediante lectura electrónica del documento proporciona el mayor nivel de garantía para los procesos remotos.

¿Cuáles son las sanciones por incumplimiento de las obligaciones de verificación KYC en España?

La Ley 10/2010 establece un régimen sancionador con tres categorías de infracciones. Las infracciones muy graves pueden dar lugar a multas de hasta 10 millones de euros o el 10 % del volumen de negocio anual, y a la suspensión o revocación de la autorización para operar. Las infracciones graves conllevan multas de entre 60 000 euros y 1 millón de euros. Las infracciones leves pueden sancionarse con amonestaciones o multas de hasta 60 000 euros. El SEPBLAC y el Banco de España son los organismos supervisores principales para las entidades financieras.

¿Es suficiente la verificación visual de documentos para cumplir con la normativa AML?

La verificación visual por sí sola no es suficiente en 2026 para cumplir con los requisitos de la Ley 10/2010 y la AMLD6 para los expedientes de riesgo medio o alto. La Resolución SEPBLAC de 17 de octubre de 2023 sobre due diligence reforzada y las guías del Banco de España exigen controles proporcionales al riesgo que, para los clientes o transacciones de riesgo elevado, incluyen necesariamente la verificación tecnológica de la autenticidad documental. Además, la tasa de detección de fraude de la verificación visual oscila entre el 20 y el 35 %, frente al 88-95 % de los sistemas automatizados, lo que supone un riesgo operativo inaceptable en el contexto actual de sofisticación del fraude con IA.