Opinión — A partir de lo reportado por Infobae, La Nación y Perfil sobre la detención de una funcionaria judicial bonaerense acusada de captar identidades para lavar $27.000 millones, vale la pena preguntarse algo que ningún parte de prensa contestó: ¿para qué servía realmente el escaneo de ojos?
Durante 2024, buena parte de Buenos Aires hizo cola para mirar una esfera metálica a los ojos a cambio de criptomonedas. Se llamaba Worldcoin, prometía una «identidad digital única» y terminó clausurada en varios municipios por no explicar qué hacía con esos datos. Dos años después, la misma imagen —una persona entregando su DNI y dejando que le escaneen el iris a cambio de plata— volvió a aparecer en los diarios. Esta vez no era una multinacional con sede en Islas Caimán. Era una funcionaria del Ministerio Público Fiscal de la provincia de Buenos Aires, acusada de haber usado su cargo para reclutar a personas vulnerables y vaciarles la identidad.
La coincidencia estética no es casual. Y ahí es donde la nota policial se queda corta: todos contaron el qué, casi nadie explicó el cómo ni, sobre todo, el por qué de un detalle que —técnicamente— no tenía por qué estar ahí.
El dato que nadie chequeó
Repasemos los hechos, tal como los reconstruyeron la Policía Federal y la fiscal Betina Lacki (UFI N°2 de La Plata). Albertina Mangini, abogada con 17 años en el Poder Judicial bonaerense, ofrecía 80 mil pesos a personas en situación de vulnerabilidad —muchas de ellas, según trascendió, ligadas al Patronato de Liberados— a cambio de tres cosas: el documento, unas fotos y un «escaneo del ojo». Con eso, una organización dedicada al lavado de dinero de casinos clandestinos abría cuentas bancarias y billeteras virtuales a nombre de esas personas, pero manejaba ella los teléfonos, los mails y las claves. Un circuito clásico de «pitufeo»: fragmentar el delito en cientos de identidades ajenas para que ninguna cuenta llame la atención.
Hasta acá, todo consistente con cómo funciona el fraude de identidad en el sistema financiero argentino. Lo que no cierra es el iris.
Porque si uno mira cómo se abre realmente una cuenta en Mercado Pago, en una casa de apuestas online o en un exchange regulado, el mecanismo no tiene nada que ver con un escáner ocular. Argentina tiene, desde hace unos años, un sistema estatal llamado SID (Sistema de Identidad Digital), conectado en tiempo real al RENAPER, que es obligatorio para toda entidad supervisada por el BCRA o la UIF. El usuario saca una foto de su DNI y una selfie; el sistema compara esa selfie contra la base biométrica oficial y devuelve una respuesta en menos de siete segundos. Para plataformas de juego, la normativa (OD 661) va incluso más lejos: exige reconocimiento facial con prueba de vida no solo al abrir la cuenta, sino en cada inicio de sesión y en cada retiro de fondos.
Ese es el verdadero cerrojo biométrico del sistema financiero argentino: la cara, no el ojo.
Entonces, ¿para qué el iris?
Acá dejo de citar fuentes y empiezo a opinar, porque es exactamente el tipo de pregunta que como periodista de tecnología no puedo dejar pasar.
Mi hipótesis es que el escaneo de iris no cumplía ninguna función técnica real dentro del fraude. Cumplía una función psicológica. Es el mismo truco narrativo que usó Worldcoin para naturalizar la entrega de datos sensibles: si el trámite parece sofisticado, futurista, casi de ciencia ficción, la persona baja la guardia. Nadie desconfía de un procedimiento que se siente «tecnológico» y oficial. Es mucho más fácil convencer a alguien de mirar fijo un dispositivo raro por dos minutos que explicarle honestamente: «te voy a abrir una cuenta bancaria a tu nombre para lavar plata de casinos clandestinos, y después la vas a perder de vista para siempre.»
El iris, en este caso, no era la llave. Era la puesta en escena que hacía que la víctima entregara, sin sospechar nada, lo que realmente importaba: la foto de su rostro y su documento. Eso es lo único que el SID necesita para validar una cuenta a nombre de otra persona ante RENAPER. El resto —el aparato, el escaneo, la promesa de plata fácil— era teatro para bajar las defensas.
Si esta lectura es correcta (y ninguna fuente la desmiente, simplemente no la exploró), estamos frente a algo más inquietante que un fraude puntual: una organización criminal que le tomó examen a la comunicación de riesgo de una industria entera. Aprendió que el miedo a la biometría «invasiva» (el ojo) es mayor que el miedo a la biometría «cotidiana» (la selfie), y usó esa asimetría a su favor. Mientras la opinión pública discutía si Worldcoin era una amenaza a la privacidad, el verdadero vector de ataque —la foto de documento y rostro que cualquiera entrega sin pensarlo dos veces en un montón de trámites digitales— quedó fuera de la conversación.
Por qué esto nos tiene que importar a todos
Es tentador leer este caso como una nota policial más: una funcionaria corrupta, una fiscal que actuó rápido, nueve allanamientos, $27.000 millones. Pero el patrón de fondo trasciende a Mangini y a esta causa puntual, y tiene tres lecturas que sí nos tocan como usuarios de tecnología.
Primero: la vulnerabilidad económica es el principal vector de ataque en biometría. No hackearon un sistema. No explotaron una falla de software. Explotaron necesidad. Ochenta mil pesos es, para muchas personas que salen del sistema penal o atraviesan una crisis económica, una cifra que justifica cualquier trámite raro. Ningún firewall protege contra eso. La única defensa posible es la información: entender que ningún dato biométrico —cara, huella, iris— tiene un «precio justo» de venta, porque no se puede recuperar ni cambiar como una contraseña filtrada.
Segundo: la confusión entre biometría «espectacular» y biometría «invisible» nos deja expuestos. Discutimos con vehemencia los escáneres de iris de Worldcoin (con razón: la Agencia Española de Protección de Datos llegó a suspenderlo, y Baviera ordenó borrar los datos recolectados). Pero entregamos selfies y fotos de DNI todos los días, sin fricción, para abrir una billetera, sacar un crédito rápido o verificar una cuenta de streaming. Ese dato —el que realmente habilita el fraude financiero en Argentina— circula con muchísima menos sospecha que un dispositivo futurista. La lección de comunicación de riesgo acá es clara: el peligro no es que la tecnología parezca invasiva, es lo que efectivamente se puede hacer con el dato, más allá de la puesta en escena.
Tercero: la identidad digital no tiene «revocación» fácil. Si te roban una clave, la cambiás. Si te clonan la tarjeta, la das de baja. Si alguien tiene tu selfie validada contra RENAPER y tu DNI escaneado, no hay botón de «resetear cara». Las víctimas de este esquema van a cargar, probablemente durante años, con cuentas abiertas a su nombre que usaron organizaciones criminales para lavar plata de juego clandestino. Ese es el costo real y silencioso del «pitufeo» biométrico: no es un delito contra un banco, es un delito contra la identidad de una persona que, mucho después de que la causa judicial se cierre, va a seguir apareciendo en algún sistema de scoring, alguna lista de riesgo o algún reclamo de deuda que no generó.
Una regulación que mira para el lado equivocado
Argentina tiene, en el papel, un marco de KYC relativamente sólido: RG 994/2024 de la CNV para proveedores de activos virtuales, Resolución UIF 49/2024, la obligación de reconocimiento facial con prueba de vida en cada sesión de juego online. El problema no es la norma. El problema es que toda esa arquitectura de control asume que el rostro que aparece en la selfie corresponde, de buena fe, a la persona que quiere abrir la cuenta. No contempla el escenario donde alguien —con acceso institucional, como en este caso desde una oficina de enlace judicial— recluta activamente a esa persona para que preste su rostro a cambio de dinero.
Es, en el fondo, el mismo punto ciego que tienen casi todos los sistemas antifraude del mundo: están diseñados para detectar suplantación de identidad, no cesión voluntaria e inducida de identidad. Y esa segunda categoría, la del «mulero biométrico», va a crecer exactamente en la misma proporción en que crezca la exigencia regulatoria de verificación facial. Cuanto más difícil sea falsificar una identidad desde cero, más rentable se vuelve comprar una identidad real, de una persona real, dispuesta a prestarla por necesidad.
Lo que hay que hacer distinto
No tengo una solución regulatoria mágica, pero sí tengo una convicción, después de años cubriendo estos temas: la próxima ola de estafas de identidad no va a venir de un hackeo espectacular a una base de datos. Va a venir, como en este caso, de alguien con acceso legítimo —un empleado, un funcionario, un cargo de confianza— que convierte ese acceso en mercadería. Los sistemas técnicos de verificación biométrica en Argentina son, comparados con la región, razonablemente robustos. La superficie de ataque que queda abierta es humana e institucional, no criptográfica.
Eso implica dos cosas concretas. Para las entidades que manejan datos biométricos (bancos, billeteras, casas de juego online), significa auditar no solo el software de matching facial, sino también los flujos internos donde un empleado o un tercero de confianza pueda inducir a un cliente a completar un onboarding «para otra persona». Para el resto de nosotros, significa entender que la próxima vez que alguien te ofrezca plata fácil a cambio de una foto, un DNI o «un trámite rápido», no importa si el dispositivo que te muestran parece de otro planeta o si es simplemente un celular con una app: lo que estás por entregar no se puede devolver.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.