Desbloqueo facial en Android: vulnerabilidad a fotos y métodos de protección

Vulnerabilidad de Face Unlock en Android: Por qué las fotos engañan a los smartphones

Más del 60% de los smartphones Android probados son vulnerables al spoofing facial con una simple foto. La investigación de los laboratorios de Which?, que cubrió 208 dispositivos, mostró que la mayoría de los modelos de gama baja y media usan sistemas de reconocimiento 2D incapaces de distinguir una persona real de una imagen impresa. Esto representa riesgos graves para la privacidad del usuario y la seguridad de los datos.

Por qué el reconocimiento facial 2D es tan vulnerable

Los sistemas de Face Unlock en la mayoría de los dispositivos Android dependen de la cámara frontal estándar sin sensores de profundidad adicionales. Este enfoque genera una imagen plana sin estructura tridimensional. Como resultado, el algoritmo no puede determinar si el objeto frente a la cámara es un rostro real o una copia 2D, ya sea una foto impresa, una imagen en la pantalla de otro dispositivo o incluso un vídeo.

En contraste, soluciones como Apple Face ID o los escáneres 3D en modelos premium de Honor y Samsung usan proyectores infrarrojos y sensores de profundidad. Crean un mapa preciso de la superficie del rostro compuesto por miles de puntos, lo que hace extremadamente difícil el spoofing sin equipo especializado.

Tendencias de amenazas: Del pico a una mejora parcial

El pico de vulnerabilidad ocurrió en 2024: el 72% de los dispositivos probados cayó ante ataques basados en fotos. Comparado con 2023, esto representó un aumento del 35%. Sin embargo, en 2025 hay una tendencia positiva: la proporción de smartphones vulnerables bajó al 63%, un 13% mejor que el año anterior.

Algunos fabricantes han empezado a tomar medidas hacia una mayor transparencia. Por ejemplo, Xiaomi añadió advertencias de riesgo en 26 de sus modelos, mientras que Samsung lo hizo en nueve dispositivos en los últimos tres años. No obstante, otras marcas, como Motorola y OnePlus, lanzaron docenas de modelos sin advertencias adecuadas.

Fabricantes y sus posturas sobre la seguridad

Los fabricantes enfatizan consistentemente que Face Unlock 2D está pensado solo para comodidad, no para proteger operaciones sensibles. Así lo expresan los principales actores:

• Fairphone: indica que usa biometría de clase 1 ("comodidad"), que Android bloquea automáticamente en apps financieras.
• Honor: reconoce las limitaciones técnicas de los sistemas 2D y recomienda modelos flagship Pro con mapeo 3D para tareas de alta seguridad.
• Motorola: aconseja usar PIN, contraseña o patrón en lugar de Face Unlock.
• OnePlus: remite a la declaración obligatoria de "Uso de Reconocimiento Facial", que indica explícitamente que el método es menos fiable que la huella dactilar o la contraseña digital.

Modelos en riesgo

La investigación identificó dispositivos específicos que fallaron en las pruebas de resistencia al spoofing de identidad. Entre ellos:

• Fairphone 6;
• Honor Magic6 Lite 5G;
• Línea Motorola: Moto G75 5G, Edge 60 Pro, Edge 60 fusion, Moto G56 5G, G86, Edge 40 Neo, Moto g35, Moto g55, Razr 50 Ultra, Edge 50 Ultra, Edge 50 Pro, Moto G73;
• Nothing Phone (2a) Plus, (3a), (3a) Pro, (3), (2a);
• OnePlus 13R, 13, Nord 5, Nord CE5, 15, Nord 3 5G;
• Oppo Reno 13 F, Reno 13 Pro, Find X9 Pro, Find X9, Reno 11 F 5G.

Curiosamente, incluso nuevos entrantes en el mercado como Nothing fallaron en proporcionar protección adecuada o advertencias al usuario en todos los dispositivos probados.

Qué deben hacer los usuarios: Pasos prácticos de protección

Si tu smartphone usa Face Unlock 2D, toma estas medidas adicionales:

• Desactiva el desbloqueo facial y cambia a huella dactilar o PIN.
• Configura un PIN en tu tarjeta SIM para evitar su uso en otro dispositivo.
• Activa "Bloqueo de apps" para servicios críticos: mensajería, correo, galería.

Estos pasos reducen significativamente el riesgo de acceso no autorizado incluso si alguien toma físicamente tu dispositivo.

Lecciones clave

• La mayoría de los smartphones Android de gama media y baja usan reconocimiento facial 2D, que se puede engañar fácilmente con una foto.
• Solo los sistemas 3D con mapeo de profundidad ofrecen protección real contra el spoofing de identidad.
• Los fabricantes ven Face Unlock como una función de comodidad, no de seguridad, y a menudo lo excluyen de escenarios financieros.
• Google Pixel 8–10 son una excepción: a pesar del enfoque 2D, usan modelos avanzados de ML para cumplir con estándares bancarios.
• La conciencia del usuario y métodos alternativos de autenticación son clave para proteger tus datos.

— Editorial Team