EPFO de India exige autenticación facial con Aadhaar para UAN: Implicaciones de seguridad

La Organización del Fondo de Previsión de Empleados (EPFO) de India ha implementado un cambio político significativo al hacer obligatoria la autenticación facial mediante Aadhaar para generar y acceder a Números de Cuenta Universal (UAN). Esta medida, destinada a reducir fraudes y agilizar la gestión de fondos de pensiones, ha generado un intenso debate entre defensores de la eficiencia y expertos en privacidad.

El nuevo sistema requiere que los usuarios registren sus datos biométricos faciales a través de la aplicación UMANG, vinculándolos a su ID Aadhaar de 12 dígitos. Mientras el gobierno promueve esto como un paso hacia la transformación digital, los profesionales de ciberseguridad señalan múltiples preocupaciones:

1. Riesgo centralizado: Almacenar plantillas faciales en una base de datos nacional crea un objetivo valioso para hackers. Un informe de 2023 de CERT-In mostró un aumento del 300% en ataques a portales gubernamentales indios.
2. Exposición irrevocable: A diferencia de contraseñas, los datos biométricos no pueden cambiarse tras una filtración. La brecha de Aadhaar en 2018 afectó 1.100 millones de registros.
3. Ampliación funcional: Inicialmente limitado al acceso UAN, la infraestructura podría extenderse a otros servicios sin consentimiento adicional.

Contraste esto con el enfoque de la Administración de Seguridad en el Transporte (TSA) de EE.UU.: el reconocimiento facial en aeropuertos sigue siendo opcional, con procedimientos claros para excluirse. Los viajeros pueden solicitar verificación manual sin penalización—una diferencia notable frente al mandato indio.

Análisis técnicos revelan que el sistema EPFO utiliza algoritmos de reconocimiento facial compatibles con ISO/IEC 19794-5 con detección de vitalidad para evitar suplantaciones. Sin embargo, estudios del IIT Delhi muestran que estos sistemas tienen mayores tasas de error (hasta 8,7%) para personas de piel oscura y adultos mayores comparado con huellas dactilares (2,3% de error).

Expertos legales señalan posibles conflictos con la Ley de Protección de Datos Personales Digitales (2023) de India, que exige 'limitación de propósito' para recolección biométrica. El EPFO sostiene que la autenticación facial cae bajo 'interés legítimo' para prevención de fraudes.

Para empresas que operan en India, esto implica:

• Actualizar protocolos de cumplimiento para manejo de datos biométricos
• Capacitar empleados en flujos de autenticación seguros
• Planes de contingencia ante posibles brechas del sistema

La comunidad de ciberseguridad recomienda:

• Almacenamiento descentralizado de plantillas biométricas
• Auditorías periódicas por terceros del sistema de autenticación
• Procedimientos claros de notificación de brechas

Mientras la autenticación biométrica se vuelve ubicua, este caso subraya el equilibrio delicado entre conveniencia de seguridad y derechos fundamentales de privacidad. Organizaciones globales deben monitorear la implementación india como referencia para sistemas biométricos a gran escala.