OnlyFake: la IA que fabricó miles de identidades falsas y desafía los controles KYC

El caso de OnlyFake marca un hito inquietante en la intersección entre inteligencia artificial y delitos financieros. Un desarrollador ucraniano, identificado en la acusación como Yurii Nazarenko y conocido en la red por varios alias, se declaró culpable por haber gestionado una plataforma basada en suscripción que generaba imágenes de documentos de identidad falsos con apariencia muy realista. Según la Fiscalía federal del Distrito Sur de Nueva York, el servicio produjo y comercializó más de 10.000 fotografías digitales de pasaportes, carnés de conducir y tarjetas de Seguridad Social de Estados Unidos, además de documentos de muchas otras jurisdicciones (ver la acusación).

OnlyFake no era una simple colección de plantillas: empleaba modelos de IA para generar imágenes que podían incorporar datos personalizados o aleatorios, y ofrecía opciones para simular un escaneo o una foto sobre una mesa. El sitio funcionaba con criptomonedas y vendía tanto pedidos individuales como paquetes al por mayor, llegando a ofrecer lotes de hasta mil documentos. El Departamento de Justicia y agentes del FBI documentaron compras encubiertas realizadas en 2024, en las que obtuvieron carnés de Nueva York, pasaportes estadounidenses y una tarjeta de la Seguridad Social falsos, lo que permitió abrir la investigación que culminó en la imputación y la confesión (comunicado del DOJ).

La fiscalía sostiene que el propósito principal de quienes adquirían esos documentos era sortear los controles de identificación utilizados por bancos y plataformas de criptomonedas para cumplir con obligaciones de “conoce a tu cliente” (KYC) y prevenir el lavado de dinero. Esos requisitos son una pieza central del marco regulatorio diseñado para detectar financiación ilícita, lavado de capitales y otros delitos económicos, y su vulneración abre puertas para operaciones financieras anónimas o fraudulentas (información sobre AML y KYC en FinCEN).

Desde el punto de vista técnico y operativo, OnlyFake reunía varios elementos que la hacían especialmente peligrosa: automatización a escala mediante IA para producir imágenes creíbles, pago con criptomoneda para aumentar el anonimato y herramientas para borrar pistas, como la eliminación de correos electrónicos y la diversificación de billeteras para frustrar el rastreo de fondos. Una investigación periodística previa ayudó a exponer el servicio públicamente, y la plataforma terminó siendo objeto de la operación policial que condujo a la extradición del responsable desde Rumanía en septiembre de 2025 (reportaje de 404 Media).

El caso plantea una pregunta obvia: ¿qué diferencia a un documento falsificado producido por IA de una falsificación tradicional? La respuesta no es sólo estética. Los modelos de IA pueden sintetizar texturas, tipografías y hologramas simulados —o combinar fragmentos reales y generados— y adaptar rasgos para que pasen verificaciones automatizadas básicas. Además, la capacidad de producir grandes volúmenes reduce el coste por unidad y facilita la comercialización a actores con intenciones delictivas. Con esas ventajas, los falsificadores pueden intentar burlar sistemas de verificación que todavía dependen en gran medida de comparaciones visuales, sin supervisión humana robusta.

Las autoridades han reaccionado combinando herramientas tradicionales de investigación (compras encubiertas, cooperación internacional y extradición) con rastreo de flujos de criptomonedas y colaboración entre agencias. En lo penal, Nazarenko aceptó la devolución de 1,2 millones de dólares y se enfrenta a una pena que puede alcanzar los 15 años de prisión; la fecha de sentencia se fijó para mediados de 2026, según el expediente judicial (fuente del DOJ).

Pero la persecución penal sola no resolverá el problema de fondo. Las instituciones financieras, los exchanges de criptomonedas y los proveedores de servicios que exigen KYC deberán acelerar la adopción de controles más resistentes. Las soluciones van desde mejorar los sistemas biométricos y las comprobaciones de liveness —que verifican que quien presenta el documento esté realmente vivo y presente— hasta integrar verificaciones basadas en fuentes oficiales y registros federales que no se puedan reproducir fácilmente con imágenes. También es crucial que los proveedores de verificación automática adopten modelos de detección de síntesis y manipulación que evolucionen al ritmo de las técnicas de generación.

El episodio de OnlyFake también subraya un desafío regulatorio: la tecnología de generación de imágenes y su disponibilidad pública hacen que los malos usos sean cada vez más accesibles. Los desarrolladores de herramientas de IA, los mercados y las plataformas de pago comparten responsabilidad para detectar y frenar abusos, pero la respuesta eficaz exige coordinación entre el sector privado y los reguladores, así como marcos legales que contemplen la escala y la velocidad de la innovación tecnológica.

Para el ciudadano común, el caso debería servir como recordatorio de que documentos falsos generados digitalmente no son un problema remoto: facilitan fraudes, pueden permitir delitos graves y erosionan la confianza en sistemas que usamos a diario para identificar a las personas. Las instituciones deben reforzar sus procedimientos y los usuarios deben ser conscientes de que la identidad digital necesita salvaguardas más fuertes que una simple fotografía.

La historia de OnlyFake es una advertencia práctica sobre la carrera entre generadores y detectores. Mientras la IA baja las barreras para fabricar credenciales convincentes, las defensas deben volverse igualmente técnicas y colaborativas. El caso contra Nazarenko demuestra que la ley puede alcanzar a los operadores, pero también muestra que la prevención y la adaptación tecnológica son esenciales para que no surjan nuevas OnlyFake en el futuro.