Un ciudadano ucraniano de 27 años, identificado como Yurii Nazarenko y conocido en la red bajo los seudónimos John Wick, Tor Ford y Uriel Septimberus, se declaró culpable en Estados Unidos de operar OnlyFake, una plataforma de inteligencia artificial diseñada para la falsificación masiva de documentos de identidad y la elusión de controles KYC en el sector financiero y de criptomonedas.
Cómo funcionaba OnlyFake: falsificación de documentos con inteligencia artificial
OnlyFake se presentaba como un «generador automatizado de documentos» capaz de producir imágenes de identificaciones oficiales casi indistinguibles de los originales. El servicio permitía crear copias digitales de permisos de conducir de los 50 estados de EE. UU., pasaportes y tarjetas de pasaporte estadounidenses, así como documentos nacionales de identidad de más de 50 países, utilizando modelos de IA generativa entrenados para imitar formatos y medidas de seguridad visuales.
El usuario podía introducir sus propios datos o generar identidades completamente ficticias (nombre, fecha de nacimiento, dirección, número de documento). La plataforma ofrecía diferentes formatos de salida: desde un supuesto «escaneado» del documento hasta una fotografía simulada sobre una mesa, replicando exactamente el tipo de imagen que exigen bancos, fintech y exchanges de criptomonedas durante la verificación remota de identidad.
Los pagos en OnlyFake se aceptaban exclusivamente en criptomonedas, dificultando la trazabilidad de las transacciones. Además, se ofrecían paquetes al por mayor —de hasta 1.000 documentos con descuento—, una estructura claramente orientada a redes de ciberdelincuencia organizadas más que a usuarios individuales. Según las autoridades, a través de la plataforma se habrían generado ya más de 10.000 documentos falsos.
Elusión de controles KYC y riesgos para la ciberseguridad financiera
De acuerdo con la Fiscalía Federal de Nueva York, los documentos producidos por OnlyFake se utilizaban principalmente para sortear los procesos KYC (Know Your Customer), es decir, las verificaciones obligatorias de identidad que bancos, brókeres y plataformas de criptomonedas deben aplicar en el marco de las normativas de prevención de blanqueo de capitales y financiación del terrorismo (AML/CFT), alineadas con las recomendaciones del Grupo de Acción Financiera Internacional (GAFI/FATF).
Con estas identificaciones sintéticas, los delincuentes podían abrir cuentas a nombre de testaferros, registrar perfiles en exchanges, ocultar a los beneficiarios reales de fondos y canalizar operaciones de alto riesgo aparentando ser usuarios legítimos. Fiscales y agentes federales subrayaron que los documentos gubernamentales de identidad son el pilar sobre el que se apoyan los sistemas de detección de fraude, robo y lavado de dinero; su falsificación a escala industrial erosiona gravemente la eficacia de estos controles.
El caso OnlyFake se inscribe en una tendencia más amplia: informes recientes de organismos como Europol y el GAFI alertan sobre el uso creciente de deepfakes y documentos generados por IA para suplantar identidades en procesos de incorporación digital. En 2023 y 2024 se registraron incidentes en Asia y Europa donde videollamadas manipuladas y documentos sintéticos permitieron superar controles de identidad de entidades financieras, lo que confirma que la amenaza es ya plenamente operativa y global.
Investigación del FBI, arresto y cargos contra el operador de OnlyFake
Entre mayo y junio de 2024, agentes del FBI actuando de forma encubierta realizaron compras de prueba en OnlyFake. Obtuvo así permisos de conducir del estado de Nueva York, pasaportes estadounidenses y una tarjeta de la Seguridad Social falsos, lo que permitió documentar la calidad de las falsificaciones y su idoneidad para burlar verificaciones automatizadas y manuales de identidad.
Tras la atención mediática sobre la plataforma, Nazarenko intentó borrar su rastro digital, encadenando transacciones en múltiples monederos de criptomonedas y eliminando comunicaciones electrónicas. Sin embargo, estas tácticas de ofuscación, habituales en servicios ilegales de la web oscura, no impidieron su identificación. Fue detenido en Rumanía y posteriormente extraditado a Estados Unidos en septiembre de 2025.
La acusación formal le imputa conspiración para cometer fraude relacionado con documentos, medidas de seguridad y datos personales. En el marco de un acuerdo de culpabilidad, Nazarenko aceptó la confiscación de 1,2 millones de dólares obtenidos con OnlyFake. La audiencia de sentencia está fijada para el 26 de junio de 2026, y se enfrenta a una pena potencial de hasta 15 años de prisión, aunque el tribunal determinará el castigo final en función de las directrices federales y las circunstancias del caso.
Lecciones de OnlyFake para la verificación KYC y la protección de la identidad digital
Reforzar la verificación remota más allá de la “foto del documento”
El caso OnlyFake demuestra que verificar únicamente la imagen de un documento ya no es suficiente. Las entidades financieras, fintech y plataformas de criptoactivos deben evolucionar hacia esquemas de verificación de identidad multinivel que combinen documentos, biometría y análisis de comportamiento. Entre las medidas recomendadas se incluyen pruebas biométricas con detección de vida, análisis de metadatos de las imágenes, contrastes en tiempo real con registros oficiales cuando la normativa lo permite y monitorización continua de patrones de uso y transacciones del cliente.
Gestión del riesgo de deepfakes y documentos sintéticos
En paralelo, los equipos de seguridad y cumplimiento normativo necesitan integrar herramientas específicas de detección de documentos sintéticos y deepfakes, así como programas de formación para identificar señales de manipulación generada por IA. La supervisión proactiva de foros, mercados clandestinos y nuevos servicios tipo OnlyFake resulta clave para anticipar amenazas emergentes. Ignorar estos riesgos no solo expone a las organizaciones a pérdidas por fraude, sino también a sanciones regulatorias por deficiencias en sus controles KYC y AML.
El caso OnlyFake evidencia cómo la inteligencia artificial reduce drásticamente la barrera de entrada al fraude de identidad, mientras que la defensa debe avanzar un paso por delante. Es un momento oportuno para que las organizaciones revisen en profundidad sus procesos KYC, inviertan en soluciones antifraude basadas en IA y refuercen la educación de clientes y empleados sobre la protección de datos personales y la desconfianza ante cualquier servicio que prometa «simplificar» o eludir requisitos regulatorios. La combinación de tecnología robusta, procesos maduros y cooperación público-privada será determinante para proteger la ciberseguridad financiera en la era de la identidad sintética.
