¿Es seguro enviar un selfi con tu DNI en la mano?

Tarde o temprano llega una petición que se siente distinta a la habitual copia del documento: envíanos una foto tuya sujetando el DNI junto a la cara. A veces con una hoja de papel y la fecha de hoy escrita encima. Es lo bastante frecuente como para parecer rutina — y por eso funciona tan bien como estafa. La respuesta no es que los selfis de verificación estén mal. Es que los legítimos casi nunca llegan como ha llegado esta petición.

Por qué alguien lo pide

Una copia de un documento demuestra que el documento existe. No demuestra que quien la envía sea la persona que aparece en él. Unir las dos cosas — un ser humano real y vivo, sujetando un documento real, ahora mismo — es la razón de ser de la verificación de identidad a distancia, y para los negocios regulados no es opcional. La normativa europea contra el blanqueo de capitales obliga a bancos, proveedores de criptoactivos y otros a identificar a sus clientes a partir de una fuente fiable e independiente; las directrices de la Autoridad Bancaria Europea sobre incorporación remota de clientes explican cómo hacerlo a distancia sin que te engañen, y el reglamento eIDAS regula los sistemas de identificación electrónica en los que muchos se apoyan.

Nada de ese marco produce una petición de enviar una foto tuya por correo. Produce una sesión de cámara en directo: una app o una página que enciende la cámara ella misma, te pide girar la cabeza o seguir un punto, captura los fotogramas que elige ella y no los que eliges tú, y comprueba el documento en un paso guiado aparte. La sesión está diseñada dando por hecho que lo que le entregues podría ser la foto de una foto. Que es exactamente el supuesto que una imagen fija enviada por chat no puede superar.

La pista está en cómo se recoge

La última fila es la más útil en la práctica. De una comprobación legítima siempre puedes irte y volver a abrirla tú mismo más tarde, identificándote en tu cuenta. Una estafa necesita mantenerte en esta conversación.

Por qué la foto fija vale tanto

Una foto de tu documento a solas es peligrosa de maneras concretas y limitadas. Una foto de tu cara y tu documento, en el mismo encuadre, vale bastante más que la suma de las dos, porque es un producto acabado: es el formato de archivo que las revisiones manuales de identidad de bancos, exchanges y marketplaces están hechas para aceptar. El defraudador no necesita derrotar una prueba de vida si puede conseguir que un revisor humano apruebe una imagen en su lugar.

Eso explica también el papel. Una nota escrita a mano con la fecha de hoy, el nombre de una plataforma o un número de referencia es justo lo que muchos servicios piden para demostrar que una imagen es reciente y se ha hecho para ellos. Cuando alguien te pide a ti que escribas una, esa nota no es para quien te la pide. Es un encargo para satisfacer una pantalla de verificación en otro sitio — normalmente uno donde se está abriendo, o secuestrando, una cuenta a tu nombre. Ninguna verificación de identidad regulada te va a pedir jamás que sostengas un papel.

Es un patrón documentado, no una hipótesis

El Instituto Nacional de Ciberseguridad, INCIBE, ha publicado un aviso sobre exactamente esto: una campaña de smishing que suplanta a los servicios sociales y envía SMS pidiendo tres fotos — el anverso del DNI, el reverso y un selfi — a una dirección de un dominio de correo gratuito. Las señales que enumera INCIBE son las de arriba: un SMS no solicitado, una redacción descuidada que salta del tuteo al usted, y una dirección de destino que no pertenece a la organización que dice ser.

Merece la pena fijarse en qué pedía esa campaña: el anverso, el reverso y la cara. Recogido junto, ese conjunto es un expediente de alta remota completo para la plataforma de otro.

Qué puedes tapar y qué tiene que quedarse

Si has decidido que la petición es real pero informal — un pequeño negocio, un casero particular, el alta en un club — todavía puedes reducir lo que entregas. Lo que se está comprobando es si esta cara coincide con este documento, y eso sobrevive casi intacto a la censura.

Esa última fila no es relleno. Una puerta, la vista de una ventana, la etiqueta de un paquete o un sobre encima de la mesa pueden situarte en una dirección tan bien como cualquier campo del documento — y, a diferencia del documento, a nadie se le ocurre mirarlos. Usa una pared lisa. Ten en cuenta además que un archivo de foto recién salido de la cámara puede llevar coordenadas GPS en sus metadatos: una captura de pantalla o una copia reexportada y aplanada no arrastra los del original, pero el original sí puede llevarlos.

Prepara primero la copia censurada y haz la foto sujetando esa, no el documento real — en cómo censurar un pasaporte o DNI tienes el método completo, y en cómo poner una marca de agua, cómo escribir el destinatario y el motivo sobre la imagen.

Cuándo no debes censurar

Hay una excepción clara, y es importante. Dentro del proceso de alta regulado propio de un banco, un bróker o un exchange, envía el documento tal cual. Esos sistemas leen el documento completo de forma automática, incluida la zona de lectura mecánica, y un campo tapado hará que la comprobación falle sin más — te costará la cuenta en lugar de protegerte. La distinción está desarrollada en qué copia del documento necesita de verdad tu banco. Censurar es para las copias que salen de tu control; un proceso regulado que has iniciado tú, dentro de una app en la que te has identificado, es justo lo contrario.

Cuando el problema es el canal

Muchas de estas peticiones son legítimas pero llegan por donde no deberían — el WhatsApp de una agencia inmobiliaria, el correo personal de un reclutador. Que la petición sea real no hace que el canal sea seguro, y la copia sobrevivirá a la conversación: consulta si es seguro enviar tu DNI por WhatsApp o correo y cuánto tiempo puede guardarla una empresa una vez la tiene. Según el RGPD, quien la pide necesita una base legal para conservarla y solo puede recoger lo que sea adecuado y limitado a lo necesario — que es la forma jurídica del mismo argumento que hace toda esta página.

Si ya has enviado uno

Sin alarmismo, pero sin dejarlo pasar. Pide por escrito que se borre la copia, denuncia la petición en la plataforma por la que llegó y vigila los intentos de apertura de cuentas y los restablecimientos de contraseña a tu nombre. La versión paso a paso está en ya has enviado una copia sin censurar: ¿y ahora qué?.

Para la próxima petición, la solución es tener una copia ya segura antes de que se acerque a una cámara. Anonymize my ID tapa el número de documento, la MRZ, la fecha de nacimiento y la firma y le pone una marca de agua para un único destinatario, enteramente en tu móvil — no se sube nada, así que la copia solo existe donde tú la envíes.

Cómo gestionar una petición de selfi con el DNI

1. Pregunta dónde está el proceso oficial. Responde pidiendo hacer la verificación dentro de la app de la empresa o en su propio dominio. Un negocio que de verdad tiene que identificarte ya tiene ese proceso; un defraudador no puede improvisarlo.
2. Mira el canal, no la redacción. Fíjate en por dónde ha llegado la petición y a dónde debe ir la respuesta. Un SMS no solicitado, un chat de una plataforma de compraventa o una dirección de correo gratuita son la señal — que el texto esté bien escrito no tranquiliza nada.
3. Niégate al papel escrito a mano. Una hoja con la fecha de hoy, el nombre de una plataforma o un número de referencia no forma parte de ninguna comprobación regulada. Está ahí para que tu foto pase una pantalla de verificación en otro sitio.
4. Censura el documento antes de que salga en la foto. Tapa el número de documento, la zona de lectura mecánica, la fecha de nacimiento y la firma, y sujeta la copia censurada en lugar del original. Tu cara y el nombre y la foto del documento son, en teoría, lo único que se está comprobando.
5. Ponle una marca de agua para ese destinatario. Escribe la organización, el motivo y la fecha sobre la imagen, para que una copia que reaparezca en otro sitio quede visiblemente fuera de contexto.
6. Deja la habitación fuera del encuadre. Usa una pared lisa. Una puerta, la vista desde una ventana, una etiqueta de un paquete o el correo encima de la mesa pueden situarte en una dirección tan bien como el propio documento.

Preguntas frecuentes