Olvidar una contraseña siempre ha significado lo mismo: buscar el correo de recuperación, esperar un código, cruzar los dedos para que funcione. Google acaba de añadir una alternativa a ese ritual. Desde finales de julio, algunas cuentas personales pueden recuperarse con un vídeo corto de la cara, sin contraseñas ni códigos de por medio. Basta con mirar a la cámara y mover un poco la cabeza para demostrar que hay una persona real al otro lado. La propuesta es cómoda, y llega en un momento en el que cada vez más servicios intentan dejar atrás las contraseñas. Pero también abre una pregunta distinta a las de siempre: qué pasa cuando lo que puede filtrarse ya no es una clave que se cambia, sino la propia cara.
Qué es el videoselfie y cómo funciona
La función se llama «selfie para iniciar sesión» y Google la presentó el 23 de julio como una vía adicional para acceder a la cuenta o recuperarla cuando algo falla: se olvida la contraseña, se pierde el teléfono o no se tiene a mano la app de verificación en dos pasos.
Lo primero que conviene aclarar es lo que no es. No sustituye la contraseña ni las passkeys ni la verificación en dos pasos. Se suma a esas opciones como un respaldo más, pensado para el momento en que ninguna de las demás está disponible.
El funcionamiento es sencillo. Para configurarlo, el usuario mira a la cámara del móvil o del ordenador y sigue unas instrucciones breves: girar la cabeza a un lado y al otro, asentir. Con esos movimientos, Google graba un vídeo de referencia que queda guardado en la cuenta. Si el ordenador no tiene cámara, se puede trasladar el proceso al teléfono escaneando un código.
Más adelante, si el usuario se queda sin acceso, graba un vídeo nuevo repitiendo esos mismos gestos. Google lo compara con el vídeo guardado. Si coinciden y no hay señales de nada extraño, la cuenta se desbloquea en cuestión de segundos.
Google ha comparado esta configuración con Face ID de Apple, aunque con una diferencia importante: Face ID usa una cámara especial que crea un mapa tridimensional del rostro y lo procesa dentro del propio teléfono, sin enviarlo a ningún servidor. El videoselfie de Google, en cambio, funciona con una cámara normal y guarda el vídeo en sus propios servidores. Eso lo hace más accesible, porque funciona en casi cualquier dispositivo, pero también traslada la pregunta de la seguridad hacia otro lugar: qué pasa con ese vídeo una vez que Google lo tiene guardado.
Qué pasa con esos datos: biometría y detección de vida
Un dato biométrico es cualquier rasgo físico que sirve para identificar a una persona: la cara, la huella, el iris, la voz. En el caso del videoselfie, el sistema no guarda una foto tal cual. Convierte los rasgos de la cara en una especie de patrón matemático y compara ese patrón con el que se grabó al configurar la función.
Aquí surge la pregunta lógica: si todo se basa en una cámara normal, ¿no bastaría con enseñarle una foto o un vídeo grabado de la persona? Para evitar justo eso existe la detección de vida, conocida como liveness. Es la parte del sistema que comprueba que delante de la cámara hay alguien real, en ese momento, y no una imagen fija ni una grabación previa. Por eso el proceso pide moverse: girar la cabeza, asentir. Una foto no puede hacer esos gestos cuando se le piden en directo, y una grabación repetida tampoco encaja con lo que el sistema espera ver en tiempo real.
Esto no cierra la puerta a los intentos de suplantación, solo la hace más difícil de forzar. El punto débil que preocupa a los expertos en seguridad no es tanto engañar al sistema con una foto impresa, algo que la detección de vida ya filtra bastante bien, sino los llamados deepfakes: vídeos generados por inteligencia artificial que sí pueden imitar movimiento y gestos con un nivel de realismo cada vez mayor. Google añade a esto otra capa: revisa también datos del inicio de sesión, como la ubicación o el dispositivo desde el que se intenta acceder, para detectar patrones sospechosos aunque el vídeo en sí parezca válido.
La preocupación de fondo: cuando lo que se filtra eres tú
Con una contraseña, si alguien la roba, se cambia y el problema queda resuelto. Con una cara, no existe ese botón de reinicio. Es la objeción que más repiten los expertos en seguridad consultados tras el anuncio de Google: una vez que un dato biométrico queda expuesto, sigue expuesto para siempre, porque no hay forma de generar una cara nueva como se genera una contraseña nueva.
Esa preocupación no nace de la nada. Llega en un momento en el que los intentos de suplantación con inteligencia artificial han crecido de forma notable. Los informes del sector sobre fraude de identidad coinciden en que los deepfakes ya representan una parte significativa de los intentos de verificación facial fraudulentos, y que su sofisticación ha aumentado rápido en el último año. Esto no dice nada sobre si el sistema de Google en concreto puede ser engañado, pero explica por qué cualquier función basada en el rostro despierta más cautela que hace unos años.
Hay otra capa de preocupación, más silenciosa: la concentración de datos. Cuantos más servicios dependen de un mismo tipo de verificación facial, más interesante se vuelve ese dato para quien quiera robarlo. Y a diferencia de una contraseña filtrada, que afecta a una cuenta, un dato biométrico filtrado puede acompañar a una persona durante el resto de su vida digital.
Cómo responde Google (y qué queda en el aire)
Google insiste en que el vídeo es del usuario y que el usuario mantiene el control: se guarda con su consentimiento, puede borrarse cuando quiera y queda cifrado incluso cuando no se está usando. Sobre los intentos de suplantación, la empresa explica que compara cada vídeo nuevo con el guardado, pide movimientos en tiempo real para descartar fotos o grabaciones, y revisa señales adicionales del inicio de sesión para detectar accesos sospechosos.
Hay también una opción, desactivada por defecto, para permitir que Google use ese vídeo con el fin de mejorar sus sistemas de reconocimiento facial. Es independiente de la recuperación de cuenta: no aporta nada a la seguridad del propio usuario, así que no hay mucho motivo para activarla si lo que se busca es solo tener un respaldo para entrar en la cuenta.
Dicho esto, quedan varias preguntas sin respuesta clara. Google no precisa cuánto tiempo conserva los vídeos, solo que se eliminan «tras un periodo de tiempo». Tampoco detalla en qué países o cuentas no está disponible la función, más allá de excluir explícitamente Workspace, las cuentas de menores y los perfiles con Protección Avanzada. Son vacíos que no invalidan las medidas descritas, pero que dejan al usuario con menos información de la que tiene sobre, por ejemplo, cómo se gestiona una contraseña.
La cara como respaldo, no como única llave
El videoselfie no cambia de un día para otro cómo se accede a una cuenta de Google. Sigue siendo una opción entre varias, pensada para el momento puntual en que todo lo demás falla. Pero marca bien hacia dónde va la autenticación en general: cada vez menos contraseñas, cada vez más rasgos del propio cuerpo como llave de acceso.
Esa dirección tiene sentido mientras existan formas de verificar que quien está delante de la cámara es realmente una persona, y no una imagen generada por un ordenador. Es una carrera que no se detiene: los sistemas de detección de vida mejoran, y las herramientas para engañarlos también. Por ahora, la recomendación más razonable sigue siendo la de siempre: usar el videoselfie como red de seguridad, no como único acceso, y mantener otros métodos activos por si acaso.
Si te ha gustado este artículo y quieres recibir más contenido sobre innovación y tecnología directamente en tu correo, suscríbete a nuestra newsletter y mantente siempre actualizado. No somos de los que llenan tu bandeja, solo compartimos los lunes.
