Sí, y por una razón poco intuitiva: tu banco nunca ve tu huella ni tu cara. Cuando la aplicación te pide Face ID, Touch ID o el sensor de tu Android, es el móvil quien compara tu rasgo con la plantilla que guarda en un chip aislado, y a la app solo le dice «sí» o «no». El punto débil real de este sistema es otro: el código de desbloqueo del móvil. Esta guía es para quien usa la app del banco a diario y quiere saber qué riesgo corre de verdad, qué mitos sobran y qué ajustes cambian algo.¿Qué recibe el banco cuando pones el dedo?Un resultado, no un dato biométrico. Lo dice la guía de seguridad de plataformas de Apple: cuando una app de terceros usa Face ID o Touch ID, «solo se informa a la app de si la autenticación se ha realizado correctamente o no, pero no se le proporciona acceso» a los datos biométricos del usuario.Esos datos tampoco viajan a ningún servidor. Apple asegura que los de Face ID «no salen del dispositivo» y que nunca se copian a iCloud. De Touch ID explica que no guarda imágenes de la huella, sino una representación matemática de la que no se puede reconstruir la huella, cifrada y accesible solo para el Secure Enclave, el procesador aislado que hace la comparación.En Android la arquitectura depende del fabricante, pero Google fija las reglas en su documentación para fabricantes: solo los sensores que superan sus pruebas pueden ofrecerse a las aplicaciones, y los de nivel más bajo, no.Las cifras: cuánto cuesta engañar a un sensorLos fabricantes publican sus probabilidades de error, y conviene leerlas con su letra pequeña:MétodoProbabilidad oficial de que otra persona lo desbloqueeFuenteFace ID (una apariencia registrada)Menos de 1 entre 1.000.000AppleTouch ID1 entre 50.000 por dedo registradoAppleCódigo de 4 dígitos (adivinarlo al azar)1 entre 10.000AppleBiometría Android (cualquier clase)Tasa de falsa aceptación máxima exigida: 1 entre 50.000AndroidLa letra pequeña de Apple: la probabilidad de Face ID aumenta con mascarilla, entre gemelos y hermanos parecidos y en menores de 13 años, cuyos rasgos pueden no estar desarrollados del todo. En esos casos, la propia Apple recomienda usar código.Android añade una métrica que importa más que la falsa aceptación: la tasa de aceptación de suplantaciones (SAR), es decir, cuántas veces un molde de huella o una foto engañan al sensor. Con ella clasifica la biometría en tres clases. La clase 3 exige que las suplantaciones funcionen como mucho en el 7 % de los intentos (con algún tipo de ataque se admite hasta el 20 %) y es la única que puede integrarse con el almacén de claves del sistema. La clase 2 puede usarse con el diálogo biométrico estándar, pero no puede desbloquear claves de las apps. La clase 1 «no puede exponer una API a las apps»: ninguna app de banco puede usarla.¿Por qué la ley acepta tu huella como factor de seguridad?Porque la normativa europea de pagos la considera un elemento de inherencia, algo que eres. El Reglamento Delegado (UE) 2018/389, que desarrolla la directiva de pagos PSD2, exige que la autenticación reforzada combine al menos dos elementos de tres categorías: conocimiento (algo que sabes), posesión (algo que tienes) e inherencia.Cuando entras con la huella en la app del banco, el móvil registrado actúa como posesión y tu huella como inherencia. El artículo 8 obliga al banco a garantizar una «muy baja probabilidad de que un tercero no autorizado sea autenticado como ordenante». El artículo 9 añade que, si todo ocurre en un mismo aparato multiuso como el móvil, haya entornos separados de ejecución segura. Ese es el papel del Secure Enclave o de su equivalente en Android.El mismo reglamento fija dos límites que reconocerás: como máximo cinco intentos fallidos seguidos antes de bloquear, y como máximo cinco minutos de inactividad en la sesión de banca online.Mitos que conviene desmontar«El banco guarda mi cara.» No en este sistema: la app recibe un sí o un no. Otra cosa es la verificación de identidad que algunas entidades hacen al abrir la cuenta con selfi y documento, que es un proceso distinto.«Con una foto mía me desbloquean el iPhone.» Apple explica que Face ID «siempre requiere información de profundidad», algo que no tienen las fotografías 2D, y que comprueba que tienes los ojos abiertos y miras al dispositivo, lo que dificulta usarlo mientras duermes. Algunos desbloqueos faciales de Android más sencillos son otra historia: precisamente por eso los de clase 1 no pueden usarse para abrir la app del banco.«Si me roban la huella, no puedo cambiarla.» Es verdad en teoría, pero lo que el móvil guarda no es la huella sino una plantilla que no permite reconstruirla.Los riesgos reales: tu código y tu móvil desbloqueadoEl eslabón débil es el código. La guía de Apple señala que los elementos del llavero protegidos con biometría se desbloquean «con un reconocimiento correcto o con el código del dispositivo». Quien conozca tu código puede, en muchos casos, hacer lo mismo que tu cara. Por eso el robo que más preocupa no es el del sensor, sino el del móvil después de haber espiado cómo tecleabas el PIN en el metro.Los sistemas fuerzan el código en situaciones concretas. En el iPhone con Face ID, al reiniciar el aparato, tras cinco intentos fallidos o si no se ha desbloqueado en 48 horas. En Android, la clase 3 puede funcionar hasta 72 horas antes de pedir el método principal; las clases 1 y 2, hasta 24 horas, o 4 horas de inactividad, o tras 3 intentos incorrectos.Mi consejo, por orden de impacto:Un código largo y no evidente, nunca una fecha. Es lo que protege todo lo demás.Activa los ajustes antirrobo de iPhone y Android, pensados para el caso de que te roben el móvil con el código ya espiado. Los repasamos en qué ajustes activar para que un ladrón no pueda vaciarte las cuentas.No registres la cara o la huella de otra persona en tu móvil: para el banco, sería como tú.Si tienes un gemelo o el móvil es de un menor de 13 años, usa código, como recomienda Apple.La biometría bien implementada es, con datos en la mano, más difícil de burlar que el código que la respalda, y es la misma lógica que hace robustos los pagos con Apple Pay, Google Pay y Samsung Pay y las passkeys que van a jubilar tus contraseñas.Creo que el debate público sobre la huella está mal enfocado. Discutimos si alguien puede copiar un dedo con silicona, un ataque que existe pero exige acceso físico, preparación y un objetivo concreto. Mientras, apenas hablamos del PIN de cuatro cifras que respalda esa huella y que tecleamos a la vista de cualquiera. Usa la huella o la cara sin miedo. Lo que merece cinco minutos de tu tiempo hoy es el código que hay detrás.La noticia Entrar al banco con la huella o la cara: ¿es seguro? fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.