💻 computer science

Casting the Net! Revisiting MasterFace Impersonation Attacks

Este artículo demuestra que los adversarios pueden explotar las API comerciales públicas para construir ataques "NET" basados en MasterFaces, amplificando con éxito las tasas de suplantación de identidad hasta 9,5 veces más allá de las tasas de falsos emparejamientos estándar en los sistemas modernos de reconocimiento facial en solo 30 ensayos.

Autores originales: Seunghun Paik, Sunpill Kim, Chanwoo Hwang, Jae Hong Seo

Publicado 2026-08-10

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Seunghun Paik, Sunpill Kim, Chanwoo Hwang, Jae Hong Seo

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás caminando por un edificio de alta seguridad y, en lugar de una llave o una contraseña, el guardia revisa tu rostro. Así es como funcionan los Sistemas de Reconocimiento Facial (SRF): toman una foto de tu cara, la convierten en un código matemático secreto (una "plantilla") y verifican si ese código coincide con el que tienen registrado. Durante años, los expertos en seguridad creyeron que estos sistemas eran seguros frente a extraños aleatorios que intentaran colarse. Pensaban que el único riesgo real era un "impostor de esfuerzo cero": alguien que simplemente se parece un poco a la persona a la que intenta engañar, algo así como ganar la lotería al adivinar los números correctos. Si no te esforzabas mucho en hackear el sistema, tus posibilidades de entrar eran básicamente nulas. Pero, ¿qué pasaría si hubiera una forma de lanzar una red amplia, capturando no solo una, sino muchas caras diferentes a la vez, sin necesidad de conocer el código secreto o de irrumpir en el edificio? Esta es la pregunta que los investigadores se plantean en el campo de la ciberseguridad y la biometría, donde el objetivo es comprender cómo se pueden forzar estas cerraduras digitales, incluso por alguien que juega siguiendo las reglas.

En un nuevo estudio titulado "Casting the Net! Revisiting MasterFace Impersonation Attacks" (¡Lanzando la red! Revisando los ataques de suplantación de identidad de MasterFace), investigadores de la Universidad de Hanyang en Corea del Sur han descubierto una forma ingeniosa de romper esa barrera de seguridad de "esfuerzo cero". Descubrieron que, incluso si un atacante no conoce la cara específica que intenta suplantar, puede engañar al sistema comprando acceso a las mismas herramientas públicas de escaneo facial que utiliza el edificio. Piénsalo de esta manera: imagina que un guardia de seguridad utiliza una aplicación específica para verificar identificaciones. Los investigadores se dieron cuenta de que cualquiera puede comprar esa misma aplicación y preguntarle: "¿Qué tan similar es la Cara A a la Cara B?", miles de veces. Al hacer suficientes preguntas, pueden mapear la "forma" de todas las caras que el sistema reconoce, incluso sin ver los códigos secretos que hay dentro.

El equipo utilizó esta información para crear lo que llaman un "MasterFace" (Cara Maestra). En el pasado, los científicos intentaban crear estas "supercaras" adivinando a ciegas, pero generalmente fallaban contra los sistemas modernos e inteligentes. Este artículo muestra que, mediante el uso de la aplicación pública para dibujar un mapa del "espacio facial" del sistema, un atacante puede construir un conjunto de caras especiales (una "red") que cubre un área enorme de ese mapa. Es como lanzar una red de pesca en un estanque donde los peces (las caras reales) se agrupan en ciertos puntos. En lugar de intentar atrapar un pez específico, el atacante lanza una red diseñada para atrapar cualquier pez que pase nadando por allí.

Los resultados son sorprendentemente efectivos. En sus experimentos, los investigadores probaron este método contra varios sistemas de reconocimiento facial del mundo real, incluyendo modelos de código abierto y un importante servicio comercial de Amazon. Descubrieron que con solo unos pocos intentos —entre 5 y 30 intentos— su "red" podía engañar al sistema con mucha más frecuencia de la que un extraño aleatorio lograría. En algunos casos, su tasa de éxito fue hasta 9.5 veces mayor de lo que los estándares de seguridad suelen esperar. Por ejemplo, si un sistema está diseñado para dejar entrar a un extraño aleatorio solo 1 de cada 10,000 veces, este nuevo método podría dejarlo entrar casi 10 de cada 10,000 veces con el mismo número de intentos.

El artículo es cuidadoso en señalar lo que esto no significa. No significa que cualquiera pueda acercarse a una cámara y convertirse instantáneamente en cualquier otra persona. El ataque requiere que el atacante compre el mismo software comercial que utiliza el objetivo, lo cual cuesta dinero (los investigadores estimaron un presupuesto de unos $100 para sus pruebas), y depende de que el sistema esté construido sobre estas herramientas públicas. Los investigadores también descartaron la idea de que los trucos antiguos y simples funcionen en los sistemas modernos; demostraron que los métodos antiguos fallan, pero este nuevo enfoque de la "red" funciona porque utiliza las propias herramientas públicas del sistema en su contra.

Entonces, ¿qué nos dice esto? Sugiere que la seguridad del reconocimiento facial podría ser más frágil de lo que pensábamos, no porque las cerraduras estén rotas, sino porque las llaves se están vendiendo a todo el mundo. Si un edificio utiliza un servicio público y popular de escaneo facial, un atacante puede comprar ese mismo servicio, estudiar cómo ve las caras y diseñar un "MasterFace" que encaje en la cerradura. Los investigadores no están diciendo que el mundo esté condenado, pero están advirtiendo que debemos ser más cuidadosos con cuánta información revelamos sobre qué herramientas utilizamos para mantener nuestras puertas cerradas. Han publicado una versión pequeña y segura de su código para que otros científicos puedan estudiar este problema, pero han mantenido ocultas las partes peligrosas para evitar su mal uso. En última instancia, este artículo revive una idea antigua —el "MasterFace"— y muestra que, con un poco de matemáticas y una tarjeta de crédito, podría ser más peligroso de lo que imaginábamos.

Resumen Técnico: ¡Lanzando la Red! Revisitando los Ataques de Suplantación de Identidad mediante MasterFace

Planteamiento del Problema
Los Sistemas de Reconocimiento Facial (FRS, por sus siglas en inglés) enfrentan una amenaza de seguridad fundamental: la suplantación de identidad, donde un adversario intenta autenticarse como una identidad víctima. En escenarios de despliegue realistas, las capacidades del adversario están estrictamente limitadas. Los atacantes carecen típicamente de acceso a los parámetros internos del sistema, a las plantillas registradas o a la imagen facial de la identidad objetivo. Además, la interacción se limita a un número pequeño y fijo de intentos de autenticación (por ejemplo, de 5 a 30 intentos) que arrojan únicamente decisiones binarias de "aceptar/rechazar". Bajo estas restricciones, la línea base de seguridad estándar es la Tasa de Falsos Emparejamientos (FMR), que representa la probabilidad de que un "impostor de esfuerzo cero" (un rostro aleatorio) sea aceptado incorrectamente.

Históricamente, los ataques de MasterFace —rostros sintetizados diseñados para coincidir con múltiples identidades explotando las no uniformidades en las distribuciones biométricas— se consideraban ineficaces contra los FRS modernos y de última generación. Estudios previos sugirieron que los MasterFaces eran demasiado sensibles a extractores de plantillas específicos y no lograban alcanzar tasas de suplantación significativamente superiores a la línea base de FMR estándar bajo modelos de amenaza realistas.

Metodología
Los autores proponen un nuevo ataque de suplantación que revive el concepto de MasterFace aprovechando el acceso legítimo a APIs comerciales públicas (por ejemplo, AWS Rekognition, Tencent Cloud) utilizadas como backends para despliegues de FRS en el mundo real. El pipeline del ataque consta de tres etapas:

Formulación Basada en Redes (Problema de Cobertura Máxima):
En lugar de buscar un único MasterFace en el espacio de la imagen, los autores formalizan el ataque en el espacio de las plantillas. Definen una "red" como un conjunto de $Q$ plantillas cuyas vecindades $\tau$ maximizan colectivamente la cobertura de la distribución de plantillas faciales. La búsqueda de esta red se formaliza como un Problema de Cobertura Máxima (MCP), un problema de optimización combinatoria clásico. El objetivo es encontrar un conjunto de plantillas $\{z_1, \dots, z_Q\}$ que maximice la probabilidad de cubrir una plantilla objetivo muestreada aleatoriamente $t$ .
Explotación de Consultas de API mediante Descomposición de Gram:
El adversario no tiene acceso directo al extractor de plantillas del FRS objetivo ni a las plantillas registradas. Sin embargo, puede comprar la misma API comercial utilizada por el sistema objetivo.

El adversario consulta la API con pares de sus propias imágenes faciales elegidas para obtener puntuaciones de confianza (puntuaciones de similitud).
Utilizando la Descomposición de Gram, el adversario construye una matriz $L$ a partir de la matriz de puntuaciones $S$ (donde $S = A^T A$ y $A$ contiene las características extraídas por la API).
Este proceso produce plantillas rotadas ($L = RA$, donde $R$ es una matriz de rotación unitaria desconocida). Aunque la orientación exacta es desconocida, la estructura geométrica del espacio de plantillas se preserva hasta una isometría.
Crucialmente, el Problema de Cobertura Máxima es invariante bajo isometría. Por lo tanto, el adversario puede resolver el MCP en las características rotadas para encontrar la red óptima en el espacio original.

Recuperación de Rostros:
Una vez identificada la red rotada, el adversario debe recuperar las imágenes faciales correspondientes para lanzar la suplantación física o digital.

El adversario utiliza la red rotada para construir un oráculo de puntuación mediante consultas adicionales a la API.
Este oráculo se introduce en ataques de reconstrucción basados en puntuación existentes (específicamente, el método de Kim et al. [53] combinado con Estrategias de Evolución Natural (NES) para el post-procesamiento) para reconstruir las imágenes faciales que corresponden a los centros de la red.

Contribuciones Clave

Revitalización de los Ataques MasterFace: El artículo demuestra que los ataques de MasterFace son viables contra los FRS modernos si el adversario puede comprar y consultar legítimamente la misma API comercial utilizada como backend.
Formalización como MCP: Los autores formalizan los MasterFaces como un conjunto de plantillas que maximizan la cobertura sobre la distribución biométrica, reduciendo la búsqueda a un Problema de Cobertura Máxima resoluble mediante algoritmos voraces (greedy).
Vector de Ataque Invariante a la Isometría: Introducen una técnica utilizando la Descomposición de Gram para extraer características geométricas de las puntuaciones de la API hasta una rotación desconocida. Esto permite la construcción de una red adaptada a la API sin conocer el extractor de plantillas específico ni las identidades registradas.
Modelo de Amenaza Realista: El ataque opera estrictamente dentro de las restricciones reales: sin conocimiento interno del sistema, sin acceso a las identidades registradas y con un número limitado de intentos de autenticación basados en decisiones.

Resultados Experimentales
Los autores evaluaron su ataque contra varios FRS de código abierto (ArcFace, ElasticFace, AdaFace) y la API comercial AWS CompareFaces.

Tasas de Suplantación (IR): A través de presupuestos de intentos de autenticación ( $Q$ ) de 5, 10 y 30, y en niveles de FMR de $10^{-3}$ , $10^{-4}$ y $10^{-5}$ , el ataque propuesto superó consistentemente la línea base del impostor de esfuerzo cero.
Factores de Mejora:
- Para los FRS de código abierto, el ataque logró mejoras de 2.03× a 9.50× sobre la línea base.
- Para la API AWS CompareFaces, las mejoras oscilaron entre 1.75× y 6.57×.
Costo: El ataque requiere un costo de API de una sola vez (estimado en aproximadamente $100 para los experimentos de AWS) para construir la red. Los intentos de autenticación posteriores no requieren más consultas a la API.
Cobertura Demográfica: Las visualizaciones mostraron que, aunque los MasterFaces reconstruidos a menudo parecían hombres blancos (debido a los sesgos en los datos de entrenamiento utilizados para la subrutina de reconstrucción), cubrieron con éxito rostros de diversos grupos demográficos, confirmando que el ataque apunta a la distribución del espacio de plantillas y no a la apariencia en el espacio de píxeles.

Significancia y Reivindicaciones
El artículo sostiene que se demuestra que los impostores de esfuerzo cero no son la única línea base viable para la seguridad de los FRS modernos. Al explotar legítimamente la información pública relativa al uso de APIs comerciales en el backend, un adversario puede construir MasterFaces "adaptados a la API" que amplifican significativamente las tasas de suplantación más allá del FMR estándar.

Los autores enfatizan que esta vulnerabilidad surge de la no uniformidad de las distribuciones biométricas combinada con la transparencia del uso de APIs comerciales en los despliegues del mundo real. Argumentan que la divulgación de información a nivel de sistema (por ejemplo, revelar qué API de terceros se utiliza) permite a los atacantes eludir las suposiciones de seguridad que anteriormente hacían que los ataques de MasterFace fueran obsoletos. El trabajo sugiere que las evaluaciones de seguridad actuales, que dependen únicamente del FMR, pueden subestimar el riesgo planteado por adversarios con acceso a servicios comerciales públicos.

El artículo concluye señalando que, si bien el ataque es efectivo en un contexto digital, la realización física (por ejemplo, imprimir los rostros) implica desafíos de suplantación (spoofing) distintos que no se abordan aquí. También sugieren que la técnica de descomposición de Gram podría ser una herramienta para otros ataques de extracción de información, como la inferencia de membresía o la extracción de modelos.

Más como este