El dinero se puede devolver. Tu cara, no: Lo que el caso ueno revela sobre la identidad digital en Paraguay

Casi tres millones de paraguayos se despertaron el martes 3 de noviembre sin poder entrar a la app de su banco. La pregunta inmediata fue obvia: ¿Y mi plata? Pero hay otra, más silenciosa y más difícil de resolver, que casi nadie está haciendo: ¿Quién custodia hoy la cara, el documento y el video selfie que entregamos para abrir esa cuenta?

El dinero tiene un procedimiento de resolución, un fondo de garantía y un cronograma de pagos. La identidad digital, no.

Lo que pasó, en 30 segundos

El Banco Central del Paraguay (BCP) inició el procedimiento de resolución de ueno bank tras constatar que su índice de solvencia había caído por debajo de la mitad del mínimo exigido. La app, las tarjetas y todos los servicios quedaron inactivos. La Fiscalía abrió una causa por presuntas irregularidades en préstamos a empresas del mismo grupo económico, el Grupo Vázquez, y hay decenas de imputados. El caso escaló hasta la crisis política que hoy domina la agenda.

Ese es el plano financiero y judicial. Esta columna va por el plano técnico.

Una sola llave para todo: Cómo funciona UNID

Para abrir una cuenta en ueno había que pasar por UNID, el «acceso único» del grupo. En términos de arquitectura, UNID es un proveedor de identidad (IdP, por sus siglas en inglés): Un sistema central que verifica quién sos y le avisa al resto de las aplicaciones que pueden confiar en vos. Es el mismo modelo de inicio de sesión único (SSO) que usan Google o Microsoft para sus servicios.

Con un mismo documento y una misma contraseña entrabas al banco, a las apps de Olimpia, Cerro Porteño y la APF, y a otras plataformas del conglomerado. Cambiabas la contraseña en una y cambiaba en todas.

La comodidad es real, pero UNID no es de ueno. Según su propio sitio, es un producto de ITTI USA, LLC, una sociedad con domicilio en Dallas, Texas. Y sus términos y condiciones autorizan la transferencia a terceros de datos personales, financieros e información sensible, incluidas imágenes y datos biométricos.

Para cumplir con el proceso de «conocé a tu cliente» (KYC, en la jerga bancaria), el onboarding digital pedía foto del documento, una selfie y un video selfie para la prueba de vida. Es el estándar de la industria. El problema no es la tecnología: Es dónde termina todo eso cuando la empresa que lo custodia entra en crisis.

La biometría no se rota

En ciberseguridad hay una regla básica ante cualquier filtración: Rotar las credenciales. Cambiás la contraseña, regenerás la clave, emitís una tarjeta nueva. El dato comprometido pierde valor.

Con la biometría eso no existe. No podés rotar tu cara.

Un sistema bien diseñado no guarda la foto, sino una plantilla: Una representación matemática del rostro, cifrada y difícil de revertir. Pero el video selfie de onboarding es otra cosa. Es material crudo: Tu cara en movimiento, tu voz en algunos casos, tu documento al lado. En la era de los deepfakes, ese material es exactamente lo que necesita alguien para intentar engañar la prueba de vida de otra fintech y abrir una cuenta a tu nombre.

Por eso las legislaciones modernas tratan los datos biométricos como datos sensibles. Lo que está en juego no es un número de cuenta: Es un identificador que te acompaña de por vida.

El punto único de falla

Cualquier arquitecto de sistemas conoce el concepto de punto único de falla: Un componente del que depende todo lo demás y que, si cae, arrastra al resto.

El ecosistema del Grupo Vázquez se construyó así. La misma identidad servía para el banco, para entrar al estadio y para acceder a la Expo. La misma empresa tecnológica, ITTI, desarrollaba los sistemas del banco, proveía reconocimiento facial en recintos deportivos y llegó a declarar que buena parte de las transacciones del país pasaba por su core bancario.

En tiempos normales, eso se vende como eficiencia. Cuando el centro del grupo colapsa, la pregunta se vuelve urgente. Hoy ITTI comunicó a su personal la paralización temporal de sus actividades, y empleados de su filial argentina relataron que perdieron el acceso a los sistemas.

Revocar accesos es, en sí mismo, una buena práctica de seguridad. Pero abre las preguntas que cualquier auditor haría primero:

¿Quién opera hoy la infraestructura de UNID?
¿Quién revisa los registros de acceso (logs) de las últimas semanas?
¿Quién paga la nube donde están almacenados los datos?
¿Quién tiene las llaves de cifrado?
¿Y quién decide qué se borra, qué se conserva y qué se transfiere?

Banco intervenido, identidad en otra jurisdicción

Acá aparece el nudo que más me preocupa como técnico. El BCP intervino el banco. Pero la capa de identidad pertenece formalmente a otra sociedad, del mismo grupo, constituida en Estados Unidos. En el lenguaje de la protección de datos, hay que distinguir al responsable del tratamiento (quien decide qué se hace con los datos) del encargado (quien los procesa por cuenta de otro). Con un banco en resolución y una LLC en Texas, esa línea se vuelve difusa.

Hay además una diferencia de fondo: Una cartera de créditos se puede vender, y con ella viajan los datos necesarios para cobrar esa deuda. Pero tu biometría no debería viajar con ninguna cartera. No forma parte de una deuda, forma parte de vos.

El hueco legal

Paraguay tiene, desde noviembre de 2025, una ley integral de protección de datos personales: la Ley 7593/2025. Reconoce los datos biométricos como sensibles, exige consentimiento específico y limita las transferencias internacionales. El problema es el calendario: entra en vigencia plena recién en noviembre de 2027.

Mientras tanto, lo que rige es la Ley 6534/2020, que protege los datos crediticios, y el hábeas data del artículo 135 de la Constitución, que te permite conocer qué datos tienen sobre vos y pedir su actualización, rectificación o destrucción.

Es decir: El caso de datos más grande de la historia del país llega un año antes de que exista la autoridad que debería supervisarlo.

Lo que debería pasar

Desde el lado técnico, una intervención de esta escala debería incluir un plan de continuidad para los datos, no solo para el dinero. Como mínimo:

Un inventario público de qué datos personales y biométricos existen, dónde están alojados y bajo qué sociedad.
El congelamiento de cualquier transferencia de bases de datos a terceros mientras dure el proceso.
La custodia de los registros de acceso, para poder auditar qué pasó antes y después del 3 de noviembre.
Un canal para que cada persona pueda pedir la eliminación de su biometría, con constancia de que se hizo.

Si eras cliente de ueno: Qué podés hacer hoy

1. Desconfiá de todo mensaje sobre devoluciones. En crisis como esta, las estafas llegan antes que los pagos. Informate solo por los canales oficiales del BCP. Nadie legítimo te va a pedir por WhatsApp una selfie, un video, tu contraseña o un código de verificación para «liberar» tu dinero.
2. Revisá tus contraseñas. Si la clave que usabas en ueno o UNID es la misma que usás en otros servicios, cambiala hoy en esos servicios y activá la verificación en dos pasos donde puedas.
3. Pedí información por escrito. Podés solicitar formalmente qué datos tuyos se conservan, dónde y quién tiene acceso. Guardá constancia de cada pedido y de cada respuesta.
4. Conocé tu herramienta legal. Si no obtenés respuesta, el hábeas data es una garantía constitucional que se ejerce ante un juez. Consultá con un abogado u organizaciones de derechos digitales como TEDIC, que vienen siguiendo el caso.
5. Vigilá tu historial crediticio. Revisá periódicamente tu informe en los burós de crédito para detectar cuentas o préstamos que no reconozcas.

Reflexión final

Durante años, entregar la cara para entrar a un banco, a un estadio o a una feria se presentó como sinónimo de modernidad. Y la tecnología de identidad digital lo es: Bien implementada, protege más de lo que expone. Pero la tecnología no es neutral respecto de quién la controla.

El caso ueno nos obliga a cambiar la pregunta. Ya no alcanza con preguntar si una app es segura. Hay que preguntar quién es el dueño de la llave, en qué país vive y qué pasa con ella el día que la empresa cae.

Tu plata tiene un proceso para volver. Tu identidad, todavía no. Exigirlo también es parte de la salida de esta crisis.

Diego Chimps, Project Manager & Systems Architect, Applied AI.