A medida que las tecnologías de inteligencia artificial se vuelven más sofisticadas, también están introduciendo desafíos complejos en la protección contra ataques de ingeniería social. Este blog analiza los problemas que la IA plantea para la ciberseguridad y, en particular, cómo está cambiando la forma en que los delincuentes llevan a cabo ataques de ingeniería social. 

¿Amigo o enemigo? 

Las capacidades de la IA para mejorar los esfuerzos de ciberseguridad no pueden subestimarse. Desde la automatización de la detección de amenazas hasta el análisis de grandes volúmenes de datos en busca de actividades sospechosas, las herramientas de IA se están convirtiendo en aliados indispensables. Sin embargo, también están empoderando a los adversarios, dotándolos de herramientas para crear campañas de ingeniería social más convincentes y dirigidas. 

El auge de los deepfakes 

La tecnología deepfake, impulsada por la IA, ejemplifica esta naturaleza dual. Los deepfakes pueden crear falsificaciones de audio y video altamente convincentes, lo que permite imitar a personas con gran precisión. Esta tecnología se utiliza en estafas, campañas de desinformación y para eludir medidas de seguridad biométricas, lo que representa una amenaza significativa tanto para individuos como para organizaciones. 

Caso real 

En febrero de 2024, en el primer robo de este tipo, un empleado de una multinacional fue engañado para pagar 25 millones de dólares a estafadores. Los atacantes utilizaron tecnología deepfake para hacerse pasar por el director financiero de la empresa durante una videollamada, engañando al empleado para que asistiera a una llamada con personas que pensaba que eran otros miembros del personal, pero que en realidad eran recreaciones deepfake. 

El empleado se volvió suspicaz después de recibir un mensaje supuestamente del director financiero con sede en el Reino Unido de la empresa. Al principio, sospechaba que era un correo de phishing, ya que hablaba de la necesidad de realizar una transacción secreta. Sin embargo, dejó de lado sus dudas iniciales después de la videollamada, ya que las otras personas presentes parecían y sonaban exactamente como colegas que reconocía. 

En otros lugares, se han utilizado deepfakes para difundir desinformación a través de redes sociales. La guerra entre Rusia y Ucrania ha visto a ambas partes utilizarlos para obtener ventajas propagandísticas y sembrar discordia. 

Ataques de phishing impulsados por IA 

Los ataques de phishing, que tradicionalmente dependían de la creatividad y la investigación humana, ahora están potenciados por la IA. Herramientas generativas como ChatGPT pueden crear mensajes personalizados y convincentes que imitan comunicaciones legítimas de entidades de confianza. Estos intentos de phishing impulsados por IA aumentan significativamente la probabilidad de engañar a los destinatarios, superando la efectividad de la capacitación tradicional en concienciación de seguridad. 

Phishing con deepfake 

El phishing con deepfake utiliza la táctica fundamental de la ingeniería social para engañar a los usuarios, aprovechando su confianza para eludir las defensas de seguridad convencionales. Los atacantes aprovechan los deepfakes en varios esquemas de phishing, como: 

• Correos electrónicos o mensajes: El peligro de los ataques de compromiso de correo electrónico empresarial (BEC), que cuestan miles de millones a las empresas cada año, se incrementa con los deepfakes. Los atacantes pueden crear identidades más creíbles, por ejemplo, creando perfiles falsos de ejecutivos en LinkedIn para atraer a los empleados. 

• Videollamadas: Utilizando tecnología deepfake, los estafadores pueden hacerse pasar por otros en videoconferencias, persuadiendo a las víctimas para que divulguen información sensible o realicen transacciones financieras no autorizadas. Una estafa notable involucró a un estafador chino que estafó $622,000 utilizando tecnología de cambio de cara. 

• Mensajes de voz: Con tecnología capaz de clonar una voz a partir de una muestra de solo tres segundos, los atacantes pueden crear mensajes de voz o interactuar en tiempo real, lo que dificulta distinguir entre lo real y lo falso. 

¿Por qué es alarmante el phishing con deepfake? 

• Crecimiento rápido: El phishing con deepfake ha experimentado un aumento del 3,000% en 2023, impulsado por los avances y la accesibilidad de la IA generativa. 

• Ataques altamente personalizados: Los deepfakes permiten a los atacantes personalizar sus esquemas, explotando vulnerabilidades individuales y organizacionales. 

• Dificultad de detección: La capacidad de la IA para imitar estilos de escritura, clonar voces y generar rostros realistas hace que estos ataques sean difíciles de detectar. 

Los desafíos 

El aumento de la sofisticación de los ataques de ingeniería social impulsados por IA hace que la detección sea cada vez más desafiante. Las medidas de seguridad tradicionales y la capacitación están diseñadas para reconocer patrones e inconsistencias típicas de las estafas creadas por humanos. Sin embargo, la capacidad de la IA para aprender y adaptarse significa que puede refinar continuamente su enfoque, reduciendo las anomalías detectables e imitando más de cerca el comportamiento humano. 

Evolución de los algoritmos de IA 

Los algoritmos de IA, especialmente aquellos basados en aprendizaje automático, evolucionan a través de la interacción con datos. Este proceso de aprendizaje continuo significa que los ataques impulsados por IA pueden volverse más refinados y menos detectables con el tiempo. Los sistemas de seguridad que dependen de métodos de detección estáticos se vuelven rápidamente obsoletos, requiriendo actualizaciones y adaptaciones constantes para mantenerse al día con la evolución de la IA. 

El factor humano 

En el corazón de los ataques de ingeniería social está la explotación de la psicología humana. La IA exacerba esta vulnerabilidad al permitir que los atacantes analicen y comprendan el comportamiento humano a gran escala. Esta profunda comprensión permite la creación de ataques altamente dirigidos que explotan vulnerabilidades específicas, como el sesgo de autoridad, la urgencia o el miedo, lo que hace que la capacitación tradicional en ciberseguridad sea menos efectiva. 

Desafíos de capacitación y concienciación 

Aumentar la concienciación y capacitar a las personas para reconocer y resistir los ataques de ingeniería social impulsados por IA es más desafiante que nunca. La naturaleza realista de los deepfakes y la personalización de los correos de phishing pueden eludir el escepticismo enseñado a los empleados y a las personas. Esto requiere un nuevo enfoque en la educación en ciberseguridad que tenga en cuenta la sofisticación de las amenazas impulsadas por IA. 

Implicaciones éticas y normativas 

El uso de IA en ataques de ingeniería social también plantea cuestiones éticas y normativas complejas. La capacidad de la IA para suplantar a personas y crear contenido falso convincente desafía los marcos legales existentes en torno al consentimiento, la privacidad y la libertad de expresión. También plantea la cuestión de qué debería suceder si un empleado es víctima de un deepfake o cae en tal ataque. 

Asegurando el futuro 

Defenderse de los ataques de ingeniería social impulsados por IA requiere un enfoque multifacético que combine soluciones tecnológicas con el conocimiento humano. Implementar herramientas avanzadas de IA y aprendizaje automático para detectar y responder a las amenazas en tiempo real es fundamental. Sin embargo, es igualmente importante cultivar una cultura de concienciación en ciberseguridad que empodere a las personas para cuestionar y verificar, incluso cuando se enfrenten a falsificaciones altamente convincentes. 

Al comprender estos desafíos y adoptar un enfoque proactivo e informado por la IA en la ciberseguridad, las organizaciones pueden navegar el laberinto de amenazas digitales. Si te preocupan las amenazas cibernéticas mencionadas en este blog, ponte en contacto con los expertos de Integrity360.