A medida que las tecnologías de inteligencia artificial se vuelven más sofisticadas, también están introduciendo desafíos complejos en la protección contra ataques de ingeniería social. Este blog analiza los problemas que la IA plantea para la ciberseguridad y, en particular, cómo está cambiando la forma en que los delincuentes llevan a cabo ataques de ingeniería social.
Las capacidades de la IA para mejorar los esfuerzos de ciberseguridad no pueden subestimarse. Desde la automatización de la detección de amenazas hasta el análisis de grandes volúmenes de datos en busca de actividades sospechosas, las herramientas de IA se están convirtiendo en aliados indispensables. Sin embargo, también están empoderando a los adversarios, dotándolos de herramientas para crear campañas de ingeniería social más convincentes y dirigidas.
La tecnología deepfake, impulsada por la IA, ejemplifica esta naturaleza dual. Los deepfakes pueden crear falsificaciones de audio y video altamente convincentes, lo que permite imitar a personas con gran precisión. Esta tecnología se utiliza en estafas, campañas de desinformación y para eludir medidas de seguridad biométricas, lo que representa una amenaza significativa tanto para individuos como para organizaciones.
En febrero de 2024, en el primer robo de este tipo, un empleado de una multinacional fue engañado para pagar 25 millones de dólares a estafadores. Los atacantes utilizaron tecnología deepfake para hacerse pasar por el director financiero de la empresa durante una videollamada, engañando al empleado para que asistiera a una llamada con personas que pensaba que eran otros miembros del personal, pero que en realidad eran recreaciones deepfake.
El empleado se volvió suspicaz después de recibir un mensaje supuestamente del director financiero con sede en el Reino Unido de la empresa. Al principio, sospechaba que era un correo de phishing, ya que hablaba de la necesidad de realizar una transacción secreta. Sin embargo, dejó de lado sus dudas iniciales después de la videollamada, ya que las otras personas presentes parecían y sonaban exactamente como colegas que reconocía.
En otros lugares, se han utilizado deepfakes para difundir desinformación a través de redes sociales. La guerra entre Rusia y Ucrania ha visto a ambas partes utilizarlos para obtener ventajas propagandísticas y sembrar discordia.
Los ataques de phishing, que tradicionalmente dependían de la creatividad y la investigación humana, ahora están potenciados por la IA. Herramientas generativas como ChatGPT pueden crear mensajes personalizados y convincentes que imitan comunicaciones legítimas de entidades de confianza. Estos intentos de phishing impulsados por IA aumentan significativamente la probabilidad de engañar a los destinatarios, superando la efectividad de la capacitación tradicional en concienciación de seguridad.
El phishing con deepfake utiliza la táctica fundamental de la ingeniería social para engañar a los usuarios, aprovechando su confianza para eludir las defensas de seguridad convencionales. Los atacantes aprovechan los deepfakes en varios esquemas de phishing, como:
El aumento de la sofisticación de los ataques de ingeniería social impulsados por IA hace que la detección sea cada vez más desafiante. Las medidas de seguridad tradicionales y la capacitación están diseñadas para reconocer patrones e inconsistencias típicas de las estafas creadas por humanos. Sin embargo, la capacidad de la IA para aprender y adaptarse significa que puede refinar continuamente su enfoque, reduciendo las anomalías detectables e imitando más de cerca el comportamiento humano.
Los algoritmos de IA, especialmente aquellos basados en aprendizaje automático, evolucionan a través de la interacción con datos. Este proceso de aprendizaje continuo significa que los ataques impulsados por IA pueden volverse más refinados y menos detectables con el tiempo. Los sistemas de seguridad que dependen de métodos de detección estáticos se vuelven rápidamente obsoletos, requiriendo actualizaciones y adaptaciones constantes para mantenerse al día con la evolución de la IA.
En el corazón de los ataques de ingeniería social está la explotación de la psicología humana. La IA exacerba esta vulnerabilidad al permitir que los atacantes analicen y comprendan el comportamiento humano a gran escala. Esta profunda comprensión permite la creación de ataques altamente dirigidos que explotan vulnerabilidades específicas, como el sesgo de autoridad, la urgencia o el miedo, lo que hace que la capacitación tradicional en ciberseguridad sea menos efectiva.
Aumentar la concienciación y capacitar a las personas para reconocer y resistir los ataques de ingeniería social impulsados por IA es más desafiante que nunca. La naturaleza realista de los deepfakes y la personalización de los correos de phishing pueden eludir el escepticismo enseñado a los empleados y a las personas. Esto requiere un nuevo enfoque en la educación en ciberseguridad que tenga en cuenta la sofisticación de las amenazas impulsadas por IA.
El uso de IA en ataques de ingeniería social también plantea cuestiones éticas y normativas complejas. La capacidad de la IA para suplantar a personas y crear contenido falso convincente desafía los marcos legales existentes en torno al consentimiento, la privacidad y la libertad de expresión. También plantea la cuestión de qué debería suceder si un empleado es víctima de un deepfake o cae en tal ataque.
Defenderse de los ataques de ingeniería social impulsados por IA requiere un enfoque multifacético que combine soluciones tecnológicas con el conocimiento humano. Implementar herramientas avanzadas de IA y aprendizaje automático para detectar y responder a las amenazas en tiempo real es fundamental. Sin embargo, es igualmente importante cultivar una cultura de concienciación en ciberseguridad que empodere a las personas para cuestionar y verificar, incluso cuando se enfrenten a falsificaciones altamente convincentes.
Al comprender estos desafíos y adoptar un enfoque proactivo e informado por la IA en la ciberseguridad, las organizaciones pueden navegar el laberinto de amenazas digitales. Si te preocupan las amenazas cibernéticas mencionadas en este blog, ponte en contacto con los expertos de Integrity360.