La tecnología deepfake está evolucionando rápidamente, lo que facilita a los ciberdelincuentes la manipulación de contenido digital para engañar a personas y organizaciones. Una de las amenazas más preocupantes derivadas de esta tecnología es la ingeniería social con deepfakes: un método sofisticado de ataque cibernético que utiliza inteligencia artificial (IA) para crear audios, vídeos o imágenes falsas y realistas con el objetivo de manipular y estafar a las víctimas.

¿Cómo funciona la ingeniería social con deepfakes?

Este tipo de ataque explota la confianza humana mediante imitaciones digitales altamente realistas para manipular a individuos y conseguir que revelen información sensible, autoricen transacciones financieras o lleven a cabo acciones que comprometen la seguridad. Los atacantes utilizan herramientas impulsadas por IA para generar deepfakes, que pueden desplegarse de diversas formas, como por ejemplo:

• Compromiso del correo electrónico empresarial (BEC) y fraude por voz – Los atacantes clonan la voz de un alto ejecutivo para instruir a empleados a transferir fondos o compartir información confidencial.

• Ataques con videollamadas falsas – Los ciberdelincuentes crean vídeos deepfake de directivos o compañeros de trabajo para manipular a empleados y hacer que sigan instrucciones fraudulentas.

• Desinformación y daño reputacional – Los deepfakes pueden utilizarse para generar declaraciones falsas atribuidas a directivos o empleados, lo que puede dañar la reputación de la empresa, su marca y su valor en el mercado.

• Robo de credenciales – Los atacantes pueden usar vídeos o imágenes deepfake en campañas de phishing para engañar a los empleados y lograr que revelen sus credenciales de acceso o aprueben solicitudes fraudulentas.

Herramientas utilizadas por los atacantes

Los ciberdelincuentes tienen acceso a una variedad de herramientas basadas en IA que facilitan la ingeniería social con deepfakes. Algunas de las más comunes incluyen:

• DeepFaceLab – Software de código abierto que permite intercambiar rostros en vídeos.

• Synthesia – Herramienta que permite crear avatares de vídeo realistas generados por IA, que pueden usarse para suplantaciones fraudulentas.

• Hedra – Herramienta que sincroniza audio clonado con una imagen fija para crear un vídeo falso en el que una persona parece decir cualquier texto.

• Respeecher y ElevenLabs – Herramientas de clonación de voz impulsadas por IA que permiten replicar voces humanas con alta precisión.

• Zao y FaceSwap – Aplicaciones móviles que generan vídeos realistas con intercambio de rostros, potencialmente explotables con fines maliciosos.

Nota – Todas las herramientas mencionadas pueden tener usos legítimos y beneficiosos; lo que se destaca aquí es el uso indebido con fines maliciosos, y no se pretende desacreditar a las empresas que las desarrollan.

Cómo pueden las empresas contrarrestar la ingeniería social con deepfakes

Para mitigar los riesgos asociados a los deepfakes, las empresas deben adoptar una estrategia de defensa en múltiples capas que incluya inteligencia sobre amenazas y servicios de protección contra riesgos digitales.

1. aprovechar la inteligencia sobre amenazas

La inteligencia sobre amenazas permite a las organizaciones anticiparse a los riesgos emergentes relacionados con los deepfakes mediante el seguimiento de la actividad de los ciberdelincuentes. Las empresas deberían:

• Utilizar el monitoreo de la dark web para detectar si se han comprometido datos biométricos de empleados o directivos (como voz o imagen facial).

• Analizar tendencias de ataque para identificar sectores y perfiles más frecuentemente atacados con deepfakes.

• Implementar herramientas de análisis de comportamiento basadas en IA para detectar anomalías en los patrones de comunicación.

2. implementar servicios de protección frente al riesgo digital

Los servicios de protección frente a riesgos digitales ayudan a las empresas a identificar y mitigar proactivamente las amenazas deepfake antes de que causen daño. Las principales medidas incluyen:

• Monitoreo de identidad de ejecutivos – Escaneo de la red para detectar contenidos deepfake no autorizados que suplanten a líderes de la empresa.

• Detección de fraude con IA – Utilización de herramientas para validar la autenticidad de vídeo y audio en transacciones de alto riesgo.

• Supervisión de redes sociales y reputación de marca – Identificación y eliminación de contenido fraudulento que pueda perjudicar a la empresa.

• Monitoreo de sitios web clonados y dominios similares – El uso de marcas de agua digitales y la supervisión de dominios imitadores, errores tipográficos y mal uso del logotipo puede ayudar a identificar suplantaciones maliciosas antes de que se exploten.

3. formar y concienciar a los empleados

La concienciación de los empleados es clave para contrarrestar la ingeniería social con deepfakes. Las organizaciones deben:

• Formar al personal para reconocer amenazas deepfake y verificar comunicaciones sospechosas.

• Fomentar la autenticación multicanal antes de aprobar solicitudes sensibles.

• Establecer protocolos claros de escalado para validar transacciones de alto riesgo.

• Incluir pruebas de detección de deepfakes como parte de la formación regular en ciberseguridad, más allá del phishing por correo electrónico, abarcando también mensajería, imágenes, audio y vídeo.

4. reforzar las medidas de autenticación

Las medidas de seguridad tradicionales pueden no ser suficientes frente a los deepfakes. Las empresas deben fortalecer sus procesos de autenticación mediante:

• Uso de autenticación multifactor (MFA) para reducir el riesgo de robo de credenciales.

• Implementación de detección de vida (liveness detection) en los controles biométricos para distinguir usuarios reales de deepfakes.

• Restricción del acceso a la información sensible mediante controles basados en roles.

• Aplicación del modelo de zero trust para garantizar acceso mínimo necesario y verificación continua.

5. hacer más robustos los procesos frente a ataques deepfake

Evaluar la solidez de los procesos críticos frente a ataques deepfake. En especial, asegurarse de que cualquier proceso de alto riesgo —como transferencias financieras, cambios de beneficiarios, intercambio de datos sensibles, etc.— no dependa únicamente de una interacción digital con un compañero o autorizador conocido. Debe garantizarse que existan mecanismos biométricos y no biométricos, así como cadenas de aprobación capaces de resistir este tipo de ataques. Actualizar los procesos según sea necesario y probarlos con regularidad.

Si te preocupa alguna de las amenazas mencionadas en este artículo o necesitas ayuda para definir los pasos adecuados para protegerte frente a los riesgos más relevantes para tu organización, contacta con tu account manager o ponte en contacto con nosotros para descubrir cómo podemos ayudarte a proteger tu empresa.