Correos que parecen escritos por un jefe, voces clonadas, ejecutivos inexistentes y sitios corporativos prácticamente idénticos a los reales. Tras la alerta sobre amenazas digitales contra compañías chilenas, experto de la Universidad Andrés Bello explica cómo la inteligencia artificial está haciendo que los fraudes sean cada vez más personalizados y difíciles de reconocer.
La reciente alerta de Estados Unidos sobre ciberataques vinculados a actores chinos contra empresas chilenas de telecomunicaciones vuelve a poner sobre la mesa los riesgos digitales que enfrentan las organizaciones. A ello se suma una herramienta que está modificando rápidamente la forma de engañar: la inteligencia artificial.
El Dr. Danilo Leal, director del Magíster en Ciencia de Datos e Inteligencia Artificial e investigador del ITiSB de la Universidad Andrés Bello, explica que la gran diferencia está en la capacidad de producir engaños convincentes a gran escala.
«Antes, preparar una estafa requería tiempo, conocimiento del idioma, diseño gráfico y bastante trabajo manual. Hoy un delincuente puede generar en minutos cientos de correos bien redactados, mensajes personalizados, imágenes falsas e incluso audios que imitan a una persona real», señala.
¿Cuáles son las nuevas formas de engaño a las que deberían prestar atención las empresas?
- Correos que parecen escritos especialmente para ti. La IA permite crear mensajes sin errores, utilizar lenguaje corporativo e incluso adaptar el tono al destinatario. El antiguo consejo de desconfiar de un correo por su mala ortografía ya no resulta suficiente.
- El «jefe» que pide algo urgente. Los delincuentes pueden utilizar información disponible públicamente para suplantar a gerentes o ejecutivos y solicitar transferencias, documentos o información confidencial. La principal alerta, señala Leal, es cuando una petición rompe los procedimientos habituales de la compañía.
- Voces clonadas y deepfakes. A partir de registros disponibles públicamente, la IA puede generar audios sintéticos e imágenes o videos manipulados. Un trabajador podría recibir una supuesta instrucción de un ejecutivo que, en realidad, nunca la realizó.
«Una fotografía, una voz o incluso un video ya no deberían considerarse por sí solos una prueba suficiente de identidad», advierte el académico.
- Documentos y páginas que parecen auténticos. Facturas, documentos corporativos y sitios web que imitan la identidad visual de una compañía también pueden generarse con mayor facilidad, buscando que el trabajador entregue datos, credenciales o realice alguna acción.
- Fraudes construidos con tus propios datos. Información publicada en redes sociales, perfiles profesionales y sitios corporativos puede utilizarse para conocer cargos, nombres de ejecutivos, proyectos o relaciones entre trabajadores. Así, el engaño deja de parecer masivo y comienza a sentirse diseñado específicamente para la víctima.
La urgencia puede ser la principal señal de alerta
Frente a fraudes cada vez más sofisticados, Leal recomienda fijarse menos en la apariencia del mensaje y más en si la solicitud corresponde al comportamiento habitual de la organización.
«Una gran señal es la urgencia: ‘haz la transferencia ahora’, ‘no llames porque estoy reunido’ o ‘envíame inmediatamente esta base de datos’. Los delincuentes buscan reducir el tiempo disponible para pensar», explica.
También deberían generar sospechas los cambios inesperados de cuentas bancarias, dominios de correo ligeramente diferentes, enlaces externos, solicitudes de contraseñas o códigos de autenticación y peticiones para evitar los canales oficiales.
¿Cómo pueden protegerse las empresas?
Para el académico, la respuesta no pasa exclusivamente por incorporar más tecnología. Las compañías deben establecer procedimientos capaces de impedir que una solicitud sensible dependa de una única validación.
«Si una transferencia importante requiere siempre una segunda autorización, ni el mejor deepfake debería poder saltarse ese control», ejemplifica.
Entre las medidas recomienda implementar autenticación multifactor, controles de acceso, doble verificación de operaciones sensibles y mecanismos simples para reportar mensajes sospechosos, además de capacitar a los trabajadores mediante situaciones reales.
La propia IA también puede utilizarse como herramienta defensiva, mediante el análisis de patrones de acceso, transacciones inusuales o comportamientos atípicos.
«La regla debería ser sencilla: ninguna solicitud sensible debe depender únicamente de confiar en un correo, una voz o una imagen. La mejor defensa será combinar tecnología, procedimientos y algo profundamente humano: detenerse unos segundos, reflexionar y verificar antes de actuar», concluye el Dr. Danilo Leal.
