El fraude impulsado por IA y los deepfakes exigen controles de verificación más sólidos por parte de las pymes, ya que los mensajes convincentes, las voces clonadas y los vídeos sintéticos hacen que resulte más difícil confiar en solicitudes empresariales aparentemente familiares.
La última evaluación de Europol sobre las amenazas de la ciberdelincuencia advierte de que los delincuentes están utilizando IA generativa para reforzar los ataques de ingeniería social, adaptar los mensajes fraudulentos y desplegar deepfakes generados por IA. Para las pequeñas y medianas empresas (pymes), esto transforma un riesgo ya conocido, en lugar de crear uno completamente nuevo: los defraudadores siguen intentando obtener dinero, credenciales o información confidencial, pero ahora pueden imitar a personas de confianza de forma más convincente y a mayor escala.
Una solicitud urgente de pago puede parecer que procede de un directivo, un mensaje de voz puede parecerse al de un proveedor conocido y una videollamada puede aparentar confirmar una instrucción inusual. Por tanto, la familiaridad visual o verbal ya no constituye prueba suficiente de identidad. Las empresas necesitan procesos de verificación que sigan siendo fiables incluso cuando un atacante puede reproducir el estilo de escritura, la voz o la apariencia de una persona.
La IA generativa hace que la ingeniería social sea más convincente y fácil de escalar
El phishing tradicional a menudo se delataba por una gramática deficiente, una redacción genérica o un tono poco familiar. La IA generativa puede eliminar muchas de esas señales de alerta. Los atacantes pueden adaptar un mensaje al puesto, idioma y contexto empresarial de la persona objetivo, mientras que la información obtenida de sitios web, redes sociales o filtraciones de datos anteriores puede hacer que el contacto parezca creíble.
El audio y vídeo deepfake añaden una capa adicional de persuasión. Un delincuente puede hacerse pasar por un alto directivo, un cliente o un asesor profesional y utilizar después la urgencia, la confidencialidad o la autoridad para disuadir de la realización de las comprobaciones habituales. El riesgo no se limita a las grandes empresas: las organizaciones más pequeñas pueden tener menos niveles de aprobación, formas de trabajo más informales y cercanas y menos apoyo especializado en materia de seguridad, lo que hace que una solicitud convincente para apartarse del procedimiento habitual resulte especialmente peligrosa.
Las empresas deberían verificar las solicitudes de alto impacto a través de un canal independiente
El control más eficaz no consiste en pedir a los empleados que se conviertan en expertos detectores de deepfakes. Consiste en diseñar procesos de manera que un único correo electrónico, llamada o aparición en vídeo no pueda autorizar una acción de alto impacto. Las instrucciones de pago, los cambios en los datos bancarios, los restablecimientos de contraseñas, la divulgación de información sensible y otras solicitudes inusuales deberían confirmarse a través de un segundo canal establecido de forma independiente.
El empleado encargado de realizar la confirmación debería utilizar datos de contacto que ya obren en poder de la organización, en lugar de un número o enlace proporcionado en el mensaje sospechoso. Las transacciones de mayor valor pueden requerir la aprobación de una segunda persona autorizada. El National Cyber Security Centre recomienda un enfoque por capas frente al phishing y aconseja a las organizaciones verificar las solicitudes importantes recibidas por correo electrónico mediante otra forma de comunicación. Estos controles siguen siendo útiles cuando el contacto inicial incluye voz o vídeo sintéticos.
Unos procedimientos claros ayudan al personal a resistir la urgencia y una autoridad mal entendida
El fraude tiene éxito cuando el atacante persuade a alguien para que se aparte de la práctica habitual. Las pymes deberían hacer que los procesos legítimos sean fáciles de reconocer: quién puede aprobar pagos, cómo pueden los proveedores modificar sus datos bancarios, cuándo puede divulgarse información personal y dónde deben los empleados comunicar una solicitud sospechosa. Los altos directivos deberían seguir las mismas reglas, ya que las excepciones informales que supuestamente proceden de ellos pueden debilitar todo el sistema de control.
La formación debería utilizar escenarios realistas sin sugerir que todos los empleados pueden identificar de forma fiable los contenidos sintéticos. El personal debe tener libertad para detenerse, cuestionar y verificar una solicitud, incluso cuando parezca proceder de alguien con un cargo superior. Deberían reconocer como motivos para ralentizar el proceso la presión para mantener el secreto, un cambio repentino de canal, un momento inusual o los intentos de eludir los procesos de aprobación establecidos.
La información pública y los datos personales pueden convertirse en material para la suplantación
Una estafa convincente puede construirse a partir de información que una organización o sus empleados hayan hecho pública. Los cargos profesionales, las líneas jerárquicas, los planes de viaje, las grabaciones de altos directivos y las descripciones de los procesos de pago pueden ayudar a un atacante a seleccionar un objetivo e imitar las comunicaciones habituales. Las empresas deberían revisar lo que publican y evitar exponer detalles operativos que tengan poco valor público pero una utilidad significativa para los defraudadores.
Los datos personales también pueden proceder de cuentas comprometidas, incidentes de phishing anteriores o brechas de terceros. Esto conecta la prevención del fraude con la gobernanza en materia de protección de datos: los controles de acceso, la minimización de datos, la conservación y una gestión segura de proveedores reducen la información disponible para un posible uso indebido. La autenticación multifactor, los privilegios restringidos y unas protecciones eficaces del dominio de correo electrónico también pueden limitar el daño cuando se atacan credenciales o información de identidad.
Un incidente de fraude facilitado por IA puede convertirse en una brecha de datos personales
Si un empleado divulga información de clientes, datos de nóminas o credenciales de cuentas como respuesta a un intento de suplantación, la organización puede enfrentarse a algo más que una pérdida económica. La divulgación o el acceso no autorizados pueden constituir una brecha de datos personales conforme al RGPD, lo que exige una evaluación rápida de los riesgos para las personas y, cuando proceda, la notificación a la autoridad de control correspondiente y a las personas afectadas.
Por tanto, el plan de respuesta a incidentes debería conectar las funciones de finanzas, seguridad informática, protección de datos, legal y alta dirección. Entre las medidas inmediatas pueden incluirse detener o intentar recuperar un pago, proteger las cuentas, preservar pruebas, notificar a los bancos o a las fuerzas y cuerpos de seguridad y evaluar si se han visto comprometidos datos personales. Los empleados deberían saber cómo comunicar rápidamente un incidente y no deberían sentirse disuadidos de hacerlo por haber creído inicialmente que la solicitud era legítima.
Los ejercicios de respuesta a incidentes deberían comprobar si los controles de verificación funcionan bajo presión
Una política escrita solo resulta útil si las personas pueden aplicarla ante una solicitud creíble y urgente. Las pymes pueden probar un escenario en el que un proveedor parezca cambiar sus datos bancarios, un directivo solicite una transferencia confidencial o una voz clonada pida a un empleado que revele información de acceso. El objetivo debería ser examinar el proceso, no avergonzar a una persona que no haya detectado una señal.
Los ejercicios pueden poner de manifiesto si los datos de contacto están actualizados, si las vías de escalado son claras y si las medidas de continuidad de negocio funcionan cuando el canal de comunicación habitual se ha visto comprometido. Las revisiones también deberían tener en cuenta la nueva información publicada en Internet, los cambios en las facultades de autorización de pagos y las capacidades emergentes de la IA. Los controles contra el fraude deberían evolucionar junto con la huella digital y las prácticas de trabajo de la organización.
El fraude facilitado por IA debería tratarse como un riesgo de gobernanza organizativa
Los deepfakes no son únicamente un problema técnico para el equipo de TI. Afectan a los controles financieros, la protección de datos, las relaciones con proveedores, la formación del personal y el comportamiento de los directivos. Asignar responsabilidades entre estas funciones ayuda a una pyme a evitar respuestas fragmentadas y garantiza que los nuevos riesgos relacionados con la IA se tengan en cuenta dentro de la gobernanza existente en materia de fraude, seguridad y privacidad.
El objetivo práctico no consiste en demostrar si cada mensaje ha sido generado por IA. Consiste en garantizar que un atacante no pueda convertir una suplantación convincente en un pago, una divulgación de información o una decisión de acceso sin verificar. Una verificación sólida, un acceso limitado y un plan de respuesta ensayado siguen siendo controles fiables incluso a medida que los contenidos sintéticos se vuelven más realistas.
Descubre cómo Aphaia ayuda a las organizaciones a reforzar su gobernanza frente al fraude facilitado por IA y los riesgos para la protección de datos
Aphaia ayuda a las organizaciones a conectar la gobernanza de la IA con medidas prácticas de protección de datos, ciberseguridad y respuesta a incidentes. Unas políticas proporcionadas, evaluaciones de riesgos y una asignación clara de responsabilidades pueden ayudar a las pymes a utilizar la IA de forma responsable mientras se preparan para las formas en que esas mismas tecnologías pueden utilizarse indebidamente contra ellas.
