El auge de la Inteligencia Artificial es indudable y su presencia en los procesos productivos una realidad cada vez más patente. Los que hemos trabajado con Aprendizaje Automático (ML), sabemos del potencial de estas técnicas para revelar aspectos que están ocultos, inaccesibles para el sentido común o los análisis estadísticos simples. En este sentido, la Inteligencia Artificial Generativa es una aproximación más eficiente, haciendo uso de una interfaz de lenguaje natural, tanto en entrada como en salida, y por tanto un acercamiento más sencillo a procesos matemáticos más o menos complejos, ampliando el espectro de la población que puede usarlo, de modo más amigable. Estas características, permiten una alta penetración de esta tecnología y como ocurre con todas las tecnologías emergentes, especialmente aquellas con un alto índice de penetración, establecen un nuevo marco de referencia, para el que, desde todos los puntos de vista, hay que estar preparados, también desde las perspectivas del mal uso, en procedimientos de estafa y fraude.
Los números son elocuentes en cuanto al impacto que la IA Generativa está teniendo en el aumento del fraude, como muestran los informes a los que tenemos acceso.
Según Statista, recogiendo datos del informe Battle Against AI-Driven Identity Fraud, el 42,5% de los intentos de fraude en el sector financiero y de pagos, utilizan en alguna medida la inteligencia artificial, estimando que un 29% de estos tienen éxito.
Si casi la mitad de los intentos de fraude se llevan a cabo con IA y alrededor de un a tercio de estos tienen éxito, la popularidad de estas técnicas entre los defraudadores está más que justificada.
Según este mismo informe, han aumentado en un 80% los intentos de fraude en el sector financiero en los últimos tres años, con evidente peso de las técnicas de IA, mientras que solo un 22% de las empresas implementaron defensas basadas en esta misma tecnología, en el mismo periodo de tiempo.
El informe hace hincapié en la necesidad de un enfoque de ciberseguridad proactivo y de varios niveles que integren la IA con las medidas de seguridad tradicionales. Además, destaca la importancia de educar a empleados y clientes sobre las nuevas amenazas que plantea la IA en el panorama cambiante de la ciberdelincuencia.
A principios de 2024, revisábamos cómo la IA generativa impactaba en distintas fases de los procedimientos de fraude, aumentando el resultado de quebranto. Se introducen a continuación algunas de las claves que relacionan la IA con el aumento de dinámicas fraudulentas existentes o la aparición de otras nuevas.
- Generación de contenidos falsos realistas
- Deepfakes: Herramientas de IA pueden crear videos o audios falsificados de personas diciendo o haciendo cosas que nunca ocurrieron, lo que puede usarse para manipular o engañar.
- Textos Falsos: Sistemas de IA como los generadores de texto pueden producir mensajes convincentes en correos electrónicos de phishing. Esta posibilidad está presente desde que empezamos hablar de IA y Fraude, hace ya más de un año, hablando de suplantación de identidad (ATO) y las técnicas de phishing para recolectar credenciales.
- Conversión texto a voz: Gracias a las herramientas de conversión de texto a voz, la inteligencia artificial (IA) también puede utilizarse para eludir los sistemas de autenticación por voz.
- Automatización de ataques masivos
- Escalado del Phishing: La IA puede personalizar correos electrónicos o mensajes de manera masiva, aumentando la efectividad de los ataques al adaptarse a las características de cada víctima.
- Bots expertos: Los bots de IA pueden simular comportamientos humanos, facilitando el engaño en redes sociales, foros o plataformas de comercio.
- Suplantación de identidad más creíble (ATO-AI)
- Generación óptima de video: Identificación que puede vulnerar algunos de los sistemas de verificación biométrica y de KYC.
- Imitación de voz en tiempo real: La IA puede replicar voces específicas, permitiendo llamadas fraudulentas que parecen venir de fuentes confiables. Estas soluciones de IA pueden reproducir una voz elaborada por muestreo.
- Perfilar víctimas: Analizando datos personales, la IA crea perfiles detallados que permiten ataques más dirigidos y personalizados.
- Manipulación de imágenes y documentos
- Falsificación avanzada: Herramientas de IA permiten modificar imágenes, firmas digitales y documentos de manera que parezcan auténticos.
- Generación de documentos sintéticos: La IA puede crear identificaciones falsas indistinguibles de las reales.
- Evasión de sistemas de detección
- Adversarial AI: Los atacantes pueden diseñar mediante IA, algoritmos para engañar a sistemas de ciberseguridad o controles antifraude.
- Patrones dinámicos: Los algoritmos maliciosos pueden cambiar sus patrones para evitar ser detectados, confundiendo además a los sistemas de defensa con comportamientos más cercanos al del ser humano.
- Monitoreo y análisis de comportamientos
- Robo de datos conductuales: La IA puede analizar patrones de comportamiento para replicarlos sobrepasando los sistemas de autenticación.
- Simulación de actividad normal: Los atacantes pueden hacer que sus acciones parezcan legítimas basándose en análisis de datos reales. La imitación del comportamiento humano se optimiza en base a la alimentación continuada de los LLMs.
- Creación de identidades sintéticas
- Perfiles digitales falsos: La IA genera identidades completas, incluyendo nombres, fotos, y actividad en redes sociales, para abrir cuentas fraudulentas o realizar estafas. En muchos casos, estos son pasos intermedios para realizar ataques muy elaborados a entidades con alto valor para los defraudadores.
- Automatización de procesos fraudulentos: Estas identidades se pueden utilizar en masa sin intervención humana, ocupando más recursos en su defensa y propiciando en ocasiones el descubrimiento de flancos más débiles en la propia organización.
- Manipulación de mercados y decisiones
- Fraude financiero: La creciente automatización de los procesos de trading, propician que los algoritmos creados maliciosamente con IA, puedan manipular precios de acciones o criptomonedas mediante operaciones automatizadas.
- Desinformación: Los sistemas de IA pueden difundir noticias falsas para influir en decisiones de inversión, alterando el precio final de los valores.
- Creación de malware más sofisticado
- Evolución automatizada: Los sistemas de IA pueden diseñar malware que evoluciona y se adapta en tiempo real para superar medidas de seguridad.
- Ataques dirigidos: Usando análisis de IA, los atacantes pueden identificar puntos débiles específicos en sistemas o personas.
Todas estas claves, se ven impulsadas gracias a dos características que agravan el mal uso de esta tecnología:
- Facilidad de acceso: Herramientas de IA están disponibles de manera más accesible, reduciendo la barrera técnica para realizar fraudes.
- Escalabilidad: La IA permite que un solo atacante realice estafas a gran escala con un esfuerzo mínimo.
En este contexto, identificar una identidad construida con IA puede ser un desafío debido a la alta calidad de las herramientas disponibles. Sin embargo, hay varios aspectos que ayudan a su detección; se muestran algunos procedimientos, únicamente a modo de ejemplo:
- Análisis de imágenes de perfil
- Artefactos visuales: Se rastrean inconsistencias en las imágenes, como ojos desiguales, reflejos extraños, bordes borrosos o fondos con artefactos que no parecen naturales.
- Simetría perfecta: Muchas de las imágenes generadas por IA tienden a ser demasiado simétricas, especialmente en rostros, aunque existen cada vez más la posibilidad de incluir ‘imperfecciones’ que las hacen más realistas.
- Errores en detalles menores: Elementos como gafas, joyas, orejas o cabellos, suelen tener irregularidades o parecer artificiales.
- Comportamiento en redes sociales
- Actividad limitada o inconsistente: Las cuentas falsas creadas con IA a menudo tienen pocas publicaciones, conexiones irrelevantes o fechas de creación recientes. Una adecuada herramienta de detección puede dar cuenta de estos hechos.
- Falta de historia: Una identidad falsa puede carecer de publicaciones antiguas, interacciones personales o actividades coherentes a lo largo del tiempo.
- Seguidores sospechosos: Los seguidores y conexiones suelen ser también otros perfiles genéricos o con patrones similares.
- Análisis de textos y mensajes
- Tono genérico: Los textos generados por IA suelen ser correctos, pero carecen de un estilo personal o matices emocionales claros.
- Inconsistencias lingüísticas: A pesar de la perfección en las expresiones, vocabulario y ortografía, en ocasiones los mensajes tienen cambios inesperados en el tono, uso de palabras o estructura gramatical.
- Respuestas rápidas y genéricas: Los perfiles impulsados por IA pueden responder de manera casi inmediata y con mensajes genéricos o poco específicos.
- Verificación de datos personales
- Búsqueda inversa de imágenes: La generación de herramientas para la gestión y búsqueda de imágenes, proporciona también un elemento clave en la verificación de fotografías, descubriendo su presencia en otros contextos, sitios web, redes sociales, etc.
- Comprobación de credenciales: La revisión de la información profesional o educativa, accesible en sitios públicos, permite concretar si está respaldada por fuentes confiables, como instituciones o empleadores.
- Inconsistencias en la biografía: Datos personales contradictorios, como cambios de ubicación inexplicables, pueden ser indicadores de falsedad.
- Rastreo de patrones digitales
- Reutilización de nombres o fotos: Las identidades falsas usan con cierta frecuencia imágenes o nombres que aparecen en varias plataformas con ligeras modificaciones.
- Correos electrónicos genéricos: Los correos asociados a cuentas falsas suelen utilizar servicios gratuitos y combinaciones aleatorias de letras y números.
- URLs sospechosas: Los perfiles falsos pueden incluir enlaces a sitios web maliciosos o no relacionados.
- Contacto directo: Contando con los sistemas de detección y filtrado adecuados, pueden seleccionarse rigurosamente aquellos que pueden requerir un mayor esfuerzo manual, propiciando una interacción directa con la persona, con pruebas en tiempo real, a través de una videollamada o interacción en vivo; las identidades generadas por IA no pueden replicar esto fácilmente. Debe remarcarse, que este esfuerzo solo es posible si se cuentan con la infraestructura adecuada que permita escalarlo razonablemente, puesto que una revisión masiva de esta naturaleza es prácticamente imposible y en cualquier caso antieconómica.
- Análisis técnico
- Detección con herramientas especializadas: Existen actualmente numerosas plataformas que son capaces de detectar rostros generados por IA o deepfakes. La inversión en este tipo de defensas es cada vez más imprescindible.
- Metadatos de imágenes: Examinar los metadatos de las imágenes para identificar anomalías o la ausencia de información que suele estar en fotos tomadas con cámaras reales, es otra de las técnicas que tiene una aplicación inmediata en esta contienda.
- Análisis de redes y conexiones
- Interacciones repetitivas: Las cuentas falsas suelen interactuar con otras cuentas falsas, creando patrones circulares de actividad, quedando al descubierto con los sistemas de detección adecuados.
- Relaciones no verificables: Si la identidad no tiene conexiones reales o familiares, puede ser una señal de fraude.
- Exceso de perfección
- Demasiado bueno para ser verdad: Si el perfil parece perfecto en apariencia, logros y habilidades, podría ser fabricado para captar la atención o generar confianza.
- Buscar en bases públicas: Siempre que sea permitido o se trate de información no PII, es posible la verificación de los datos que aparecen en registros públicos, como directorios profesionales o académicos.
- Comprobación cruzada: Todos los cruces de información posibles son de alto valor para establecer si la persona ha sido mencionada en medios, publicaciones científicas o redes confiables.
- Filtrado antiphishing: Utilizando herramientas que emplean machine learning para identificar patrones sospechosos en correos electrónicos, URLs o mensajes.
- Análisis de comportamiento: Los sistemas de detección pueden identificar comportamientos inusuales, como accesos desde ubicaciones extrañas, actividades fuera de horario habitual, longitudes de texto poco comunes, etc.
- Verificación de contenido: Implementa filtros que detecten correos con un lenguaje hiperpersonalizado, una señal común en phishing avanzado.
- Protocolos de seguridad en correos electrónicos:
- DMARC, DKIM y SPF: Técnicas que impiden o dificultan la suplantación de dominios.
- Verificación visual: Incluye avisos claros sobre si el remitente es interno o externo a la organización.
- Análisis de encabezados: Los correos falsos suelen mostrar irregularidades en los encabezados que delatan su origen.
- Autenticación multifactor (MFA): Obliga al uso de múltiples formas de autenticación para acceder a cuentas o sistemas, dificultando el éxito de un ataque.
- Verificación en tiempo real: Solicita confirmaciones adicionales para transacciones o cambios significativos en cuentas.
- Confirmaciones adicionales: Los usuarios deben verificar solicitudes sensibles a través de otro medio, como una llamada telefónica.
- Códigos únicos: Utiliza contraseñas temporales o códigos enviados a dispositivos seguros para validar transacciones importantes.
- Control de acceso basado en roles (RBAC): Limita el acceso a información confidencial, restringiéndolo únicamente a usuarios que lo necesiten, gestionando igualmente accesos privilegiados (PAM).
- Segmentación de redes: Minimiza el impacto de un posible ataque aislando partes críticas de la infraestructura.
- Reglas de compartimentación: Evita la exposición masiva de datos para reducir el daño potencial en caso de un ataque.
- Análisis en tiempo real de enlaces: Implementa sistemas que evalúen si los enlaces en correos o mensajes redirigen a sitios maliciosos.
- Listas negras y blancas: Bases de datos actualizadas con sitios web de confianza y dominios conocidos por realizar ataques.
- Sandboxing: Permite a los sistemas probar enlaces sospechosos en entornos seguros antes de permitir que los usuarios los abran.
- Protocolo de respuesta a incidentes: Define un plan claro que incluya cómo reportar intentos de phishing y qué pasos seguir ante un incidente.
- Bloqueo inmediato: Establece procesos para bloquear rápidamente cuentas comprometidas o enlaces maliciosos.
- Análisis forense: Investiga los ataques para mejorar las defensas y prevenir futuros incidentes.
- Entrenamiento recurrente: Proporciona formación regular a los empleados o usuarios sobre cómo identificar intentos de phishing, especialmente los más sofisticados. Refuerza el conocimiento de los usuarios sobre cómo verificar correos sospechosos, buscar incongruencias en URLs, dominios y remitentes.
- Simulaciones de phishing: Realiza pruebas periódicas con correos de phishing simulados para evaluar la preparación del equipo.
Para terminar, un análisis del CIS sobre la ‘inseguridad en la red’, publicado en marzo de 2024, mostraba que 9 de cada 10 encuestados conocía de la existencia de la IA, un fenómeno ampliamente publicitado, mientras que el 80% confesaba su temor por los riesgos de esta tecnología, de los cuales un 71% pensaba que estos riesgos eran graves o muy graves.
La encuesta muestra que el 77,2% de los encuestados indica que lo que más les preocupa es el acceso no autorizado a información personal, que perciben como un problema grave en relación con la suplantación de identidad; le siguen los delitos sexuales (76,8%), específicamente el robo de identidad (76,1%) y los enlaces fraudulentos a través de SMS (74,3%). En ninguno de los riesgos, el porcentaje baja del 68% en su preocupación por el mal uso de la IA (correos electrónicos fraudulentos, 68,3%).
Todo lo expuesto subraya la necesidad de desarrollar sistemas de seguridad avanzados para prevenir los riesgos que cada día son más evidentes y que como ocurre con la IA, han venido para quedarse y evolucionar en su sofisticación.
Y para muestra valga este botón de Konstantin Simonchik.
#IA #Fraude #Estafa #ATO #Identidad #PII #ML
