Ciberdelincuentes utilizan inteligencia artificial para suplantar la identidad de ejecutivos

El entorno corporativo global enfrenta una sofisticación alarmante en las tácticas de fraude mediante el uso de inteligencia artificial. Un caso crítico ocurrido en enero de 2024 involucró a un directivo de la multinacional Arup, quien autorizó transferencias por USD 25 millones tras una videollamada con representaciones digitales falsas de sus superiores. Esta modalidad, que utiliza rostros y voces clonados, evidencia una tendencia donde el Business Email Compromise ya no depende únicamente de textos engañosos. Según cifras del FBI, este tipo de estafas generó pérdidas superiores a los USD 2.770 millones en Estados Unidos durante el último año, mientras que los deepfakes corporativos registraron un incremento del 3.000%.

La planificación de estos ataques suele ser exhaustiva, basándose en la recopilación de datos públicos en plataformas profesionales y redes sociales. Pablo García, BDM Cyber LATAM de TIVIT, explica que los delincuentes identifican rutinas y procesos de pago para explotar la jerarquía organizacional. “Este fraude no explota fallas tecnológicas, explota procesos internos y la urgencia del día a día”, señala el especialista. La facilidad técnica actual permite que una voz sea clonada con menos de un minuto de audio, lo que posiciona a la identidad como el principal vector de ataque en la región.

¿Cuál es el impacto del robo de credenciales en Latinoamérica?

La seguridad digital en América Latina registra brechas importantes; de hecho, el 27% de las empresas regionales sufrió incidentes en el último ciclo anual. El robo de credenciales es una fase previa común en estos ataques dirigidos, con tiempos de remediación que promedian los 94 días. Argentina, por ejemplo, figura entre los diez países con mayor volumen de credenciales expuestas a nivel mundial. Ante este escenario, la marca TIVIT advierte que los ataques de whaling —dirigidos a altos mandos— son efectivos precisamente porque aprovechan la presión que ejerce una supuesta orden directa del CEO o CFO.

¿Qué medidas de control interno deben reforzarse?

La prevención técnica debe acompañarse de una reestructuración de los procesos administrativos. Una medida fundamental es la segregación de funciones, asegurando que la persona que solicita una operación financiera no sea la misma que la aprueba o ejecuta. Aparte de este control, el establecimiento de una doble validación obligatoria es vital. Si se recibe una solicitud de transferencia urgente, se debe confirmar el pedido mediante canales de comunicación previamente registrados y no a través de los datos proporcionados en el mensaje sospechoso.

¿Cómo ayuda la autenticación multifactor (MFA)?

Implementar barreras tecnológicas adicionales es una estrategia de supervivencia para los negocios en la era de la IA. Activar el segundo factor de autenticación dificulta que los delincuentes utilicen credenciales robadas para acceder a información crítica. Tanto la visibilidad sobre los accesos como la gestión de permisos deben ser revisadas periódicamente por los departamentos de TI. Es más, hasta tal punto llega la peligrosidad de estas herramientas gratuitas de clonación que el factor humano sigue siendo el eslabón que requiere mayor capacitación frente a solicitudes inusuales.

¿Cómo actuar ante una solicitud urgente de alta gerencia?

La urgencia es la herramienta psicológica preferida de los ciberdelincuentes para forzar errores operativos. El experto de TIVIT recomienda que las organizaciones establezcan protocolos claros de actuación que prohíban la ejecución de pagos fuera de las normas de validación, sin importar el rango de quien los solicite. En un ecosistema donde los adversarios optan por «iniciar sesión» en lugar de vulnerar sistemas por la fuerza, la desconfianza proactiva y la verificación cruzada son las únicas defensas reales.

A través de la consultoría experta, la marca TIVIT acompaña a las organizaciones en la detección de estas amenazas personalizadas. La dinámica del cibercrimen ha migrado hacia ataques orientados estrictamente al negocio, donde la tecnología propia de la IA es utilizada para engañar a los sentidos. Garantizar la continuidad operativa requiere, por tanto, un equilibrio entre soluciones de seguridad avanzada y una cultura organizacional consciente de los riesgos que plantea la suplantación de identidad en videollamadas y correos electrónicos.