Soluciones de baja tecnología para delitos cibernéticos de alta tecnología

Es posible que escuche que 2025 será el año del ciberdelito con inteligencia artificial (IA). Pero la tendencia realmente comenzó en 2024.

Los delitos cometidos por IA resultarán tan abrumadores que algunos dicen que la única forma de combatirlos es mediante software de seguridad de IA. Pero recientemente han surgido dos técnicas increíblemente simples, de baja tecnología y de sentido común que deberían convertirse en la opción predeterminada de todos en contextos comerciales y personales. (Te hablaré de los siguientes).

Primero, comprendamos cómo los malos usan la IA.

El peligro claro y presente de los ataques impulsados ​​por IA

Ya estamos viendo atacantes que utilizan IA para generar correos electrónicos de phishing con una gramática perfecta y detalles personalizados para cada víctima. No sólo la gramática inglesa es perfecta, sino que con la IA, cualquier ataque se puede realizar en cualquier idioma.

Incluso está “democratizando” la capacidad de lanzar miles de ataques simultáneos, una hazaña que antes sólo era posible mediante ataques a gran escala por parte de Estados-nación. El uso de enjambres de agentes de IA en 2025 creará un riesgo nuevo y urgente para las empresas.

El phishing y el malware, por supuesto, facilitan ataques de ransomware multifacéticos que han causado estragos en las organizaciones de atención médica, las cadenas de suministro y otros objetivos. Los ataques globales de ransomware son Se prevé que costará más de 265 mil millones de dólares al año. para 2031, gracias en parte al poder de la IA en estos ataques.

La creciente calidad de los deepfakes, incluidos los deepfakes en tiempo real durante videollamadas en vivo, invita a estafadores, delincuentes e incluso atacantes patrocinados por el estado a eludir de manera convincente las medidas de seguridad y robar identidades para todo tipo de propósitos nefastos. La clonación de voz habilitada por IA ya ha demostrado ser una gran ayuda para el robo de identidad relacionado con teléfonos. La IA permite a actores maliciosos eludir el reconocimiento facial. protección Y se están implementando bots impulsados ​​por IA para interceptar y usar contraseñas de un solo uso en tiempo real.

En términos más generales, la IA puede acelerar y automatizar prácticamente cualquier ciberataque. La explotación automatizada de vulnerabilidades, que permite a los actores maliciosos identificar y explotar las debilidades rápidamente, es una gran ventaja para los atacantes. La IA también aumenta la evasión de detección, lo que permite a los atacantes mantener una presencia persistente dentro de los sistemas comprometidos y al mismo tiempo minimizar su huella digital, lo que magnifica el daño potencial de la infracción inicial.

Una vez que se filtran grandes cantidades de datos, la IA es útil para extraer inteligencia sobre el valor de esos datos, lo que permite una explotación rápida y exhaustiva de la infracción.

Los actores patrocinados por el Estado (especialmente Rusia, Irán y China) están utilizando falsificaciones de IA como parte de sus esfuerzos más amplios de interferencia electoral en democracias de todo el mundo. Están utilizando IA para crear memes que se hacen pasar por o difaman a los candidatos a los que se oponen y para crear cuentas de títeres más convincentes, completas con imágenes de perfil generadas por IA y contenido de bots generados por IA a escala masiva; el objetivo es crear campañas de césped artificial que puedan influir en las elecciones.

Aumento del software espía potenciado por IA

Un nuevo documental de HBO del periodista Ronan Farrow, “Vigilado”, investiga la industria multimillonaria de rápido crecimiento del software espía disponible comercialmente. El más destacado, y probablemente el más eficaz, de estos productos es el software espía Pegasus de NSO Group.

Según el documental, Pegasus puede permitir que un atacante encienda de forma remota el micrófono y la cámara de un teléfono, grabe audio y video (todo sin ninguna indicación en el teléfono de que se está realizando esta grabación) y envíe ese contenido al atacante. También puede copiar y filtrar todos los datos del teléfono.

Si bien Pagasus en sí no contiene ni utiliza IA, se usa junto con herramientas de IA para focalización, reconocimiento facial, procesamiento de datos, reconocimiento de patrones y otros trabajos.

NSO Group afirma que vende Pegasus sólo a gobiernos, pero esta afirmación aún no se ha verificado de forma independiente y ninguna regulación rige su venta.

Dos soluciones simples pueden derrotar los ataques impulsados ​​por IA

Los consejos para proteger una organización de los ciberataques y fraudes impulsados ​​por la IA son bien conocidos.

• Implementar una política sólida de ciberseguridad y emplear medidas de autenticación sólidas, incluida la autenticación multifactor.
• Actualice y parchee periódicamente todos los sistemas de software.
• Educar a los empleados sobre la concienciación y las mejores prácticas en materia de ciberseguridad.
• Implemente firewalls y soluciones de protección de endpoints.
• Conexiones perimetrales seguras y de IoT.
• Adopte un modelo de seguridad de confianza cero y aplique el principio de privilegio mínimo para el control de acceso.
• Realice copias de seguridad de los datos críticos con regularidad y cifre la información confidencial.
• Realizar auditorías de seguridad frecuentes y evaluaciones de vulnerabilidad.
• Implemente la segmentación de la red para limitar los posibles daños causados ​​por infracciones.
• Desarrollar y mantener un plan de respuesta a incidentes actualizado.
• Considere un enfoque de seguridad centrado en las personas para abordar el error humano, un factor importante en el éxito de los ciberataques.

Combine estas prácticas y podrá mejorar significativamente la postura de ciberseguridad de su organización y reducir el riesgo de ataques exitosos.

Aunque efectivas, esas soluciones son costosas, requieren experiencia y requieren esfuerzos iterativos continuos por parte de un gran número de empleados. No son algo que una sola persona pueda hacer.

Entonces, ¿qué podemos hacer cada uno de nosotros para protegernos mejor contra ataques, fraudes y herramientas de software espía mejorados por IA en nuestros teléfonos inteligentes? Además de las mejores prácticas habituales, el FBI y Farrow destacan dos técnicas sencillas, fáciles y completamente gratuitas para una protección potente. Comencemos con el FBI.

El FBI emitió recientemente un Advertencia sobre delincuentes que explotan la IA generativa. cometer fraude financiero a mayor escala. La advertencia está dirigida a los consumidores más que a las empresas, pero su solución puede funcionar a pequeña escala dentro de un equipo o entre un ejecutivo y su asistente.

Después de enumerar las muchas formas en que los estafadores pueden usar la IA para robar identidades, hacerse pasar por personas y diseñar socialmente su camino para cometer estafas y robos, dicen que una forma efectiva de verificar la identidad rápidamente es usar una palabra secreta.

Una vez establecida (no por escrito…), la palabra secreta puede servir como una forma rápida y poderosa de identificar instantáneamente a alguien. Y como no es digital ni está almacenado en ningún lugar de Internet, no se puede robar. Entonces, si tu “jefe” o tu cónyuge te llama para pedirte datos o transferirte fondos, puedes pedirle la palabra secreta para verificar que realmente son ellos.

El FBI ofrece otros consejos, como limitar el audio, el vídeo o las imágenes publicadas en línea y siempre colgar y volver a llamar a la persona a un número conocido. Pero la palabra secreta es el consejo más útil.

Mientras tanto, en su documental, Farrow enfatiza una forma sencilla de frustrar el software espía: reiniciar el teléfono todos los días. Señala que la mayoría del software espía se elimina con un reinicio. Por lo tanto, reiniciar todos los días garantiza que no quede ningún software espía en su teléfono.

También enfatiza la importancia de mantener el sistema operativo y las aplicaciones actualizados a la última versión. Ese es mi consejo también. Utilice buenas prácticas generalmente en la medida que su presupuesto lo permita. Pero establezca una palabra secreta con compañeros de trabajo, jefes y familiares.

Y reinicia tu teléfono todos los días.