La aceleración de la inteligencia artificial está modificando el trabajo previo que realizan los ciberdelincuentes antes de un fraude. Actividades que antes demandaban varias horas o incluso días de un atacante experimentado hoy pueden completarse en una fracción de ese tiempo por personas con pocos o ningún conocimiento previo, lo que reduce la barrera de entrada para distintos tipos de ataques.
Ese cambio se observa en la explotación de vulnerabilidades, en la generación básica de malware y, de manera marcada, en las tareas de reconocimiento de víctimas. En ese punto, el foco está en la recopilación de información disponible públicamente para construir perfiles y preparar engaños más verosímiles. “Esta modificación debería poner en alerta incluso a los usuarios habituales de internet. Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo.”, dijo Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
Antes de la aparición de estas herramientas, un adversario debía invertir tiempo en identificar cuentas públicas, intereses, amistades, familiares y colegas de una persona. También podía necesitar herramientas especializadas o revisar innumerables sitios web, perfiles y publicaciones, correlacionar y verificar información, establecer relaciones entre individuos y determinar qué elementos podían utilizarse en un ataque.
En ese esquema, la inteligencia de fuentes abiertas (OSINT, por sus siglas en inglés) tendía a reservarse para objetivos de alto perfil y potencialmente de alto valor, por el tiempo y las habilidades requeridas. Con IA, en cambio, es posible localizar contenido disponible públicamente en toda la web, vincularlo con posibles víctimas y mapear relaciones con otras personas, con especial eficacia para encontrar información no estructurada, en particular imágenes y videos.
La preocupación central es la posibilidad de escalar campañas de ingeniería social con datos públicos. Un caso típico es el phishing: un correo diseñado para inducir a la víctima a compartir credenciales o a hacer clic en un enlace que instale malware puede ganar persuasión si incorpora datos personales como lugar de trabajo, la escuela de un hijo o un evento reciente, incluida una vacación.
Otro vector señalado es la suplantación mediante deepfakes. Un video o una llamada que imite voz o imagen podría utilizarse para convencer a un familiar o ser querido de que una persona está en peligro, pedir dinero o “simular un secuestro” y exigir el pago de un rescate. También se mencionó el uso de material falso de carácter obsceno para extorsión; en el Reino Unido, “cientos de menores de 18 años reportaron haber sido víctimas de este delito”.
En ese contexto, la compañía recomendó reducir la exposición de datos en redes sociales, evitar publicar información sensible (fechas de nacimiento, escuela de hijos, vacaciones), revisar qué revelan las fotos (direcciones, datos de vehículos), no vincular vida personal y profesional, usar autenticación multifactor (MFA) y contraseñas robustas y únicas, y no aceptar solicitudes de desconocidos. “Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA.”, dijo Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
