AI Phishing y suplantación de identidad

Incluso el empleado más experto en seguridad puede verse sorprendido por un correo electrónico convincente.

Incluso el empleado más consciente de la seguridad puede ser cogido desprevenido por un correo electrónico convincente. El auge del phishing con IA ha cambiado las reglas de la ingeniería social. Los atacantes ya no se basan en mensajes mal escritos o estafas obvias, ahora están creando comunicaciones personalizadas, fluidas y oportunas que parecen reales.

El personal necesita ahora comprender y reconocer toda una nueva generación de amenazas en las que la autenticidad puede fingirse y la confianza puede convertirse en un arma.

De las estafas de copiar y pegar a la precisión impulsada por la IA

En los primeros tiempos del phishing, detectar un ataque no era demasiado difícil. Las direcciones de correo electrónico dudosas, la gramática torpe y las promesas poco realistas eran los signos reveladores. Pero todo eso ha cambiado.

Los atacantes actuales utilizan técnicas de phishing con IA para escribir en lenguaje natural, imitar el tono interno e incluso adaptarse a la voz de la marca de una organización. Con sólo unos pocos detalles disponibles públicamente, como un perfil de LinkedIn, un comunicado de prensa de la empresa o una firma de correo electrónico, pueden generar mensajes que parezcan y suenen como si procedieran directamente de dentro de su organización.

Si aún no la ha visto, Cyber Police es nuestra galardonada serie de aprendizaje electrónico que convierte las ciberamenazas reales en historias apasionantes. Utilizando el dramatismo y el realismo, muestra cómo las acciones cotidianas pueden conducir a importantes violaciones de la seguridad, ayudando a los empleados a reconocer los riesgos, cambiar de comportamiento y crear una concienciación duradera. En el caso que inspiró el episodio 1 de la cuarta temporada, una campaña de spear-phishing tenía como objetivo a altos ejecutivos de un grupo hotelero. Los correos electrónicos parecían proceder de un miembro del equipo financiero y dirigían a los destinatarios a un portal de acceso falso. Se recogieron credenciales, se transfirieron fondos al extranjero y toda la operación se ejecutó con una precisión desconcertante.

La IA hizo posible que los atacantes:

• Imitar el tono y el estilo Analizando mensajes reales, produjeron correos electrónicos que se ajustaban a cómo escriben realmente los equipos internos.
• Personalizar a escala: La IA puede crear rápidamente cientos de variaciones de la misma estafa, haciendo que cada una de ellas tenga una relevancia única.
• Reaccionar en tiempo real: Los chatbots y las herramientas de automatización permiten a los delincuentes responder a las respuestas al instante, manteniendo la ilusión de legitimidad.

Esto dio lugar a un ataque que parece humano, pero no lo es.

Aunque los escenarios de Cyber Police son ficticios, están inspirados en incidentes reales; los mismos tipos de ataques que ya han afectado a organizaciones de todo el mundo y siguen haciéndolo cada día.

Por qué funcionan tan bien el phishing moderno y el de IA

Si cree que su gente no caería en la trampa de un correo electrónico falso, piénselo de nuevo. Las campañas de phishing con más éxito no se basan en trucos técnicos, sino que explotan el comportamiento humano.

Tres factores hacen que estas estafas modernas sean tan eficaces:

1. Confianza. Estamos cableados para confiar en la comunicación que nos resulta familiar. Si un mensaje procede de un nombre conocido, utiliza el tono adecuado y hace referencia a proyectos actuales, nuestra respuesta natural es actuar con rapidez en lugar de cuestionarlo.
2. Autoridad. Los ciberdelincuentes entienden de jerarquías. Los mensajes que parecen proceder de un gerente, director o cliente desencadenan un deseo automático de cumplirlos, especialmente cuando se mencionan plazos o consecuencias.
3. Velocidad. La urgencia es el mejor amigo del ingeniero social. «Por favor, autorice este pago inmediatamente». «¿Puede iniciar sesión para aprobar esta actualización?». Estas frases empujan a la gente a la acción antes de que hayan tenido la oportunidad de pensar críticamente

Combine estas palancas psicológicas con la precisión de la IA, y tendrá una amenaza que parece casi imposible de detectar sin la conciencia y los controles adecuados.

No es que los empleados no sean precavidos, es que los mensajes son demasiado buenos.

Construir mejores defensas contra el phishing impulsado por la IA

La tecnología por sí sola no resolverá este problema. Los cortafuegos, los filtros y las pasarelas seguras de correo electrónico son esenciales, pero no pueden atraparlo todo, especialmente cuando la amenaza llega disfrazada de colega de confianza.

Las organizaciones necesitan una defensa en capas que combine procesos, tecnología y personas.

1. Procesos de verificación
   Anime a los empleados a verificar cualquier solicitud inesperada o de gran valor a través de un canal secundario, como una llamada telefónica, un mensaje de Teams o una comprobación cara a cara. Unos procedimientos claros deben facilitar (y hacer esperar) la doble comprobación antes de actuar.
2. Autenticación multifactor (MFA)
   Incluso si se roban las credenciales, la MFA añade una barrera adicional. Sin embargo, los atacantes están aprendiendo a eludir la MFA utilizando el phishing de voz potenciado por la IA y los avisos de deepfake, por lo que el conocimiento de estas tácticas es tan importante como la propia tecnología.
3. Educación de concienciación continua
   Hacer algo de educación de concienciación con su equipo una vez no es suficiente. Las campañas de phishing simuladas, el aprendizaje por mordiscos y los ejercicios basados en escenarios ayudan a mantener la concienciación en primer plano. Es importante que los empleados se sientan seguros a la hora de identificar y notificar actividades sospechosas.
4. Herramientas de seguridad del correo electrónico
   Las soluciones modernas de seguridad del correo electrónico utilizan el aprendizaje automático para detectar patrones inusuales, como inicios de sesión desde lugares inesperados o cambios en el estilo de comunicación. Combinadas con la vigilancia humana, estas herramientas proporcionan una sólida defensa contra las amenazas en evolución.

Convertir la sensibilización en un cambio de comportamiento

El conocimiento es sólo la mitad de la batalla. La verdadera resiliencia llega cuando las personas entienden por qué están siendo atacadas y cómo sus acciones pueden detener un ataque en seco.

Ahí es donde entra en juego la narración de historias. La formación tradicional a menudo tiene dificultades para causar impacto porque habla del riesgo en lugar de mostrarlo. Pero cuando los empleados ven las consecuencias de un simple clic llevadas a la vida a través del drama del mundo real, como en la serie Cyber Police, la concienciación se convierte en algo memorable.

Combinando el aprendizaje práctico con el impacto emocional, las organizaciones pueden transformar la concienciación cibernética de un ejercicio de marcar casillas en un auténtico cambio de comportamiento.

Trabajar con MetaCompliance

El phishing no está desapareciendo, está evolucionando. A medida que las herramientas de IA hacen que la suplantación de identidad sea más rápida, inteligente y convincente, toda organización necesita reforzar su capa humana de defensa. Por eso hemos creado la serie Ciberpolicía, que forma parte de nuestro conjunto más amplio de herramientas de concienciación sobre la gestión de los riesgos humanos.

Cyber Police es una serie de acción en directo que convierte las ciberamenazas reales en historias inolvidables, ayudando a las organizaciones a cambiar su comportamiento y a reforzar sus defensas humanas.

Cada temporada aborda los ataques a los que es más probable que se enfrenten los empleados -desde el phishing y el ransomware hasta los deepfakes- reimaginándolos como episodios apasionantes y realistas que permanecen con los espectadores mucho tiempo después de haber terminado de verlos.

Al ver las amenazas a través de los ojos de los afectados, los empleados desarrollan una conciencia más fuerte, instintos más agudos y la confianza para responder con eficacia cuando más importa.

Obtenga más información sobre cómo la Ciberpolicía convierte las ciberamenazas reales en historias inolvidables.