Réplicas de IA y Deepfakes: La Nueva Amenaza Invisible que Podría Vaciar tus Cuentas Bancarias

 

En los últimos años, los avances en inteligencia artificial (IA) han transformado numerosas industrias, ofreciendo soluciones innovadoras y mejorando procesos complejos. Sin embargo, este progreso también plantea desafíos éticos y de seguridad significativos, especialmente en el ámbito de la ciberseguridad. Investigaciones recientes de Google DeepMind y la Universidad de Stanford revelan cómo las réplicas de IA, basadas en simulaciones de personalidades humanas, podrían utilizarse para fines indebidos, como los ataques deepfake. Este artículo explora el potencial de las réplicas de IA y los riesgos asociados con su uso en fraudes financieros.

 

Un estudio liderado por Google DeepMind y Stanford ha demostrado que es posible crear réplicas de IA altamente precisas de más de 1,000 personas con tan solo dos horas de entrevistas. Estas réplicas, conocidas como "agentes de simulación", son capaces de imitar actitudes, comportamientos y respuestas a pruebas psicológicas con una precisión del 85%. Si bien estas simulaciones fueron diseñadas para realizar estudios éticos y económicos, los investigadores advierten que también podrían utilizarse de manera malintencionada​.

Los deepfakes son herramientas que utilizan IA para crear videos, audios o imágenes falsificados con un realismo impresionante. En el mundo financiero, estas tecnologías han permitido a hackers y cibercriminales ejecutar estafas sofisticadas.Empresas de seguridad han informado casos en los que deepfakes imitaron a ejecutivos de alto nivel para autorizar transferencias financieras fraudulentas. Un ejemplo reciente involucró un deepfake de voz que engañó a un director financiero para transferir $243,000 a una cuenta fraudulenta.

El uso de réplicas de IA aumenta la efectividad de los deepfakes en varios frentes ya que una IA entrenada con entrevistas y datos personales puede replicar la personalidad, tono y comportamientos de un objetivo específico. Esto permite a los atacantes engañar a colaboradores, clientes o socios comerciales.

 Los agentes de simulación pueden participar en conversaciones complejas y generar respuestas altamente convincentes, haciendo más difícil detectar el fraude y al imitar con precisión los comportamientos de un individuo, los cibercriminales pueden diseñar ataques altamente personalizados, como correos electrónicos de phishing o solicitudes de transferencia de fondos.

El sector financiero es especialmente vulnerable a estas amenazas debido a la naturaleza sensible y valiosa de la información que maneja. Las estafas deepfake pueden resultar en transferencias no autorizadas, inversiones erróneas o incluso el colapso de empresas.

A continuación, detallo cómo un hacker podría utilizar estas herramientas para suplantar la identidad de un cliente y llevar a cabo operaciones bancarias fraudulentas o solicitar créditos.

Para hacerse pasar por un cliente, un hacker necesita recopilar información personal suficiente para construir una réplica de IA y un deepfake convincente. Los atacantes pueden obtener información básica como nombre, dirección, correo electrónico y números de teléfono de redes sociales, foros públicos o bases de datos filtradas.

 Utilizan correos electrónicos de phishing, mensajes de texto fraudulentos o malware para robar datos más sensibles como credenciales bancarias, historial financiero o patrones de comunicación. Si el banco utiliza sistemas de autenticación por voz o videollamadas, los atacantes pueden recopilar grabaciones mediante entrevistas simuladas, redes sociales, llamadas grabadas o incluso grabaciones publicadas en línea.

Con los datos recopilados, el hacker puede crear herramientas personalizadas para suplantar al cliente mediante tecnologías similares a las desarrolladas por Google DeepMind y Stanford, los hackers pueden entrenar un modelo de IA que simule la personalidad y el comportamiento del cliente. Esto incluye su forma de hablar, decisiones comunes y respuestas típicas a preguntas frecuentes.

Posteriormente, utilizarían un software de generación de deepfakes para crear una voz artificial idéntica a la del cliente, y en algunos casos, videos donde el cliente parece estar interactuando con el banco.

Una vez que el deepfake y la réplica de IA están listos, el hacker procede a interactuar con el banco. Si este utiliza un sistema de autenticación por voz, el deepfake puede engañar al sistema recreando perfectamente las entonaciones, el tono y las características únicas de la voz del cliente.

  En llamadas con representantes bancarios, los deepfakes pueden generar respuestas creíbles en tiempo real gracias al respaldo de la réplica de IA. Esto permite a los hackers realizar transferencias, cambiar contraseñas o acceder a cuentas. Si el banco solicita una videollamada como medida de seguridad, un video deepfake puede mostrar la cara del cliente en tiempo real, sincronizando sus movimientos con la voz generada.

Los hackers pueden combinar deepfakes con documentos falsificados para cumplir con los requisitos de solicitudes de crédito. Esto incluye presentar historiales de crédito simulados o estados financieros ficticios. Muchos bancos solicitan entrevistas para evaluar la solicitud de un crédito. Aquí, los deepfakes pueden engañar a los ejecutivos al presentar una identidad convincente. Una vez aprobado el crédito, los hackers pueden transferir los fondos a cuentas "mulas" (cuentas intermedias) o convertir el dinero en criptomonedas para dificultar su rastreo.

Los hackers aprovechan técnicas avanzadas para asegurarse de que sus fraudes no sean detectados. Utilizan la réplica de IA para imitar el comportamiento transaccional habitual del cliente, evitando alertas automáticas de actividad inusual. Ejecutan las transacciones durante horas y días en los que el cliente real no está disponible para responder alertas, como de madrugada o en periodos vacacionales.

Estos deepfakes a menudo son parte de un ecosistema más amplio, donde otros miembros de redes criminales ayudan a legitimar las operaciones (por ejemplo, con referencias falsas para créditos).

Caso Hipotético

Imaginemos a "María López", una cliente de un banco que usa autenticación por voz. Un hacker accede a sus datos personales a través de un ataque de phishing y obtiene grabaciones de sus conversaciones telefónicas publicadas en redes sociales. 

Con esta información, el hacker crea un deepfake de voz que simula las características vocales de María. Llama al servicio bancario, usando el deepfake para pasar el sistema de verificación de voz. Solicita una transferencia a una cuenta bajo control del hacker, alegando que es una emergencia y posteriormente, utiliza la réplica de IA para completar cuestionarios de seguridad o responder preguntas del representante bancario en caso de dudas.

Soluciones para Combatir Estas Amenazas

Los bancos deben implementar medidas avanzadas para contrarrestar estas tácticas como combinar autenticación por voz con reconocimiento facial, patrones de comportamiento o datos biométricos como huellas dactilares.

A partir de ahora, tiene que ser prioritario invertir en software de detección capaz de identificar irregularidades en los patrones de audio o video que podrían delatar un deepfake. Emplear algoritmos de IA para identificar actividades sospechosas que no coincidan con el historial del cliente y siempre informar a los clientes en tiempo real sobre cambios en sus cuentas o intentos de acceso sospechosos.

Este tipo de ataques muestran cómo la innovación tecnológica también puede ser usada de manera destructiva. La clave para proteger el sistema financiero radica en mantenerse un paso adelante de los hackers, adoptando soluciones creativas y anticipándose a sus movimientos.

 

 A medida que las tecnologías avanzan, es crucial equilibrar su potencial positivo con sus riesgos. Las réplicas de IA pueden revolucionar sectores como la investigación, la salud y la educación, pero también deben regularse cuidadosamente para evitar usos indebidos.

La propuesta de Google y Stanford de crear un “banco de agentes” controlado mediante API podría ser una solución para garantizar que estas tecnologías se utilicen exclusivamente con fines éticos. Sin embargo, la implementación de medidas de seguridad robustas será fundamental para evitar que estas simulaciones caigan en manos equivocadas​.

La combinación de réplicas de IA y tecnología deepfake representa una amenaza emergente en el mundo financiero, capaz de comprometer sistemas, manipular mercados y causar pérdidas millonarias. Las organizaciones deben adoptar un enfoque proactivo para protegerse, implementando tecnologías avanzadas, educando a sus equipos y trabajando con expertos en ciberseguridad. Solo así podrán enfrentar los desafíos de un mundo cada vez más digital y complejo.