Los deepfakes son una amenaza para la identidad

La tecnología deepfake se ha convertido en una amenaza crítica para la confianza digital. Los contenidos generados por IA imitan ahora a personas reales con una precisión sorprendente, lo que hace más difícil que nunca distinguir entre la verdad y el engaño. Los deepfakes representan un peligro real e inmediato para sectores de todo el mundo, ya que posibilitan el fraude de identidad, el espionaje corporativo y campañas de ingeniería social a gran escala, poniendo en riesgo a empresas, gobiernos y particulares por igual.

Las consecuencias de los deepfakes van mucho más allá de los casos individuales de fraude. Su capacidad para socavar la confianza en las interacciones digitales supone un riesgo sistémico para los sectores que dependen de la comunicación y las transacciones virtuales. A medida que las empresas adoptan cada vez más estrategias digitales como prioridad, también deben abordar las vulnerabilidades introducidas por tecnologías de IA como los deepfakes.

Comprender los deepfakes y su evolución

Los deepfakes son contenidos sintéticos —imágenes, vídeos o audio— creados mediante IA para replicar a personas reales. Aprovechando redes neuronales y aprendizaje profundo, esta tecnología puede fabricar falsificaciones altamente convincentes que ponen a prueba nuestra capacidad para discernir la autenticidad. Comprender sus orígenes y su crecimiento es esencial para entender sus implicaciones actuales.

La evolución de los deepfakes

Aunque la tecnología deepfake existe desde hace años, comenzó a ganar una tracción significativa en 2017, inicialmente con fines creativos como el intercambio de rostros en películas. Los primeros usos mostraron el potencial de la IA para el entretenimiento, pero el auge de las redes generativas antagónicas (GAN) permitió aplicaciones más sofisticadas y dañinas. Estos avances permitieron a los estafadores crear contenidos hiperrealistas capaces de engañar incluso a profesionales experimentados.

A medida que la tecnología maduró, sus aplicaciones se expandieron a diversos sectores. Aunque ha contribuido positivamente a ámbitos como el entretenimiento y la educación, en los últimos años su uso indebido ha crecido exponencialmente. Los estafadores utilizan ahora deepfakes para suplantar a directivos, manipular la opinión pública y cometer fraude de identidad a una escala sin precedentes. Estas aplicaciones ponen de manifiesto tanto la versatilidad como los riesgos asociados a esta tecnología.

El estado actual

La creación de deepfakes se ha vuelto accesible incluso para usuarios no técnicos gracias a herramientas de código abierto y tutoriales en línea. Esta democratización de las herramientas impulsadas por IA ha envalentonado a actores maliciosos para explotar objetivos de alto valor como directivos corporativos, instituciones financieras y organismos gubernamentales. Más allá de las pérdidas económicas, los deepfakes socavan la confianza en los medios digitales, erosionando la credibilidad en la autenticidad del contenido en todos los sectores.

La accesibilidad de estas herramientas también ha incrementado el volumen y la variedad de amenazas relacionadas con los deepfakes. Desde campañas de desinformación política hasta estafas dirigidas, el panorama actual exige vigilancia e innovación tecnológica. Las organizaciones no solo deben abordar los riesgos inmediatos, sino también anticipar los desafíos futuros a medida que la tecnología siga evolucionando.

Vectores de ataque y ejemplos reales

Los deepfakes representan una amenaza multifacética para las organizaciones, ya que explotan vulnerabilidades en las operaciones de la plantilla, las interacciones con los clientes y las relaciones B2B/con socios. Al examinar los vectores de ataque comunes y los escenarios reales, las organizaciones pueden comprender mejor cómo protegerse frente a estas amenazas avanzadas.

Vectores de ataque comunes

Amenazas para la plantilla

• Suplantación de directivos: Los estafadores utilizan deepfakes de directores ejecutivos para autorizar transferencias bancarias fraudulentas, explotando la confianza en la comunicación jerárquica. El uso de vídeo o audio realista añade credibilidad a las solicitudes fraudulentas, eludiendo los métodos de verificación tradicionales.
• Estafas en la incorporación de empleados: Se utilizan identidades falsas para conseguir empleo, a menudo con el fin de acceder a sistemas o datos sensibles. Los currículums y entrevistas mejorados con deepfakes facilitan que los estafadores se infiltren en las organizaciones sin ser detectados.
• Brechas de acceso privilegiado: La suplantación de empleados con acceso de alto nivel permite a los estafadores infiltrarse en infraestructuras críticas, lo que a menudo provoca filtraciones de datos generalizadas o interrupciones operativas.

Desafíos en la identidad del cliente

• Fraude en préstamos: Se utilizan identidades sintéticas, mejoradas con tecnología deepfake, para solicitar préstamos o líneas de crédito fraudulentas. Esta forma de fraude suele implicar información personal robada combinada con contenidos fabricados para superar los controles de identidad.
• Estafas de inversión: Contenidos deepfake sofisticados atraen a clientes desprevenidos para que transfieran fondos a cuentas fraudulentas. Vídeos y audios con voces clonadas de figuras de confianza amplifican la credibilidad de estas estafas.
• Ataques a centros de atención telefónica: La tecnología de clonación de voz elude la verificación de identidad tradicional, lo que conduce a accesos no autorizados a cuentas. Este tipo de ataque se dirige a sistemas de atención al cliente que dependen de la autenticación por voz.

Riesgos B2B

• Fallos en la evaluación de contratistas: Contratistas fraudulentos obtienen acceso a recursos sensibles utilizando credenciales creadas con deepfakes. Esto permite a actores maliciosos infiltrarse en instalaciones o sistemas seguros.
• Brechas en la cadena de suministro: La suplantación habilitada por deepfakes altera las relaciones con proveedores, lo que provoca pérdidas económicas y de reputación. Al imitar a socios de confianza, los estafadores pueden redirigir envíos o comprometer información confidencial.
• Estafas en la incorporación de socios: Los estafadores utilizan identidades fabricadas para explotar la confianza dentro de las relaciones comerciales. Estas estafas suelen dirigirse a empresas más pequeñas con menos protocolos de verificación.

Ejemplos reales

Plantilla

Una institución financiera multinacional sufrió una pérdida de 25 millones de dólares cuando los estafadores utilizaron un vídeo deepfake del CFO para autorizar una transferencia bancaria.¹ A pesar de los protocolos de seguridad estándar de la institución, el vídeo altamente realista llevó a los empleados a eludir los controles existentes. El fraude se detectó solo después de que los fondos se transfirieran a una cuenta en el extranjero, lo que pone de relieve la necesidad de métodos de verificación sólidos y herramientas avanzadas de detección.

Cliente

El fraude generado por IA costó a los consumidores estadounidenses 12.300 millones de dólares en 2023.² En una estafa de duplicación de criptomonedas, vídeos deepfake que promovían oportunidades de inversión falsas comenzaron a circular a principios de 2024. Estos vídeos utilizaban imágenes manipuladas de figuras públicas y celebridades para engañar a las víctimas y hacer que transfirieran fondos bajo la apariencia de rentabilidades lucrativas. Los perpetradores robaron más de 690.000 dólares³ a una sola víctima. Más allá de las pérdidas financieras para las víctimas, los estafadores secuestraron los canales de redes sociales de personas famosas, dañando reputaciones y demostrando la sofisticación de los deepfakes impulsados por IA, lo que subraya aún más la importancia de mantener la credibilidad en las comunicaciones digitales.

B2B

Los intermediarios de transporte de mercancías se ven significativamente afectados por el aumento de transportistas fraudulentos que utilizan credenciales creadas con deepfake para asegurar envíos de alto valor. Los perpetradores redirigen envíos por valor de millones de dólares a destinos no autorizados, dejando a la empresa responsable de las repercusiones financieras y reputacionales. En cuanto a los transportistas, corren el riesgo de sufrir el robo de identidad, lo que puede derivar en pérdidas financieras personales y profesionales, así como en daños reputacionales. Este ejemplo subraya la importancia de procesos rigurosos de validación de transportistas y protocolos de verificación en tiempo real.⁴

Estrategias de confianza verificada para la prevención del fraude con deepfakes

Mitigar los riesgos que plantean los deepfakes requiere un cambio integral desde los modelos de seguridad tradicionales hacia un marco de Confianza Verificada.

Unir disciplinas independientes

La confianza verificada elimina los silos entre equipos tradicionalmente independientes para crear una defensa unificada:

• Seguridad de la identidad: Se centra en la gestión de accesos, políticas sólidas y control.
• Prevención del fraude de identidad: Implementa detección, puntuación de riesgo y defensas conductuales para identificar anomalías generadas por IA.
• Garantía de identidad: Vincula con confianza las identidades digitales con entidades del mundo real a lo largo del tiempo.

Abordar patrones fundamentales en todos los tipos de identidad

La Confianza Verificada aplica una lógica coherente para proteger a clientes, plantilla y socios B2B en cuatro etapas críticas:

• Onboarding verificado: Vincular a las personas con identidades duraderas mediante evidencias rigurosas (p. ej., detección de prueba de vida) para detener identidades sintéticas.
• Acceso verificado: Utilizar flujos sin contraseña y de baja fricción, reforzados con señales de riesgo continuas.
• Recuperación y soporte verificados: Proteger los canales de atención personalizada frente a la ingeniería social y la suplantación impulsada por deepfakes.
• Autorización verificada: Confirmar acciones de alto valor (como grandes transferencias bancarias) con verificación reforzada.

Aprovechar las capacidades esenciales de identidad

Refuerce sus defensas combinando estas capacidades modulares en todos los recorridos de usuario:

• Verificación: Verificación de identidad, verificación de documentos y detección de prueba de vida impulsada por IA.
• Protección contra amenazas y fraude: Analítica conductual y detección de bots para identificar desviaciones de los patrones establecidos.
• Credenciales y autenticación: Autenticadores sólidos vinculados al dispositivo, como passkeys y biometría.
• Orquestación: Diseño de recorridos low-code para aplicar políticas granulares en tiempo de ejecución a medida que evolucionan los riesgos.

Pasar de la confianza implícita a la confianza verificada

Los adversarios modernos no solo «irrumpen», sino que «inician sesión» utilizando deepfakes hiperrealistas. La transición hacia la confianza verificada implica alejarse de las suposiciones:

• De «Confiar pero verificar» a «Verificar y luego confiar»: Verificar explícitamente cada identidad e interacción antes de conceder acceso.
• Episódico vs. continuo: Pasar de un único inicio de sesión puntual a una verificación continua y adaptativa al riesgo.
• Conciencia contextual: Cada acción está vinculada a un actor real y autorizado —humano o agente— en función de señales de amenaza en tiempo real.

Tecnologías emergentes y resiliencia organizativa

A medida que las amenazas de deepfakes continúan evolucionando, aprovechar las tecnologías emergentes y fomentar la resiliencia organizativa es esencial para mantenerse por delante de los actores maliciosos. Las herramientas de vanguardia permiten a las organizaciones detectar y contrarrestar los efectos de los deepfakes, mientras que marcos sólidos garantizan la adaptabilidad ante futuros desafíos. Exploremos las soluciones y estrategias que están redefiniendo la lucha contra el fraude mediante deepfakes.

Tecnologías emergentes

• Detección de prueba de vida: Las soluciones sólidas defienden tanto frente a ataques de presentación (fotos, máscaras, vídeo reproducido) como frente a ataques de inyección (flujos de cámara manipulados o sintéticos). Busque proveedores certificados conforme a estándares como CEN/TS 18099 e ISO/IEC 30107-3.
• Analítica de comportamiento: Supervisa el comportamiento del usuario para identificar desviaciones respecto a patrones establecidos. El análisis de comportamiento proporciona contexto adicional, mejorando la precisión de la detección.
• Contramedidas de IA generativa: Detecta y marca contenido generado por IA para prevenir su uso indebido. Estas herramientas aprovechan la IA para combatir la IA, ofreciendo una respuesta dinámica ante amenazas en evolución.
• Credenciales verificadas: Pruebas digitales criptográficamente seguras emitidas a las carteras de los usuarios protegidas biométricamente, que contienen datos y atributos de identidad. Garantizan la procedencia, permiten la verificación en tiempo real y dificultan significativamente la comisión de fraude de identidad, incluidos los ataques de deepfakes.

Construir resiliencia

• Colaboración interfuncional: Fomentar la comunicación entre los equipos de TI, seguridad y gestión de riesgos para crear un enfoque unificado en la lucha contra las amenazas de deepfakes. La colaboración garantiza que las estrategias sean integrales y adaptativas.
• Políticas adaptativas: Actualizar periódicamente los protocolos de detección de fraude e integrar tecnologías emergentes para contrarrestar nuevos métodos de ataque. Las políticas deben evolucionar al mismo ritmo que los avances tecnológicos para seguir siendo eficaces.
• Supervisión continua: Implementar sistemas de supervisión en tiempo real para detectar anomalías en el comportamiento, el uso de dispositivos y la actividad de red. La supervisión continua minimiza la ventana de oportunidad para los actores maliciosos.

Al combinar estas tecnologías y prácticas, las organizaciones pueden establecer una defensa sólida capaz de mitigar las amenazas actuales mientras se preparan para los desafíos del mañana.

Proteja su futuro frente a los deepfakes

La lucha contra los deepfakes no es un desafío estático, sino una batalla dinámica que requiere pasar de la confianza implícita a la confianza verificada. Al unificar la seguridad de la identidad, la prevención del fraude y el aseguramiento en un marco único y modular, las organizaciones pueden cerrar la brecha de confianza y construir una defensa resiliente que resista los deepfakes de hoy y los agentes de IA del mañana.

Próximos pasos

• Establezca su plan de confianza verificada: Programe una sesión estratégica con Ping Identity para ir más allá de la autenticación básica hacia un modelo de identidad continuo y adaptativo al riesgo.

• Audite sus brechas de confianza: Realice una evaluación de confianza verificada para identificar vulnerabilidades en sus recorridos de incorporación, recuperación y autorización.

• Unifique sus defensas: Integre capacidades de identidad modulares —incluida la detección de prueba de vida impulsada por IA y señales de comportamiento— para crear un frente unificado contra el fraude sintético.

• Vaya más allá de la concienciación: Reconozca que la formación no es suficiente; implemente controles automatizados con un enfoque identity-first que protejan a su plantilla y a sus clientes incluso cuando la detección humana falle.

¹ CNN

² Deloitte

³ The New York Times & NOCA

⁴ Ping Identity