La inteligencia artificial está reduciendo el tiempo y los conocimientos necesarios para preparar ciberataques personalizados, lo que permite a los delincuentes perfilar rápidamente a un mayor número de posibles víctimas, alertó ESET.
La compañía especializada en detección de amenazas explicó que actividades que antes exigían horas o días de trabajo de un ciberdelincuente experimentado ahora pueden realizarse en una fracción de ese tiempo por personas con pocos conocimientos previos o ninguno.
Esta facilidad disminuye la barrera de entrada para los ciberdelincuentes y ya puede observarse en la explotación de vulnerabilidades, la generación básica de malware y las labores de reconocimiento de posibles objetivos.
“Si los ataques se vuelven más baratos y fáciles de ejecutar para los estafadores, cualquiera podría convertirse en un objetivo”, comentó Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.
Antes de la aparición de estas herramientas, los responsables de un ataque debían invertir tiempo en identificar las cuentas públicas de una persona, conocer sus intereses y ubicar a sus amistades, familiares y compañeros de trabajo para determinar qué información podía utilizarse en su contra.
Ese proceso también podía requerir herramientas especializadas y la revisión de numerosos sitios de internet, perfiles y publicaciones, por lo que la recopilación de inteligencia de fuentes abiertas, conocida como OSINT, solía reservarse para objetivos de alto perfil y potencialmente de alto valor.
Ahora, las herramientas de IA pueden localizar contenido disponible públicamente, relacionarlo con posibles víctimas y establecer vínculos entre diferentes personas, además de encontrar información no estructurada, principalmente imágenes y videos.
Con esos datos, los ciberdelincuentes pueden preparar campañas de ingeniería social más convincentes, como correos de phishing que incluyan referencias al lugar de trabajo de la víctima, la escuela de sus hijos, algún festejo o unas vacaciones recientes para intentar obtener sus claves o convencerla de abrir un enlace que instale malware.
Las imágenes, grabaciones y datos recopilados también pueden utilizarse para crear deepfakes capaces de suplantar la voz o el rostro de una persona, simular que se encuentra en peligro y solicitar dinero a sus familiares o conocidos.
ESET advirtió que esta tecnología también puede emplearse para fingir un secuestro y exigir el pago de un rescate, así como para producir videos de contenido sexual y amenazar con difundirlos si la víctima no entrega dinero, una modalidad que en Reino Unido ha afectado a cientos de menores de 18 años.
“Pueden perfilar grandes cantidades de posibles víctimas en poco tiempo, recopilando imágenes, videos e información personal, de trabajo, familiares y amigos que puede utilizarse con fines maliciosos”, explicó Micucci.
Los modelos de lenguaje también pueden ayudar a elaborar guiones para fraudes mediante correos electrónicos, redes sociales y otros canales, incluso cuando los delincuentes no dominan el idioma utilizado para comunicarse con sus objetivos.
Frente a estos riesgos, ESET señaló que la información personal puede ser difícil de retirar una vez que se publica en internet, principalmente cuando ha sido reproducida en otros sitios, aunque las fotografías antiguas alojadas en redes sociales suelen ser más fáciles de eliminar.
Por ello, la compañía recomendó mantener privados los perfiles, limitar la publicación de fechas de nacimiento, escuelas, vacaciones y otros datos personales, además de revisar que las fotografías no revelen direcciones, información de vehículos u otros elementos sensibles.
También aconsejó evitar contenidos que permitan relacionar la vida personal con la actividad profesional, utilizar contraseñas sólidas y diferentes para cada cuenta, activar la autenticación multifactor y no aceptar solicitudes de amistad o seguimiento de personas desconocidas.
En caso de recibir una solicitud sospechosa, la recomendación es verificar la identidad de la persona mediante otro canal independiente, bajo la consideración de que cualquier contenido publicado podría ser localizado y procesado por sistemas automatizados.
“Conviene actuar bajo la premisa de que cualquier cosa que publiques podría ser leída y procesada por sistemas de IA”, concluyó Micucci.
er
